Task-Force der Aufsichtsbehörden – Irische Aufsichtsbehörde unter Beschuss
Nach dem Privacy-Shield Urteil des EuGH (mittlerweile auch bekannt als Schrems II) ist einige Zeit vergangen. Seither ist bei den meisten Firmen wieder etwas Normalität zurückgekehrt. Doch noch immer ist keine Lösung in Sichtweite und einiges ist in Entwicklung bezüglich Datentransfers in die USA. Wir geben einen kurzen Überblick über die wichtigsten Entwicklungen und einen Ausblick, wie es weitergehen könnte.
Beschwerden und Task-Force
Bereits 2015 gab es eine ähnliche Situation bei Datentransfers in die USA. Damals kippte der EuGH das Safe-Harbor-Abkommen, den Vorgänger des Privacy-Shields. Doch wurde das Safe-Harbor-Urteil im Grunde von den Aufsichtsbehörden nicht durchgesetzt. Unternehmen konnten die Rechtsunsicherheiten daher aussitzen, bis das Privacy-Shield erlassen wurde. Dem will der Kläger aus dem Urteil jetzt jedoch vorbeugen. Die NGO des Klägers „NOYB“ hat daher 101 Beschwerden gegen Unternehmen in der gesamten EU eingereicht, die Google Analytics oder Facebook Connect einsetzen. Zwischenzeitlich hat die Organisation offenbar weitere Beschwerden eingereicht.
Als Reaktion hierauf hat der Europäische Datenschutzausschuss (EDSA, engl.: European Data Protection Board – EDPB) eine Task-Force eingerichtet, die sich mit den Beschwerden beschäftigen soll. Der EDSA ist eine Einrichtung, die aus Vertretern der nationalen Datenschutzbehörden besteht und zu einer einheitlichen Anwendung der Datenschutzgrundverordnung (DSGVO) in der EU beitragen soll. Es ist daher zu erwarten, dass die Aufsichtsbehörden sich zu ihrem Vorgehen bezüglich Beschwerden zum Datentransfer in die USA EU-weit abstimmen. Darüber hinaus soll die Task-Force „Empfehlungen ausarbeiten, um die Verantwortlichen und Auftragsverarbeiter bei ihrer Aufgabe zu unterstützen, geeignete zusätzliche Maßnahmen zur Gewährleistung eines angemessenen Schutzniveaus bei der Übermittlung von Daten in Drittländer zu ermitteln und umzusetzen.“
Im Verfahren zu Facebook sind nun Standardvertragsklauseln im Fokus
Auch im Verfahren zur Datenübermittlung von Facebook gibt es neue Entwicklungen. Hier hat sich ein Schlagabtausch zwischen allen Beteiligten ereignet. Nach dem Urteil entschied sich die irische Aufsichtsbehörde ein neues Verfahren gegen Facebook zu eröffnen und untersagte Facebook die Übermittlung von Daten in die USA auf Grundlage der Standardvertragsklauseln (SCC). Sowohl Facebook, als auch NOYB kündigten daraufhin an gegen das Verfahren der Aufsichtsbehörde gerichtlich vorzugehen. In einer ersten Entscheidung des Irish High Courts erzielte Facebook nun einen Teilsieg. Dieser ließ ein Verfahren zur Überprüfung der Entscheidung vor dem obersten Gericht zu.
Gleichzeitig beantragte NOYB eine einstweilige Verfügung gegen die irische Aufsichtsbehörde mit dem Ziel eines strengeren Vorgehens der Aufsichtsbehörde gegen Facebook. Hiermit erhöht NOYB den Druck auf die Aufsichtsbehörde nochmal erheblich. Ist die NGO erfolgreich, drohen der Chefin der Behörde erhebliche Konsequenzen, bis zur Beugehaft, bei Nichtbefolgung.
Facebook hat als Reaktion auf die Entwicklungen einen Affidavit (=Erklärung mit einem Eid) an die irische Aufsichtsbehörde gerichtet. In diesem erklärt Facebook unter Anderem, dass das Unternehmen sämtliche Dienste von Facebook und Instagram in der EU einstellen wird, sofern die Behörde eine Datenübermittlung in die USA unterbindet. Auch Facebook erhöht daher den Druck erheblich auf die Aufsichtsbehörde.
Es bleibt in dem Verfahren spannend, wie die irische Aufsichtsbehörde sich positionieren wird und in welchem Umfang sie gegen Datenübermittlungen in die USA vorgehen wird.
Wie könnte es weitergehen?
Die wichtigste Frage für Unternehmen aktuell ist wie es weitergehen wird. Sofern der EDSA seine Ankündigung bewahrheitet und Guidelines für Datenübermittlungen in die USA veröffentlicht, wird das sicher ein wichtiger Schritt sein. Diese würden deutlich zu einer Rechtssicherheit für Unternehmen beitragen. Es bleibt jedoch abzuwarten, welche Empfehlungen der EDSA abgeben wird und inwiefern diese in der Praxis umsetzbar sind.
Bildernachweis für diesen Beitrag: @ Skórzewiak. adobe.com