Safe Harbor, Privacy Shield und Data Privacy Framework – Geschichte des EU-US-Datentransfers


Was sind Safe Harbor, Privacy Shield und Data Privacy Framework?

Safe Harbor, Privacy Shield und das EU-US Data Privacy Framework sind drei aufeinanderfolgende Regelungen, mit denen die EU-Kommission den Transfer personenbezogener Daten in die USA erlaubt hat. Rechtlich handelt es sich jeweils um eine Angemessenheitsentscheidung: Die Kommission stellt fest, dass US-Unternehmen, die sich zu bestimmten Datenschutzregeln verpflichten, ein ausreichendes Schutzniveau bieten. Die ersten beiden Regelungen hat der Europäische Gerichtshof (EuGH) gekippt, die dritte gilt seit Juli 2023.

Alle drei Verfahren tragen umgangssprachlich den Namen des Klägers: Nach dem österreichischen Juristen Max Schrems heißen die Urteile „Schrems I“ (2015) und „Schrems II“ (2020). Ein mögliches drittes Urteil wird bereits „Schrems III“ genannt.

Wie fing es an? Die Datenschutzrichtlinie von 1995

Vor der DSGVO galt die EU-Datenschutzrichtlinie 95/46/EG. Sie erlaubte Übermittlungen in Länder außerhalb der EU nur, wenn dort ein angemessenes Schutzniveau bestand (Art. 25 der Richtlinie). Länder mit einem solchen Niveau wurden oft als „sichere Drittstaaten“ bezeichnet, alle anderen als „unsichere Drittstaaten“.

Die USA hatten und haben kein umfassendes Datenschutzgesetz wie die EU. Für den wachsenden transatlantischen Datenverkehr brauchte es deshalb eine Sonderlösung.

Safe Harbor (2000–2015): Warum ist der „sichere Hafen“ gescheitert?

Mit der Entscheidung 2000/520/EG vom 26. Juli 2000 erkannte die Kommission die Safe-Harbor-Grundsätze („Grundsätze des sicheren Hafens“) an. US-Unternehmen konnten sich beim US-Handelsministerium (Department of Commerce) selbst zertifizieren und versprechen, diese Grundsätze einzuhalten. Die Aufsicht lag bei der US-Handelsbehörde FTC. Wer auf der Safe-Harbor-Liste stand, galt als sicherer Empfänger.

Der Auslöser: Snowden und eine Beschwerde gegen Facebook

2013 enthüllte der frühere Geheimdienstmitarbeiter Edward Snowden, dass US-Behörden über Programme wie PRISM in großem Umfang auf Daten von US-Internetkonzernen zugreifen. Max Schrems, damals Jurastudent und Facebook-Nutzer, beschwerte sich daraufhin bei der irischen Datenschutzbehörde (Data Protection Commissioner, DPC). Facebook Ireland übermittle seine Daten an die Konzernmutter in den USA, wo sie nicht sicher seien. Die irische Behörde lehnte ab, weil Facebook nach Safe Harbor zertifiziert war. Schrems klagte, und der irische High Court legte den Fall dem EuGH vor.

Das Urteil Schrems I

Am 6. Oktober 2015 erklärte der EuGH die Safe-Harbor-Entscheidung für ungültig (C-362/14). Die wichtigsten Gründe:

  • Massenzugriff: Ein pauschaler Zugriff von Behörden auf den Inhalt elektronischer Kommunikation verletzt den Wesensgehalt des Rechts auf Achtung des Privatlebens (Art. 7 der EU-Grundrechtecharta).
  • Kein Rechtsschutz: EU-Bürger hatten keine wirksame Möglichkeit, sich gegen diese Zugriffe zu wehren (Art. 47 der Charta).
  • Unzureichende Prüfung: Die Kommission hatte nicht festgestellt, dass das US-Recht selbst ein angemessenes Schutzniveau bietet.

Zugleich stellte der EuGH klar, dass nationale Datenschutzbehörden Beschwerden zu Drittlandübermittlungen selbst prüfen dürfen und müssen.

Die Folgen in Deutschland

Deutsche Aufsichtsbehörden setzten das Urteil konsequent durch. Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit verhängte 2016 Bußgelder gegen Adobe (8.000 €), Punica (9.000 €) und Unilever (11.000 €). Die Unternehmen hatten auch Monate nach dem Urteil weiter Daten auf Grundlage von Safe Harbor in die USA übermittelt, ohne auf Alternativen wie Standardvertragsklauseln umzustellen. Auch die Aufsicht in Rheinland-Pfalz prüfte damals Unternehmen in ihrem Zuständigkeitsbereich.

Privacy Shield (2016–2020): Warum ist der „Datenschutzschild“ gescheitert?

Als Nachfolger trat am 12. Juli 2016 der EU-US Privacy Shield in Kraft, auf Deutsch „EU-US-Datenschutzschild“ (Durchführungsbeschluss (EU) 2016/1250). Das Prinzip der Selbstzertifizierung blieb. Neu waren eine Ombudsperson im US-Außenministerium, an die sich EU-Bürger mit Beschwerden über Geheimdienstzugriffe wenden konnten, sowie eine jährliche gemeinsame Überprüfung.

Das Urteil Schrems II

Max Schrems setzte sein Verfahren gegen Facebook fort, das seine Übermittlungen inzwischen auf Standardvertragsklauseln stützte. Die irische Datenschutzbehörde brachte die Frage selbst vor den High Court, der sie erneut dem EuGH vorlegte. Am 16. Juli 2020 erklärte der EuGH den Privacy Shield für ungültig (C-311/18). Die Gründe:

  • Unverhältnismäßige Überwachung: US-Programme auf Grundlage von Section 702 des Foreign Intelligence Surveillance Act (FISA) und der Executive Order 12333 waren nicht auf das zwingend Erforderliche beschränkt. Auch die Präsidialrichtlinie PPD-28 änderte daran nichts.
  • Kein wirksamer Rechtsbehelf: Die Ombudsperson war weder unabhängig wie ein Gericht noch konnte sie die Geheimdienste verbindlich anweisen. Das genügte Art. 47 der Charta nicht.

Die Standardvertragsklauseln (Standard Contractual Clauses, SCC) ließ der EuGH bestehen, allerdings mit einer neuen Pflicht: Der Datenexporteur muss im Einzelfall prüfen, ob das Recht im Zielland den Schutz unterläuft, und gegebenenfalls zusätzliche Maßnahmen ergreifen. Daraus entstand das Transfer Impact Assessment (TIA), die Bewertung des Übermittlungsrisikos. 2021 veröffentlichte die Kommission neue Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914). Die alten Klauseln durften nur noch bis Ende 2022 genutzt werden.

Die Folgen in Deutschland

Nach Schrems II forderten deutsche Aufsichtsbehörden, etwa die Berliner Beauftragte für Datenschutz, Daten aus den USA nach Europa zurückzuverlagern. Im August 2020 reichte Schrems‘ Organisation noyb 101 Musterbeschwerden gegen Websitebetreiber in ganz Europa ein, weil diese weiter Google Analytics oder Facebook Connect nutzten. Darunter waren sieben deutsche Websites.

Auch deutsche Gerichte befassten sich mit den Folgen:

  • LG München I, Urteil vom 20. Januar 2022 (3 O 17493/20): Eine Website hatte Google Fonts direkt von Google-Servern geladen und dabei die IP-Adressen der Besucher in die USA übertragen. Das Gericht sprach einem Besucher 100 € Schadensersatz zu. Das Urteil löste eine Welle von Abmahnungen aus.
  • Vergabekammer Baden-Württemberg und OLG Karlsruhe (2022): Die Vergabekammer schloss im Sommer 2022 einen Anbieter aus, weil schon das „latente Risiko“ eines Zugriffs durch US-Behörden auf die EU-Tochter eines US-Konzerns eine Übermittlung darstelle. Das OLG Karlsruhe hob diese Entscheidung am 7. September 2022 auf (15 Verg 8/22): Öffentliche Auftraggeber dürfen auf verbindliche Zusagen vertrauen, dass Daten nur in Deutschland verarbeitet werden.

Data Privacy Framework (seit 2023): Was ist diesmal anders?

Grundlage des dritten Anlaufs ist die Executive Order 14086 des US-Präsidenten vom 7. Oktober 2022. Sie verpflichtet die Geheimdienste, nur noch „notwendige und verhältnismäßige“ Zugriffe vorzunehmen, und schafft ein zweistufiges Beschwerdeverfahren mit einem neuen Data Protection Review Court (DPRC). Darauf stützt sich der Angemessenheitsbeschluss (EU) 2023/1795 vom 10. Juli 2023, das EU-US Data Privacy Framework (DPF). In der Fachdiskussion ist auch vom „Trans-Atlantic Data Privacy Framework“ (TADPF) oder „Privacy Shield 2.0“ die Rede.

Kritiker bemängeln, dass FISA Section 702 weiter besteht und eine Executive Order vom Präsidenten jederzeit geändert werden kann. Der französische Abgeordnete Philippe Latombe klagte deshalb vor dem Gericht der EU. Das Gericht wies die Klage am 3. September 2025 ab (T-553/23) und bestätigte das DPF. Gegen dieses Urteil hat Latombe Ende Oktober 2025 Rechtsmittel beim EuGH eingelegt (C-703/25 P). Das Verfahren läuft noch. Bis zu einer Entscheidung bleibt das DPF wirksam.

Die wichtigsten Begriffe im Überblick

  • Angemessenheitsentscheidung / Angemessenheitsbeschluss: Feststellung der EU-Kommission, dass ein Drittland ein ausreichendes Datenschutzniveau bietet (heute Art. 45 DSGVO, früher Art. 25 der Richtlinie 95/46/EG).
  • Safe Harbor („sicherer Hafen“), 2000–2015: Selbstzertifizierung von US-Unternehmen, gekippt durch Schrems I.
  • Privacy Shield („Datenschutzschild“), 2016–2020: Nachfolger mit Ombudsperson, gekippt durch Schrems II.
  • Data Privacy Framework (DPF), seit 2023: aktueller Angemessenheitsbeschluss mit Data Protection Review Court.
  • Standardvertragsklauseln (SCC): von der Kommission vorgegebene Vertragsklauseln als Alternative zur Angemessenheitsentscheidung (Art. 46 DSGVO).
  • Transfer Impact Assessment (TIA): Prüfung des Rechts im Zielland bei Übermittlungen auf Grundlage von SCC.
  • Schrems I, II und III: umgangssprachliche Namen der EuGH-Verfahren gegen die US-Regelungen.

Unser Praxistipp

Prüfen Sie Ihre älteren Verträge mit Dienstleistern. In AV-Verträgen und Datenschutzerklärungen finden sich bis heute Verweise auf Safe Harbor, den Privacy Shield oder die alten Standardvertragsklauseln. Diese Grundlagen tragen nicht mehr. Bei US-Anbietern sollte entweder eine aktuelle DPF-Zertifizierung oder sollten die Standardvertragsklauseln von 2021 vereinbart sein, idealerweise beides. So bleiben Ihre Übermittlungen auch dann abgesichert, wenn der EuGH das Data Privacy Framework kippen sollte.

Häufige Fragen zur Geschichte des EU-US-Datentransfers

Kann ich mich heute noch auf Safe Harbor oder den Privacy Shield berufen?

Nein. Beide Regelungen sind ungültig. Übermittlungen in die USA brauchen heute das Data Privacy Framework, Standardvertragsklauseln oder eine andere Grundlage nach Art. 44 ff. DSGVO.

Wer ist Max Schrems?

Ein österreichischer Jurist und Datenschutzaktivist. Er hat die Verfahren Schrems I und Schrems II angestoßen und die Organisation noyb gegründet, die europaweit Datenschutzbeschwerden führt.

Wird auch das Data Privacy Framework gekippt?

Das ist offen. Das Gericht der EU hat es 2025 bestätigt, das Rechtsmittel beim EuGH ist anhängig. Wer US-Dienstleister nutzt, sollte deshalb zusätzlich Standardvertragsklauseln vereinbaren.

Warum hat Deutschland so viele Verfahren zu US-Übermittlungen?

Deutsche Aufsichtsbehörden und Gerichte gelten als besonders streng. Hinzu kommt, dass Betroffene in Deutschland häufig Schadensersatz nach Art. 82 DSGVO geltend machen, wie die Google-Fonts-Fälle gezeigt haben.

Fazit

Safe Harbor und Privacy Shield sind am selben Problem gescheitert: am weitreichenden Zugriff von US-Geheimdiensten und am fehlenden Rechtsschutz für EU-Bürger. Das Data Privacy Framework soll beides lösen und hat die erste gerichtliche Prüfung bestanden. Ob es auch vor dem EuGH Bestand hat, ist offen. Unternehmen sichern ihre US-Übermittlungen deshalb am besten doppelt ab.

Verwandte Begriffe im Glossar

Quellen und Rechtsgrundlagen

Sind Ihre US-Datentransfers sauber abgesichert?

Wir prüfen Ihre Dienstleister und Verträge auf veraltete Grundlagen und sichern Ihre Übermittlungen in die USA rechtlich ab.

  • Prüfung von DPF-Zertifizierungen, AV-Verträgen und Standardvertragsklauseln
  • Website-Monitoring rund um die Uhr inklusive
  • Als Teil unseres Datenschutzmandats ab 179 € netto im Monat

Sprechen Sie uns an – wir beraten Sie gern.

Beratung anfragen

Unser Angebot: Datenschutzbeauftragter

Telefon 02941 / 9787-0 · E-Mail info@hmcplus.de

Zur Glossar-Übersicht