Schrems II und die Folgen für SaaS-Tools
7 Min. Lesezeit · Aktualisiert: Juni 2026
Kaum ein Urteil hat den europäischen Datenschutz so geprägt wie Schrems II. Es betrifft jedes Unternehmen, das SaaS-Tools mit US-Bezug einsetzt. Dieser Ratgeber erklärt, worum es ging und welche praktischen Konsequenzen sich daraus für die Tool-Auswahl ergeben.
Was war Schrems II?
Im Juli 2020 erklärte der Europäische Gerichtshof das EU-US Privacy Shield für ungültig — den damaligen Rahmen für Datenübermittlungen in die USA. Der Grund: US-Überwachungsgesetze ermöglichten Behörden einen Zugriff auf Daten, der mit dem europäischen Grundrechtsschutz nicht vereinbar war. Das Verfahren geht auf eine Klage des österreichischen Juristen Max Schrems zurück.
Die unmittelbaren Folgen
Mit dem Wegfall des Privacy Shield wurde die Übermittlung personenbezogener Daten in die USA über Nacht rechtlich unsicher. Unternehmen mussten sich auf alternative Garantien stützen — vor allem auf Standardvertragsklauseln (SCCs) — und zusätzlich im Einzelfall prüfen, ob diese im konkreten Fall ein angemessenes Schutzniveau gewährleisten (sogenanntes Transfer Impact Assessment).
Standardvertragsklauseln und zusätzliche Maßnahmen
- Abschluss aktueller Standardvertragsklauseln (SCCs) mit dem Anbieter
- Durchführung eines Transfer Impact Assessment (TIA)
- Ergänzende technische Maßnahmen wie starke Verschlüsselung
- Dokumentation der gesamten Abwägung
Die Lage heute: DPF und EU-Hosting
Seit 2023 entschärft das EU-US Data Privacy Framework die Situation für zertifizierte US-Anbieter erheblich. Dennoch bleibt das Framework rechtlich umstritten. Der pragmatischste Weg zu dauerhafter Rechtssicherheit ist daher unverändert die Wahl von Anbietern mit reinem EU- oder Deutschland-Hosting, bei denen die Drittlandfrage gar nicht erst entsteht.
Häufige Fragen
Ist Schrems II noch relevant?
Ja. Auch wenn das Data Privacy Framework die Lage entschärft hat, prägt Schrems II weiterhin die Grundsätze des Datentransfers und die kritische Bewertung von US-Anbietern.
Was sind Standardvertragsklauseln (SCCs)?
SCCs sind von der EU-Kommission vorformulierte Vertragsklauseln, die ein angemessenes Datenschutzniveau bei Übermittlungen in Drittländer absichern sollen. Sie bleiben ein wichtiges Instrument neben dem DPF.
Wie vermeide ich das Schrems-Risiko ganz?
Indem Sie Anbieter mit ausschließlichem EU- oder Deutschland-Hosting wählen. Ohne Drittlandübermittlung entfällt die gesamte Schrems-Problematik.
Weiterlesen
Dieser Ratgeber dient der allgemeinen Information und ersetzt keine Rechtsberatung. Stand: Juni 2026.