Meta: 1,2 Milliarden Euro Strafe wegen Datentransfers in die USA
Es ist eine Rekordstrafe nach zehn Jahren des Hin und Hers und drei Klagen gegen die irische Datenschutzbehörde: Meta Platforms, also das Unternehmen hinter Facebook, Instagram und WhatsApp, ist heute Montag zu einer Rekordstrafe in der EU von satten 1,2 Milliarden Euro verdonnert worden. Es geht natürlich um die Datentransfers von EU-Bürger:innen in die USA, die rechtlich nicht abgedeckt gewesen sein sollen. Die Datenübermittlung des Social-Network-Giganten in die USA habe „die Risiken für die Grundrechte und -freiheiten“ bedroht, weil sie nicht ausreichend vor dem Zugriff durch US-Sicherheitsbehörden geschützt gewesen seien, erklärte die irische Datenschutzkommission (DPC) am Montag.
Wie bekannt, läuft der Rechtsstreit seit den Enthüllungen von Edward Snowden über NSA-Massenüberwachung (Stichwort „Prism“). Die DPC ist zu dem Schluss gekommen, dass die Datenübertragung der Facebook-Nutzer:innen einen Verstoß gegen Artikel 46 Absatz 1 der Datenschutz-Grundverordnung (DSGVO) darstellen – und dass diese Datenübermittlungen innerhalb der nächsten 5 Monate ausgesetzt werden müssen. Außerdem müssen übertragene Daten innerhalb der nächsten sechs Monate gelöscht werden. Grundlage des Rechtstreits ist der Fall „Data Protection Commissioner v Facebook Ireland Limited and Maximillian Schrems“, der seit Jahren läuft. Max Schrems ist jener weltweit berühmte Österreicher, der den Datenschutzkampf gegen Facebook seit vielen Jahren anführt.
Die Strafe ist deutlich höher als jene gegen Amazon von 746 Millionen Euro, die 2021 auf Grundlage der DSGVO verhängt wurde. „Wir sind froh über diese Entscheidung nach zehn Jahren Rechtsstreit. Das Bußgeld hätte wesentlich höher ausfallen können, da die Höchststrafe bei über 4 Milliarden liegt und Meta zehn Jahre lang wissentlich gegen die DSGVO verstoßen hat, um Profit zu machen. Wenn die US-Überwachungsgesetze nicht geändert werden, wird Meta nun wohl seine Systeme grundlegend umstrukturieren müssen“, so Max Schrems in einer Aussendung. Das Urteil, so Schrems‘ Datenschutz-Organisation noyb, würde auch für Cloud-Anbieter wie Microsoft, Google oder Amazon ein Problem darstellen. Denn das zugrunde liegende US-Überwachungsgesetz (FISA 702) müsse bis Dezember 2023 neu autorisiert werden. Dieser „Foreign Intelligence Surveillance Act“ ermöglicht es US-Geheimdiensten, die digitale Kommunikation von Unternehmen ohne richterliche Zustimmung einzufordern.
Neues Datenschutzabkommen notwendig
„Die einfachste Lösung wären vernünftige Garantien im US-Recht. Auf beiden Seiten des Atlantiks besteht Einigkeit darüber, dass man einen begründeten Verdacht und eine Genehmigung durch einen Richter für legale Überwachung brauchen. Bisher gilt das aber nach US-Recht nur für die eigenen Bürger. Es wäre an der Zeit, diesen grundlegenden Schutz auch den EU-Kunden von US-Cloud-Anbietern zu gewähren. Jeder andere große US-Cloud-Anbieter wie Amazon, Google oder Microsoft könnte von einer ähnlichen Strafe nach EU-Recht betroffen sein“, so Schrems weiter.
Meta wird voraussichtlich vor irischen Gerichten bzw. auf europäischer Ebene in Berufung gehen. Möglich ist, dass das Unternehmen auf andere EU-US-Abkommen ausweichen will, um weiter Daten von EU-Bürger:innen verarbeiten zu können. Doch das könnte schwierig werden, weil ältere Datenschutzabkommen („Safe Harbour“, Privacy Shield“) bereits wieder gekippt wurden. Wie berichtet wurde Privacy Shield, das selbst ein Ersatz für Safe Harbour sein sollte, im Jahr 2020 vom EuGH für ungültig erklärt. „Meta plant, sich bei künftigen Übermittlungen auf das neue Abkommen zu stützen – aber das ist vermutlich keine dauerhafte Lösung. Meiner Meinung nach hat das neue Abkommen vielleicht eine zehnprozentige Chance, nicht vom EuGH gekippt zu werden. Solange die US-Überwachungsgesetze nicht geändert werden, wird Meta die EU-Daten wahrscheinlich in der EU behalten müssen“, so Schrems.
Schrems‘ Kampf war übrigens nicht alleine gegen Meta Platforms gerichtet, sondern vor allem auch gegen die irische Datenschutzbehörde, die die EU-Regeln zugunsten Meta oft recht frei auslegte. „Wir haben zehn Jahre lang gegen die irische Datenschutzbehörde geklagt, um zu diesem Ergebnis zu kommen. Wir mussten drei Verfahren gegen die DPC anstrengen und haben dabei Millionen an Verfahrenskosten riskiert. Die irische DPC hat alles getan, um diese Entscheidung zu verhindern, wurde aber immer wieder von den europäischen Gerichten und Institutionen zurechtgewiesen. Es ist irgendwie absurd, dass die Rekordstrafe an Irland geht – den EU-Mitgliedstaat, der alles getan hat, um sicherzustellen, dass diese Strafe nicht verhängt wird“, so Schrems.
Datenschützer Max Schrems: Einsatz von Google Analytics in EU illegal
