1,2 Mrd. Euro Bußgeld gegen Meta: Folgen für US-Datentransfers

Am 22. Mai 2023 hat die irische Datenschutzbehörde (Data Protection Commission, DPC) gegen Meta Platforms Ireland ein Bußgeld von 1,2 Milliarden Euro verhängt. Es ist das höchste Bußgeld seit Geltung der DSGVO. Gegenstand sind die Übermittlungen personenbezogener Daten europäischer Facebook-Nutzer in die USA. Meta hat angekündigt, gegen die Entscheidung vorzugehen.

Der Hintergrund

Das Verfahren ist eine direkte Folge des Schrems-II-Urteils des EuGH aus dem Jahr 2020. Nach dem Wegfall des Privacy Shields stützte Meta die Übermittlungen auf Standardvertragsklauseln in Verbindung mit zusätzlichen Maßnahmen. Die DPC kam zu dem Ergebnis, dass diese Maßnahmen die Risiken für die Grundrechte der Nutzer nicht ausräumten, die sich aus dem Zugriff US-amerikanischer Behörden ergeben.

Die Rolle des Europäischen Datenschutzausschusses

Bemerkenswert ist das Zustandekommen der Entscheidung. Der ursprüngliche Entscheidungsentwurf der irischen Behörde sah kein Bußgeld vor. Andere europäische Aufsichtsbehörden erhoben Einwände. Der Europäische Datenschutzausschuss (EDSA) fasste daraufhin im Streitbeilegungsverfahren nach Art. 65 DSGVO einen verbindlichen Beschluss, auf dessen Grundlage die DPC das Bußgeld verhängte.

Die Anordnungen

• Meta muss künftige Übermittlungen personenbezogener Daten in die USA innerhalb von fünf Monaten aussetzen.
• Meta muss innerhalb von sechs Monaten die rechtswidrige Verarbeitung, einschließlich der Speicherung in den USA, von bereits rechtswidrig übermittelten Daten europäischer Nutzer beenden.

Bedeutung für kleine und mittlere Unternehmen

Auf den ersten Blick betrifft die Entscheidung nur einen Großkonzern. Die rechtliche Argumentation gilt aber für jedes Unternehmen, das Daten in die USA übermittelt oder US-Dienste nutzt: Standardvertragsklauseln allein genügen nicht, wenn der Empfänger Überwachungsgesetzen unterliegt und die Daten im Klartext verarbeiten kann. Das deckt sich mit der Linie, die etwa die österreichische Datenschutzbehörde zu Google Analytics vertreten hat.

Hoffnung auf ein neues Abkommen

Die EU-Kommission arbeitet an einem neuen Angemessenheitsbeschluss für die USA, dem sogenannten EU-US Data Privacy Framework. Grundlage ist eine Executive Order des US-Präsidenten vom Oktober 2022, die die Zugriffe der Nachrichtendienste beschränken und einen neuen Rechtsbehelfsmechanismus schaffen soll. Ob und wann der Beschluss erlassen wird, ist offen. Ebenso offen ist, ob er einer erneuten Überprüfung durch den EuGH standhalten würde.

Was Unternehmen jetzt tun sollten

1. Übermittlungen in die USA im Verzeichnis von Verarbeitungstätigkeiten erfassen und aktualisieren.
2. Sicherstellen, dass die neuen Standardvertragsklauseln verwendet werden und ein Transfer Impact Assessment vorliegt.
3. Wirksame zusätzliche Maßnahmen prüfen, etwa Verschlüsselung mit Schlüsselhoheit in der EU.
4. Für kritische Anwendungen Alternativen mit Datenverarbeitung in der EU in Betracht ziehen.
5. Die Entwicklung rund um das Data Privacy Framework verfolgen.

Bis eine tragfähige Nachfolgeregelung für das Privacy Shield vorliegt, bleibt der Datentransfer in die USA ein Thema, das dokumentiert geprüft und regelmäßig neu bewertet werden muss. Wir unterstützen Sie dabei, Ihre US-Dienste rechtssicher aufzustellen. Zum Kontaktformular oder Termin buchen.