Die irische Datenschutzbehörde DPC hat den Facebook-Konzern Meta zu einer Strafzahlung von 1,2 Milliarden Euro verdonnert. Europäische Datenschutzregeln und die Internetgiganten aus den USA – das passt irgendwie nicht zusammen.
Es ist die höchste Datenschutzstrafe, die in der EU bisher verhängt wurde. Meta "überholt" damit Amazon, das 2021 zu rund einer Dreiviertel-Milliarde verdonnert worden war. Das Urteil bezieht sich nur auf den Datenmissbrauch bei Facebook – über die Datenverarbeitung anderer Meta-Dienste wie Whatsapp oder Instagram wurde nicht geurteilt.
"Es geht darum, dass Facebook Nutzerdaten aus Europa in die USA übermittelt – und amerikanische Geheimdienste dann nach US-Recht auf die Daten auf den dortigen Servern zugreifen können."
Facebook übermittelt Unmengen von Nutzerdaten aus Europa in die USA. Einmal dort, dürfen diese Daten dann nach US-Recht von amerikanischen Geheimdiensten durchsucht werden.
Das jetzige Urteil geht auf eine Beschwerde zurück, die der österreichische Datenschutz-Aktivist Max Schrems vor rund zehn Jahren eingelegt hat – nachdem durch den US-Whistleblower Edward Snowden der NSA-Überwachungsskandal aufgedeckt wurde.
Forderung: Nutzerdatenübertragung stoppen
Weil sich an der Rechtslage bisher nicht viel geändert hat, könnten US-Geheimdienste auch heute noch auf die Facebook-Nutzerdaten aus Europa zugreifen, um uns auszuspionieren, so die Befürchtung.
Mit der Milliardenstrafe verbunden ist die Forderung, die Nutzerdatenübertragung im nächsten halben Jahr zu stoppen und die Daten der letzten zehn Jahre aus den USA zurückzuholen beziehungsweise dort zu löschen. Technisch und finanziell wäre das eine ziemliche Herausforderung.
Meta will Einspruch einlegen
Der Meta-Konzern hält die Entscheidung für unfair und hat daher bereits angekündigt, Einspruch einzulegen. Das Ganze könnte zum "gefährlichen" Präzedenzfall für andere Online-Unternehmen werden, die Daten zwischen der EU und den USA transferieren, so die Argumentation.
Tatsächlich hätte die Entscheidung der irischen Datenschutzbehörde prinzipiell auch andere US-Tech-Giganten treffen können, die nach dem selben Prinzip arbeiten.
"Mit dem Einspruch könnte es Meta auch darum gehen, auf Zeit zu spielen. Aktuell laufen Vorbereitungen zu einem neuen US-europäischen Datentransfer-Abkommen."
Mit dem Einspruch gewinnt der Meta-Konzern auf jeden Fall Zeit. Denn mit einem Berufungsverfahren könnten es Jahre dauern, bis die Entscheidung endgültig in Kraft tritt. Und es laufen aktuell Vorbereitungen zu einem neuen US-europäischen Datentransfer-Abkommen. Nach letzten Angaben der EU-Kommission soll das bis zum Sommer fertig sein.
Neues Datentransfer-Abkommen
Ob dieses Abkommen dann aber auch tatsächlich alle Probleme vom Tisch wischt, darf bezweifelt werden. Denn bereits zwei frühere Datenabkommen zwischen der EU und den USA ("Privacy Shield" und "Safe Harbor") sind am Europäischen Gerichtshof (EuGH) gescheitert. Das ist erneut nicht ausgeschlossen.
USA pochen auf Gefahrenabwehr
In den USA beharren alle Präsidenten der letzten Jahre, von Obama über Trump bis Biden, auf dem Recht, auf die Nutzerdaten zugreifen zu können – um mögliche Gefahren abzuwehren. Die EU legt dagegen viel Wert auf Datenschutz, und einige EU-Institutionen sind da besonders streng: zum einen der EuGH, aber auch der Europäische Datenschutzausschuss (EDSA) – dieser hat Irland überhaupt erst dazu gebracht, die Rekordstrafe gegen Meta zu verhängen.
Irland ist für Facebook zuständig, weil dort die Europazentrale des Sozialen Netzwerks steht. Die irische Datenschutzbehörde mit Sitz in Dublin musste jetzt einer Vorgabe des EDSA folgen – und dieser hatte sich vor einigen Wochen auf eine Rate von 20 bis 100 Prozent des Facebook-Jahresumsatzes verständigt. Das Rekord-Bußgeld zum fünfjährigen Inkrafttreten der Europäischen Datenschutz-Grundverordnung (DSGVO) hätte also durchaus noch sehr viel höher ausfallen können, meint Deutschlandfunk-Nova-Netzreporter Andreas Noll.
Irland gilt im Umgang mit den großen Tech-Giganten eher als milde. Der irische Staat verdient nämlich gut damit, dass große US-Firmen ihren Europasitz dort ansiedeln. Aktivist*innen hatten die irische Datenschutzbehörde DPC deshalb immer wieder dafür kritisiert, zu nachgiebig und zu langsam zu sein. Nun ist sie endlich aktiv geworden.