Schrems II (EuGH C-311/18)
Schrems II — Zeitachse und Kern des EuGH-Urteils
In drei Sätzen verstanden
Mit Urteil vom 16.07.2020 erklärte der EuGH (C-311/18, «Schrems II») den EU-US Privacy Shield für ungültig: US-Massensammelpraxis (FISA 702, EO 12333) sei unvereinbar mit DSGVO Art. 45 und EU-Grundrechtecharta. Folge: Standardvertragsklauseln (SCC) verlangen «zusätzliche Massnahmen» bei Drittland-Transfers ohne adäquates Schutzniveau. Die EU-Kommission hat 2023 mit dem Data Privacy Framework (DPF) eine Nachfolgeregelung erlassen.
Mechanik
Rn. 178 ff. des Urteils stellt fest: FISA 702 enthält keine effektive Begrenzung der Massensammlung; das US-Rechtsschutzsystem (PCLOB, FOIA, Ombudsperson) ist unzureichend. SCCs bleiben gültig, aber der Datenexporteur muss prüfen, ob das Empfängerland adäquaten Schutz gewährt — bei den USA nein ohne zusätzliche Massnahmen.
Das EU-US Data Privacy Framework (DPF), 2023 angenommen, basiert auf EO 14086 (2022) mit DPRC. Schrems III ist beim EuGH anhängig.
Was das für die Schweiz bedeutet
Die Schweiz ist nicht EU-Mitglied; Schrems hat keine direkte Anwendbarkeit. Der EDÖB hat in Stellungnahmen angedeutet, dass Schweizer DSG entsprechende Anforderungen stellt. Das Swiss-US Data Privacy Framework (2023) ist das Schweizer Pendant.
Logische Schlussfolgerung
Schrems II hat die strukturelle Diskrepanz zwischen EU-Grundrechtsschutz und US-Massensammlung juristisch festgestellt. Das DPF mildert auf dem Papier, ändert aber nichts an FISA 702 oder dem CLOUD Act selbst.
Was sich daraus für die Gesetzgebung ergibt
Hinweis: Die folgenden Punkte sind Empfehlungen aus dem BGDS-Entwurf (Sektion 6) — kein geltendes Recht, sondern Vorschläge für eine künftige Schweizer Gesetzgebung.
Der BGDS-Vorschlag (Art. 9-14, Verbote und Art. 21-26, Aufsicht) soll die strukturellen Konsequenzen aus Schrems II ins Schweizer Recht implementieren.