1,2 Milliarden Euro: DSGVO-Rekordstrafe gegen Meta

Die Entscheidung ist gefallen: Auf Meta kommt eine Rekordstrafe wegen Verstößen gegen die Datenschutzgrundverordnung (DSGVO) zu. 1,2 Milliarden Euro soll der Konzern laut Urteil der irischen Datenschutzbehörde zahlen. Die bisherige Höchststrafe von 764 Millionen Euro musste Amazon vor zwei Jahren zahlen. Es geht um einen Streit um die Übertragung von Nutzerdaten aus der EU auf US-Server. „Wir sind froh über diese Entscheidung nach zehn Jahren Rechtsstreit“, erklärt Max Schrems vom Verein Noyb in einer Mitteilung.

Schrems kämpft seit mittlerweile zehn Jahren darum, US-Konzerne für ihre Datenpolitik zur Rechenschaft zu ziehen. Als 2013 die Enthüllungen von Edward Snowden über die Unterstützung des NSA-Massenüberwachungsapparats durch US-Großunternehmen ans Licht kam, brachte Schrems eine Beschwerde gegen Facebook ein. Meta habe sowohl den Europäischen Gerichtshof (EuGH) als auch den Europäischen Datenschutzausschuss (EDSA) „einfach ignoriert“, so Noyb. Neben der Strafzahlung muss Meta nun auch alle personenbezogenen Daten an seine EU-Rechenzentren zurückbringen.

Erfolgreiche Berufung unwahrscheinlich?

Meta hat bereits angekündigt, Rechtsmittel einzulegen: „Hier geht es nicht um die Datenschutzpraktiken eines Unternehmens – es besteht ein grundlegender Rechtskonflikt zwischen den Regeln der US-Regierung für den Zugang zu Daten und den europäischen Datenschutzrechten, den die politischen Entscheidungsträger voraussichtlich im Sommer lösen werden“, heißt es in einem Statement, das dem Spiegel vorliegt.

Die Chancen, dass diese auch erfolgreich sein wird, schätzt Noyb als gering ein. Der EuGH hat bereits in zwei Fällen entschieden, dass es keine gültige Rechtsgrundlage für Datenübermittlungen zwischen der EU und den USA zwischen mindestens 2007 und 2023 gab. Auch ein neues EU-US-Abkommen würde vergangene Rechtsverstöße nicht legalisieren. „Meta kann allenfalls die Zahlung der Geldbuße ein wenig hinauszögern“, schätzt Max Schrems.

Nach dem Sommer wird wohl ein neues Abkommen für künftige Datenübermittlungen in Kraft treten. Ob dieses dem Konzern aber wirklich etwas bringen wird, sei unwahrscheinlich, denn es sei wahrscheinlich, dass auch das neue Abkommen vom EuGH für ungültig erklärt werde – so, wie es schon mit den beiden früheren Abkommen „Privacy Shield“ und „Safe Harbor“ geschehen ist.

Max Schrems: „Meta plant, sich bei künftigen Übermittlungen auf das neue Abkommen zu stützen – aber das ist vermutlich keine dauerhafte Lösung. Meiner Meinung nach hat das neue Abkommen vielleicht eine zehnprozentige Chance, nicht vom EuGH gekippt zu werden. Solange die US-Überwachungsgesetze nicht geändert werden, wird Meta die EU-Daten wahrscheinlich in der EU behalten müssen.“

Meta wird sich nicht aus Europa zurückziehen

Der Rechtsstreit zog sich über eine ganze Dekade, vor allem, weil die irische Datenschutzbehörde Meta (damals noch Facebook) stets mit Samthandschuhen angefasst hatte. „Wir mussten drei Verfahren gegen die DPC anstrengen und haben dabei Millionen an Verfahrenskosten riskiert. Die irische DPC hat alles getan, um diese Entscheidung zu verhindern, wurde aber immer wieder von den europäischen Gerichten und Institutionen zurechtgewiesen“, so Schrems. Er hält es für absurd, dass die Strafzahlung nun an Irland gehen werde, „den EU-Mitgliedstaat, der alles getan hat, um sicherzustellen, dass diese Strafe nicht verhängt wird.“

Meta hatte in den vergangenen Jahren immer wieder damit gedroht, seine Dienste in Europa einzustellen, wenn es wirklich zu einer Verurteilung kommen sollte. Diese Ankündigung sei aber unglaubwürdig, schon allein, weil Europa außerhalb der USA der größte Markt für den Konzern ist und Meta längst lokale Datenzentren in der EU errichtet hat. Schrems sieht als mögliche Option für die Zukunft eher eine Art „föderales soziales Netzwerk, bei dem die europäischen Daten in den Rechenzentren in Europa verbleiben, es sei denn, die Nutzer chatten zum Beispiel mit einem US-Freund.“