IT/Datenschutz

Meta erhält ein Rekordbußgeld von 1,2 Milliarden Euro

Die irische Datenschutzbehörde DPC verhängt aufgrund von Verstößen gegen die Europäische Datenschutzgrundverordnung (DS-GVO) eine Rekordstrafe von 1,2 Milliarden Euro gegen Meta. Dies stellt das bisher höchste Bußgeld der DS-GVO dar. Damit setzt die Aufsichtsbehörde ein klares Ausrufezeichen, dass Datenschutzverstöße nicht hingenommen werden und diesbezüglich auch mit sehr hohen Bußgeldern zu rechnen ist. Die Höhe des Bußgeldes dürfte höchstwahrscheinlich selbst den Meta Konzern nicht mehr ganz unbeeindruckt lassen.

Die irische Datenschutzbehörde DPC betonte im Bußgeldbescheid, dass Meta trotz einer früheren Entscheidung des EuGH in der prominenten Rechtsache „Schrems II“, personenbezogene Daten von Nutzern aus der EU in die USA übertragen habe. Der EuGH hatte in diesem Urteil deutlich gemacht, dass personenbezogene Daten von EU-Bürgern nur an Drittländer übermittelt werden dürfen, wenn in diesen Ländern ein mit der EU vergleichbares und angemessenes Datenschutzniveau besteht. Ein solches wurde jedoch für die USA ausdrücklich verneint. Hintergrund war die Zugriffsmöglichkeit von US-Geheimdiensten wie z.B. der NSA auf die Daten von EU-Bürgern.  

Meta habe die durch den EuGH festgestellten "Risiken für die Grundrechte und Grundfreiheiten der betroffenen Personen", seit dem Schrems II-Urteil bisher nicht beseitigt.

Neben dem Bußgeld müsse Meta zudem die weitere Übermittlung personenbezogener Daten aus der EU in die USA unterlassen, da der Konzern weiterhin den US-Aufsichtsgesetzen unterliege. Dies trifft Meta wohl noch stärker als das hohe Bußgeld.

Meta kündigte bereits an, Rechtsmittel gegen die Entscheidung der DCP einlegen zu wollen, die Entscheidung sei "fehlerhaft, ungerechtfertigt und stellt einen gefährlichen Präzedenzfall für unzählige andere Unternehmen dar" argumentierte das Unternehmen.  

Die Strafe in Rekordhöhe gegen Meta, zeigt eindrucksvoll, dass Unternehmen im Rahmen der Übermittlung personenbezogener Daten in die USA besondere Vorsicht walten lassen sollten.

Zwar arbeiten die EU und die USA an einem Abkommen in Form des EU-U.S. Data Privacy Framework (HEUSSEN-Blog), welches den Datenaustausch zwischen den Wirtschaftsräumen wieder rechtssicher ermöglichen soll, wann dieser in Kraft treten wird, ist derzeit jedoch noch ungewiss. So lange bleibt Unternehmen lediglich der Abschluss von Standardvertragsklauseln, die Bereitstellung geeigneter Garantien, die Vereinbarung von Binding Corporate Rules oder die ausdrückliche Einwilligung der betroffenen Person, wobei strittig ist, ob eine solche Einwilligung überhaupt rechtskonform eingeholt werden kann.