Daten in die USA übermitteln – was die Schrems-Urteile bedeuten

Wenn es um Datenschutz und Cloud-Dienste geht, fällt oft der Name Schrems. Dahinter steckt der österreichische Jurist Max Schrems, der mit seinen Verfahren vor dem Europäischen Gerichtshof (EuGH) wichtige Fragen zur Datenübermittlung in die USA geklärt hat. Hier erfährst du ganz entspannt, worum es geht – und was das für deinen Alltag heißt.

Worum geht es?

Die DSGVO erlaubt es, personenbezogene Daten in Länder außerhalb der EU zu übermitteln, wenn dort ein vergleichbares Schutzniveau besteht oder andere Garantien vereinbart sind. Für die USA gab es dafür über die Jahre verschiedene Regelungen:

Zum aktuellen Data Privacy Framework gibt es weiterhin rechtliche Diskussionen. Wie es langfristig weitergeht, kann heute niemand sicher sagen.

Was bedeutet das praktisch?

Für die meisten kleinen Betriebe, Kanzleien und Praxen heißt das vor allem: gut dokumentieren und den Überblick behalten. Ein paar typische Fragen:

• Welche Dienste nutze ich, deren Anbieter außerhalb der EU sitzen?
• Welche personenbezogenen Daten landen dort?
• Was steht im Vertrag zur Auftragsverarbeitung (AVV)?

Das ist kein Hexenwerk und gehört zu einer ordentlichen Datenschutz-Dokumentation einfach dazu. Für rechtliche Einschätzungen ist deine Datenschutzberatung oder eine Fachanwältin bzw. ein Fachanwalt die richtige Adresse.

Die entspannte Alternative: Daten in Europa

Viele möchten sich gar nicht so viele Gedanken machen müssen. Eine einfache Lösung ist, die wichtigsten Dienste mit Open Source auf Servern in Europa zu betreiben. Dann bleiben die Daten dort, wo du sie haben willst.

Mehr Ideen findest du unter Alternativen.

So gehst du vor

1. Liste anlegen: Welche Online-Dienste nutzt du, und wo sitzen die Anbieter?
2. Prioritäten setzen: Wo liegen die sensibelsten Daten?
3. Testen: Für einen Bereich eine europäische Open-Source-Lösung ausprobieren.
4. Dokumentieren: Festhalten, was wo liegt – das hilft auch bei Fragen von Kund:innen.

Kurz erklärt: ein paar Begriffe

• Angemessenheitsbeschluss: Die EU-Kommission stellt fest, dass ein Land ein vergleichbares Datenschutzniveau bietet. Dann können Daten dorthin einfacher übermittelt werden.
• Standardvertragsklauseln: Von der EU-Kommission vorgegebene Vertragstexte, mit denen sich Unternehmen zu bestimmten Schutzmaßnahmen verpflichten.
• Transfer Impact Assessment (TIA): Eine Einschätzung, ob die Daten im Zielland ausreichend geschützt sind.
• Auftragsverarbeitungsvertrag (AVV): Der Vertrag mit einem Dienstleister, der Daten in deinem Auftrag verarbeitet.

Ein Beispiel aus dem Alltag

Eine kleine Physiotherapie-Praxis nutzt für Terminerinnerungen, E-Mails und die Dateiablage verschiedene Online-Dienste. Sie legt eine einfache Tabelle an: Welcher Dienst, welcher Anbieter, wo sitzt er, welche Daten liegen dort, gibt es einen AVV? Dabei fällt auf, dass die Dateiablage mit Befunden und Behandlungsplänen den sensibelsten Inhalt hat.

Die Praxis entscheidet sich, genau diesen Bereich zuerst auf eine Nextcloud in einem deutschen Rechenzentrum umzuziehen. Die anderen Dienste bleiben vorerst, wie sie sind. So wird mit wenig Aufwand der wichtigste Teil geordnet – ganz ohne großen Umbruch.

Fazit

Die Schrems-Urteile zeigen, dass Datenschutz bei internationalen Diensten ein wichtiges Thema ist. Panik braucht es nicht, aber einen klaren Überblick. Und wer es einfach mag, setzt auf Open Source in Europa. Beim Thema Datenschutz und Informationssicherheit unterstütze ich dich auch gern als externer Berater – mehr unter Beratung.

Wenn du das auch ausprobieren magst, helf ich dir gern dabei – schreib mir einfach.