Glossarbegriff
Schrems II
Auch: EuGH C-311/18, Privacy Shield Urteil
EuGH-Urteil vom 16. Juli 2020, das den EU-US Privacy Shield für ungueltig erklärte und Standardvertragsklauseln (SCC) nur unter Zusatzgarantien zuliess. Folge: Datenübermittlungen in die USA brauchen Transfer Impact Assessment (TIA) plus zusätzliche Schutzmaßnahmen.
Hintergrund: max Schrems klagte gegen Datenübermittlungen Facebook Ireland - Facebook USA. Der EuGH stellte fest, dass US-Recht (FISA 702, EO 12333) den DSGVO-Mindestanforderungen nicht entspricht.
Folge für EU-Unternehmen: pro Drittlandstransfer eine TIA (Transfer Impact Assessment), die Schutzniveau im Empfängerland prüft. Bei Defiziten zusätzliche Maßnahmen wie Verschlüsselung mit EU-Key-Hoheit, Pseudonymisierung, vertragliche Klauseln, technische Trennungen.
In der Praxis
Stand 2026: EU-US Data Privacy Framework (DPF) ersetzt seit Juli 2023 den Privacy Shield. Liefert eine Zertifizierungs-Basis für DPF-zertifizierte US-Unternehmen, aber DPF kann jederzeit erneut gekippt werden. Konservative DSGVO-Praxis: TIA und Schutzmaßnahmen weiterhin durchziehen.
Verwandte Begriffe
TIA
Bewertung des Schutzniveaus im Empfängerland bei Datenübermittlungen in Drittländer nach Schrems II. Pflicht bei SCC, BCR und Art-49-Ausnahmen. Output: Entscheidung, ob Transfer ohne, mit oder gar nicht durchgeführt werden darf.
DSFA
Pflichtbewertung nach Art. 35 DSGVO bei voraussichtlich hohem Risiko für Rechte und Freiheiten betroffener Personen. Pflicht u.a. bei systematischer Beurteilung, umfangreicher Verarbeitung besonderer Kategorien und systematischer Überwachung öffentlicher Bereiche.
Sovereign cloud
A cloud deployment model that guarantees operational, legal and technical control of data and workloads within a specific jurisdiction (typically the EU). Sovereign cloud answers the concern that hyperscaler deployments remain exposed to foreign jurisdiction, primarily the US CLOUD Act.
SASE
Gartner-Architekturkategorie, die Netzwerk- (SD-WAN) und Security-Funktionen (SWG, CASB, ZTNA, FWaaS, RBI) in einer Cloud-Plattform zusammenfasst. Pendant aus SSE (Security Service Edge) ohne SD-WAN-Anteil.
SBOM
Maschinenlesbares Inventar aller Komponenten einer Software inkl. Versionen, Lizenzen und Abhängigkeiten. Formate: SPDX, CycloneDX, SWID. Pflicht in regulierten Bereichen, in den USA durch Executive Order 14028 vorgegeben.
SOC 2 Type 2
Prüfbericht eines US-Wirtschaftsprüfers nach AICPA-Standard SSAE 18, der die Wirksamkeit der Kontrollen eines Dienstleisters über einen Zeitraum (typischerweise 6-12 Monate) bestätigt. Bezieht sich auf Trust Service Criteria.
Sovereign Cloud
Cloud-Angebot, in dem nicht nur Daten, sondern auch Operations, Personal, Schlüssel und Jurisdiktion innerhalb einer definierten Souveränitäts-Zone (typisch EU oder Mitgliedstaat) liegen. Die Tiefe der Sovereignty variiert pro Anbieter.
SSE
Subset von SASE ohne SD-WAN-Anteil. Bündelt SWG, CASB, ZTNA und (zunehmend) DLP/RBI in einer Cloud-Plattform. Gartner Magic Quadrant existiert eigenständig.