Der Kläger des Privacy-Shield Verfahrens, Max Schrems, hat 101 Beschwerden gegen Unternehmen bei europäischen Aufsichtsbehörden eingereicht, da diese Google-Analytics oder Facebook-Connect einsetzen.
Hintergrund
Am 16.07.2020 hat der Europäische Gerichtshof (EuGH) das EU-US Privacy-Shield für unwirksam erklärt. Dieses war bisher das meistgenutzte Instrument, um Datenübermittlungen von Europa in die USA rechtlich zulässig zu gestalten. Gleichzeitig hat der Gerichtshof strenge Anforderungen an den Einsatz von Standardvertragsklauseln (SCCs) als Alternative gestellt.
Als Reaktion auf das Urteil haben große Dienstanbieter, wie Microsoft, Facebook und Google ihre Dienste und Verträge auf den Einsatz von SCCs umgestellt und in Stellungnahmen die Auffassung vertreten, dass die Datenübermittlung an diese Dienste damit weiterhin zulässig seien.
Dies war dem Datenschutzaktivisten Schrems allerdings ein Dorn im Auge. Über Twitter kritisierte er die Ankündigung von Google scharf und nannte die Umstellung bei Google eine „drei Affen Lösung“ und verlieh seinem Post Nachdruck mit dem Hashtag #AskingForTrouble.
Die Beschwerden
Nun setzte Schrems die Drohung offenbar in die Tat um. Die Datenschutzorganisation noyb.eu, die Max Schrems ins Leben rief, verkündete auf ihrer Webseite 101 Beschwerden gegen Unternehmen in 30 EU- und EWR-Mitgliedstaaten eingereicht zu haben.
Die Organisation hat mittels einer HTML-Suche nach Code von Facebook und Google auf Webseiten großer Unternehmen gesucht. Ein Verfahren, über das sehr zügig bei einer Vielzahl von Unternehmen festgestellt werden kann, ob entsprechende Dienste zum Einsatz kommen. Anschließend hat die Organisation sich Unternehmen in verschiedenen Ländern ausgesucht und bei zahlreichen Aufsichtsbehörden Beschwerden eingelegt.
In Deutschland wurden etwa Beschwerden gegen Sky Deutschland, netzwelt GmbH, TV Spielfilm und die Handelsblatt GmbH bei den Aufsichtsbehörden von Nordrhein-Westphalen, Berlin, Baden-Württemberg, Bayern und Hamburg eingereicht.
Zudem hat die Organisation Beschwerde gegen Facebook und Google eingereicht, da diese Daten von Unternehmen aus der EU „weiterhin akzeptieren“ und in den USA verarbeiten, obwohl bekannt ist, dass sie den US-Überwachungsgesetzen FISA 702 und EO 12.333 unterliegen.
Da der EuGH in seinem Urteil auch ausdrücklich klargestellt hat, dass die Aufsichtsbehörden verpflichtet sind tätig zu werden, müssen diese nun Aufsichtsverfahren einleiten und Maßnahmen ergreifen, um entsprechende Datenverarbeitungen zu unterbinden. Es ist also zu erwarten, dass es bald erste Entscheidungen von Aufsichtsbehörden zum Urteil geben wird. Da Aufsichtsbehörden aus verschiedenen Ländern tätig werden, bleibt zu hoffen, dass diese sich abstimmen, damit kein Flickenteppich mit unterschiedlichen Entscheidungen und Rechtsfolgen in den einzelnen Ländern entsteht.
Das Bedeutet die Entwicklung für Unternehmen
Die Anzahl der Beschwerden zeigt, wie einfach es aktuell ist, Unternehmen ausfindig zu machen, die Dienste von großen US-Anbietern einsetzen. Auch wenn sich die Beschwerden bislang nur gegen große Unternehmen richten, besteht die Gefahr, dass Trittbrettfahrer nun ihrerseits Beschwerden gegen weitere Unternehmen einreichen. Auch besteht das Risiko von Abmahnungen, sofern entsprechende Dienste eingesetzt werden. Unternehmen sollten daher unbedingt den Einsatz von US-Dienstleistern datenschutzrechtlich überprüfen.
Letztlich bleibt jedoch zu hoffen, dass die Beschwerden zu Rechtsklarheit bei Unternehmen führen und das Risiko endlich einschätzbar wird. Da sich die Beschwerden auch gegen Google und Facebook selbst richten, kann auch gehofft werden, dass hier Lösungen gefunden werden, mit denen die Dienste in Zukunft datenschutzkonform eingesetzt werden können.
Gerne beraten wir Sie bezüglich konkreter Maßnahmen. Kontaktieren Sie uns hierfür unter: kontakt[at]rmprivacy.de