Schrems III bis CIV

von Eckart Holzinger

18. August 2020

Lesedauer: 2 Minuten

Management Summary

Die Datenschutz-NGO noyb, die von Max Schrems gegründet wurde, hat am 17.08.2020 über 100 Beschwerden an unterschiedliche Datenschutzbehörden in ganz Europa verschickt. Alles was Sie dazu jetzt wissen müssen, erfahren Sie in diesem Artikel!

Consent Management

Von der Pflicht zur Kür - wir bieten Ihnen wohlüberlegte Consent-Management-Lösungen für alle Bereiche und Branchen an.

Mehr Erfahren

Insgesamt wurden 101 Beschwerden an 17 verschiedene Aufsichtsbehörden versandt, in denen Unternehmen angezeigt werden, die trotz des EuGH-Urteils vor etwa einem Monat über die Nichtigkeit des EU-US-Datenschutzschildes (C-311/18, „Schrems II“) weiterhin Daten mit Facebook und Google austauschen. Die Auswahl der Unternehmen aus allen Staaten der EU bzw. des EWR erfolgte laut noyb “anhand von europäischen TLDs (wie etwa „.de“ für Deutschland), zwei spezifischen Tracking-Codes und den groben Besucherzahlen der Seite […]” (https://noyb.eu/de/101-beschwerden-zu-eu-us-transfers-eingereicht).

Ziel der Beschwerde wegen Verletzung der DSGVO durch die Datenweitergabe an die USA nach Beendigung des Privacy Shields sind wirksame, verhältnismäßige und abschreckende Geldbußen gegen die Unternehmen, die z.B. Google Analytics nutzen. Und natürlich auch gegen Facebook und Google selbst.

Interessant dabei ist, dass den betroffenen Unternehmen auch die Verwendung von Standardvertragsklauseln – die ja im EuGH-Urteil unter gewissen Voraussetzungen noch als gültig betrachtet wurden – als Rechtsgrundlage entzogen werden sollen. Der Grund dafür sind die Überwachungsgesetze in den USA, die bekannterweise BürgerInnen der EU die Betroffenenrechte laut DSGVO verweigern.

An dieser Stelle ist anzumerken, dass sich laut der Beschwerden von noyb die zukünftigen Datenverarbeitungsbedingungen von Facebook “die nur 6 Wochen nach dem Urteil (!) in Kraft treten werden” (zitiert nach https://noyb.eu/files/C29/complaint-46.pdf – Punkt 1.10) wiederum auf das ja obsolete EU-US-Datenschutzschild beziehen. Sollte das tatsächlich so sein, ist das natürlich ein Fehler von Facebook, welcher deren Kunden einem Rechtsrisiko und potenziellen finanziellen Forderungen aussetzt.

Nach ersten Diskussionen scheinen die Beschwerden gegen Facebook in der Sache aussichtsreicher als diejenigen, die Google Analytics betreffen. Denn wenn hierbei alle Vorgaben – keine Verarbeitung von personenbezogenen Daten, IP-Anonymisierung – eingehalten werden, sollte die Angriffsfläche doch gering sein.

Wichtig: Wenn Sie es noch nicht getan haben, dann schließen Sie mit Google dennoch die angebotenen Standard-Vertragsklauseln ab. Diese sollten zumindest bis zu einem klaren Beschluss des EuGH weiterhin gültig sein und Sie daher mit einer funktionierenden Rechtsgrundlage ausstatten. Für Kunden von Facebook gilt das Gleiche – und zusätzlich, dass sämtliche Prozesse und Verträge einer genauen Begutachtung unterworfen werden sollten. Eine absolute Risikovermeidung kann vermutlich nur unter Einstellung des (möglichen) Transfers von personenbezogenen Daten in die USA gegeben sein.

Abschließend bleibt zu sagen, dass dies derzeit “nur” Beschwerden – gut argumentiert – sind und bis zum Entscheid einer der involvierten Datenschutzbehörden, eventuellen Einsprüchen seitens Google und Facebook, klärenden Ansuchen an den EuGH und dessen Entscheidung, die Rechtslage unklar bleibt.

Unsere Empfehlung: Verwenden Sie eine professionelle Consent Management Platform zur Einholung von Einwilligungen für Ihre Online-Marketing-Aktivitäten. Wir haben viele große Unternehmen dabei unterstützt, maßgeschneiderte und verlässlich funktionierende Lösungen umzusetzen!

Unser Whitepaper, welches Sie hier kostenlos herunterladen können, gibt Ihnen einen Überblick über die verschiedenen Consent Management Plattformen und weitere wichtige und interessante Informationen zum Thema Consent Management allgemein finden Sie hier.