Klotzkette Schrems II – Grundlagen für Transfer Impact Assessment
Wann dieses Modul hilft
- Mandant fragt: "Warum brauchen wir ein TIA?"
- Aufsichtsbehoerde verlangt Nachweis, dass die Schrems-II-Folgen geprueft wurden.
- Schulung der eigenen Datenschutzorganisation.
- Strategische Entscheidung Cloud-Provider EU vs. USA.
- Argumentation gegenueber US-Mutterhaus.
Rechtlicher Rahmen
Das Urteil
- EuGH, Urteil der Großen Kammer vom 16. Juli 2020, Rechtssache C-311/18, Data Protection Commissioner gegen Facebook Ireland Ltd und Maximillian Schrems (ECLI:EU:C:2020:559).
Tragende Aussagen (vereinfacht, Nachweise direkt am Urteil prüfen)
- Privacy Shield ungueltig (Tenor Nr. 5): Der Angemessenheitsbeschluss 2016/1250 der EU-Kommission ist wegen fehlender Schutzgleichwertigkeit ungueltig.
- SCC bleiben grundsätzlich gueltig (Tenor Nr. 2 und 3): Beschluss 2010/87/EU (jetzt durch 2021/914 ersetzt) ist gueltig, doch der Datenexporteur trifft eine Pflicht zur Einzelfallpruefung.
- Schutzgleichwertigkeit (Rn. 96, 105): Der Schutz im Drittland muss "essentially equivalent" (im Wesentlichen gleichwertig) zum unionsrechtlichen Schutzniveau sein. Massgeblich sind Drittlandsrecht und -praxis.
- Zugriffsbefugnisse der Behörden (Rn. 168 ff.): Insbesondere FISA 702 und Executive Order 12333 lassen massenhafte und auch von Nichtbuergern erfassende Zugriffe ohne ausreichenden Rechtsschutz zu – das ist der Kern der Unvereinbarkeit.
- Suspendierungspflicht (Rn. 142): Datenexporteur und ggf. Aufsichtsbehoerde müssen den Transfer aussetzen, wenn die SCC im Zielland nicht eingehalten werden können.
- Zusaetzliche Maßnahmen (supplementary measures) (Rn. 133): Wenn das Drittlandsrecht den SCC-Schutz nicht traegt, sind ergaenzende Schutzmassnahmen erforderlich.
EDPB-Empfehlung 01/2020 als Folgepapier
- EDPB Empfehlung 01/2020 "Recommendations on measures that supplement transfer tools to ensure compliance with the EU level of protection of personal data", verabschiedet 10.11.2020, Final Version 18.06.2021.
- Sechs-Schritte-Roadmap (siehe Skill
tia-edpb-roadmap-6-schritte-deutsch).
Folgeentwicklungen
- SCC neu (Durchfuehrungsbeschluss (EU) 2021/914 vom 04.06.2021) – ersetzen alte SCC; Modulstruktur 1-4.
- EU-US Data Privacy Framework (DPF): Durchfuehrungsbeschluss (EU) 2023/1795 vom 10.07.2023 – Angemessenheitsbeschluss als Folgeschritt; loest US-Defizite nicht vollstaendig auf, sondern stuetzt sich auf Executive Order 14086 und Schaffung des Data Protection Review Court.
- Das Gericht der Europäischen Union wies die Nichtigkeitsklage Latombe gegen Kommission, T-553/23, am 3. September 2025 ab. Das Rechtsmittel C-703/25 P ist anhängig. Dieses Verfahren ist von Schrems I und Schrems II zu unterscheiden und wird nicht als amtlich benanntes „Schrems III“-Verfahren behandelt.
Ablauf / Checkliste
- Lies das Urteil C-311/18 in der EuGH-Sammlung oder unter curia.europa.eu im Original.
- Identifiziere für den konkreten Transfer: Importeur, Land, Datenart.
- Beziehe die EDPB-Empfehlung 01/2020 in die Prüfung ein.
- Vermeide Verkuerzung "USA = unzulaessig" – differenziere nach DPF-Listing, Datenart, Schutzmassnahmen.
- Dokumentiere die Prüfung – ohne TIA-Dokument keine Schrems-II-konforme Compliance.
- Beobachte Folgeentwicklungen, insbesondere C-703/25 P, Änderungen der US-Rechtsgrundlagen, DPRC-Entwicklungen und neue Angemessenheitsbeschlüsse.
Mustertext / Template
Kurzvermerk-Baustein für das TIA:
Hintergrund der Prüfung ist das Urteil des Europaeischen Gerichtshofs vom 16. Juli 2020 in der Rechtssache C-311/18 (Schrems II), nach dem für Datenuebermittlungen in Drittlaender auf Grundlage von Art. 46 DSGVO eine einzelfallbezogene Bewertung erforderlich ist, ob im Zielland ein der Union "im Wesentlichen gleichwertiges" Schutzniveau gewaehrleistet ist. Soweit das Drittlandsrecht oder die Drittlandspraxis das vertraglich vereinbarte Schutzniveau nicht traegt, sind ergaenzende Schutzmassnahmen vorzusehen oder die Uebermittlung auszusetzen.
Typische Fehler
- "Schrems II hat das Privacy Shield gekippt – wir brauchen jetzt nur SCC." Falsch: SCC alleine genügen ohne TIA und ggf. zusaetzliche Maßnahmen nicht.
- Verwechslung Schrems I (C-362/14, Safe Harbor) und Schrems II.
- Annahme, der EU-US Data Privacy Framework habe Schrems II "ueberholt". Tatsaechlich: DPF basiert auf neuem Angemessenheitsbeschluss; SCC-Pfad bleibt parallel relevant, und das EuGH-Prüfraster bleibt Maßstab für SCC-Faelle.
- TIA nur für USA gemacht; UK, China, Indien, Brasilien werden vergessen.
- TIA-Dokument als Einmal-Prüfung; keine Wiedervorlage.
- "Essentially equivalent" mit "identisch" gleichgesetzt – nicht zutreffend, ein "im Wesentlichen gleichwertiger" Schutz genuegt.
Quellen Stand 09/2026
- EuGH, Urteil der Großen Kammer vom 16.07.2020, C-311/18, ECLI:EU:C:2020:559 (Schrems II).
- EuGH, Urteil vom 06.10.2015, C-362/14, ECLI:EU:C:2015:650 (Schrems I, Safe Harbor).
- EDPB Empfehlung 01/2020 vom 10.11.2020, Final 18.06.2021.
- EDPB Empfehlung 02/2020 zum Europaeischen Wesentlichen Garantien (EEG) vom 10.11.2020.
- Durchfuehrungsbeschluss (EU) 2021/914 der Kommission vom 04.06.2021 (SCC).
- Durchfuehrungsbeschluss (EU) 2023/1795 der Kommission vom 10.07.2023 (EU-US DPF).
- US Executive Order 14086 vom 07.10.2022.
- Gericht der Europäischen Union, Urteil vom 3. September 2025, Latombe gegen Kommission, T-553/23, ECLI:EU:T:2025:831.
- Gerichtshof der Europäischen Union, anhängiges Rechtsmittel vom 31. Oktober 2025, Latombe gegen Kommission, C-703/25 P.