Die irische Datenschutzbehörde Data Protection Commission (DPC) verhängt im Zusammenhang mit dem Datentransfer von Facebook EU-Nutzern zu US-Servern ein Bußgeld in Höhe von umgerechnet 1,2 Milliarden Euro gegen Meta Platforms, Inc. (Meta). Die Entscheidung (DPC Inquiry Reference: IN-20-8-1), die uns vorliegt, umfasst insgesamt 216 Seiten. Neben dem Bußgeld werden Meta zwei Fristen gesetzt: Eine Frist von fünf Monaten, um die Übermittlung von Nutzerdaten in die USA auszusetzen und eine Frist von sechs Monaten, um die unrechtmäßige Verarbeitung der Nutzerdaten, einschließlich der Speicherung in den USA zu beenden. Die irische DPC war in den vergangenen Jahren eher zögerlich im Vorgehen gegen US-Tech Giganten. Nun hat die DPC dieses Bußgeld auf Weisung „von ganz oben“ als verbindliche Entscheidung des Europäischen Datenschutzausschusses (EDPB – European Data Protection Board) ausgesprochen. Meta hat umgehend erklärt, gerichtlichen Schutz gegen die Entscheidungen der EDSA und der DPC zu suchen. Die Ergebnisse der endgültigen gerichtlichen Klärung werden erst in Jahren vorliegen. Aber was passiert bis dahin? 

Recht muss durchgesetzt werden. Das ist unstreitig. Die Entscheidung und das verhängte Bußgeld gegen Meta wird nicht nur dazu führen, dass Meta seine Datenschutzaktivitäten neu überdenken muss, sondern setzt auch ein klares Zeichen für andere Unternehmen ihre Datentransfers erneut zu überprüfen, auch wenn sie die Entscheidung nicht unmittelbar betrifft. Für wen die Entscheidung langfristig nachteiliger ist, ob für Meta, Google, Amazon, Microsoft etc. oder für Europa, wird die Zukunft zeigen. Strategieabteilungen und auch die Juristen und Juristinnen bei den vorgenannten US-Tech Riesen werden sich nun ihre Gedanken machen. Businessmodelle werden geprüft. Die Frage wird auch sein, ob Bußgelder in die Tarife der US-Giganten eingepreist werden oder es schon sind. Mögen die gerichtlichen Verfahren auch Jahre dauern, die Reaktionen der Tech Giganten werden viel kurzfristiger sein.

Die EU und die USA arbeiten an einem neuen Angemessenheitsbeschluss in Form eines Datenschutzabkommens (EU-U.S. Data Privacy Framework). Hier sind aber noch einige Punkte offen. Auch, wenn der Angemessenheitsbeschluss von der EU-Kommission, wie geplant, im Juli 2023 erlassen wird, stehen noch Maßnahmen von Seiten der US-Regierung aus. Tatsächlich sollten wir uns auf Herbst 2023 einstellen. An dem bereits verhängten Bußgeld gegen Meta wird der Angemessenheitsbeschluss nichts ändern. Dann, und das ist längst angekündigt, wird zumindest Max Schrems erneut aktiv werden. Er ist beim EuGH (Europäischer Gerichtshof) erfolgsverwöhnt.

Nach Auffassung der Aufsichtsbehörden verstößt Meta gegen Artikel 46 Absatz 1 DSGVO (Datenschutz-Grundverordnung), weil die Übermittlungen von personenbezogenen Daten unter Umständen erfolgen, die kein im Wesentlichen gleichwertiges Schutzniveau wie das der DSGVO gewährleisten. Das mag sein oder nicht. Die Gerichte werden es klären. Das hat aber jetzt schon Auswirkungen auf alle Anwender, die mit Drittland Software Anbietern, hauptsächlich wohl USA Technologie Konzernen, arbeiten. Die Aufsichtsbehörden haben klargestellt, dass sie den Drittlandtransfer ernst nehmen. Anwender sollten somit Vorkehrungen treffen, dass sie ihre Datenströme datenschutzkonform gestalten. Das hat hohe Priorität, weil es, wie s. o. beschrieben, „von ganz oben“ kommt.

Zurück zum Bußgeld. Nach US-Recht hat Meta korrekt gehandelt. Ist es denkbar, dass das „Opfer“ Meta daher berechtigt sein wird, die Geldbuße in USA von der Steuer abzusetzen? Bei einem ausgewiesenen Gewinn von knapp 23 Milliarden Dollar eine interessante Variante.

Fazit: Diejenigen, die derzeit das gegen Meta verhängte Bußgeld fast euphorisch begrüßen, könnten auch mit einem „Hangover“ erwachen. Wir werden es erleben.

Wilfried Reiners, Rechtsanwalt

CEO PRW Group

München, den 25. Mai 2023