Morgen, am 25. Mai, wird die Datenschutz-Grundverordnung fünf Jahre alt, jedenfalls was ihre Anwendung angeht. Pünktlich zum Jubiläum gab es ein Geschenk der unangenehmen Sorte: Die irische Datenschutzbehörde hat am Montag gegen Meta eine Strafe von 1,2 Milliarden Euro verhängt. Das ist die höchste DSGVO-Strafe, die es bisher gab. Was steckt hinter der DSGVO-Strafe gegen Meta, und was bedeutet sie für ein mittelständisches Unternehmen in Mainz, das „nur“ ein paar US-Dienste nutzt? Unsere Einordnung.
Worum es bei der Meta-Strafe geht
Im Kern geht es um die Übermittlung personenbezogener Daten europäischer Facebook-Nutzer in die USA. Meta hat sich dafür auf die sogenannten Standardvertragsklauseln der EU-Kommission gestützt. Das Problem: Der Europäische Gerichtshof hat im Juli 2020 im Verfahren „Schrems II“ das damalige Abkommen Privacy Shield gekippt, weil US-Behörden aus Sicht des Gerichts zu weitreichend auf Daten zugreifen können. Standardvertragsklauseln blieben zwar grundsätzlich möglich, aber nur, wenn zusätzlich wirksame Schutzmaßnahmen bestehen. Genau daran fehlte es nach Auffassung der Aufsicht bei Meta.
Die wichtigsten Punkte der Entscheidung:
- Bußgeld: 1,2 Milliarden Euro.
- Übermittlungsstopp: Meta soll künftige Übermittlungen der betroffenen Daten in die USA innerhalb von fünf Monaten aussetzen.
- Altdaten: Innerhalb von sechs Monaten soll die Verarbeitung bereits übermittelter Daten wieder in Einklang mit der DSGVO gebracht werden.
- Europäischer Hintergrund: Die Höhe geht maßgeblich auf eine verbindliche Entscheidung des Europäischen Datenschutzausschusses zurück, in dem die Aufsichtsbehörden aller EU-Staaten vertreten sind.
Meta hat angekündigt, sich gegen die Entscheidung zu wehren. Das letzte Wort ist also noch nicht gesprochen.
Fünf Jahre DSGVO: eine kleine Bilanz
Erinnern Sie sich an den Mai 2018? Newsletter-Bestätigungsmails im Minutentakt, Panik vor Abmahnwellen, Vereine, die ihre Mitgliederlisten nicht mehr herausgeben wollten. Fünf Jahre später sieht es nüchterner aus:
| Befürchtung 2018 | Realität 2023 aus unserer Sicht |
|---|---|
| Abmahnwelle gegen Kleinunternehmen | Einzelne Wellen gab es, die große Katastrophe blieb aus |
| Millionenstrafen für jeden Fehler | Die Rekordstrafen treffen vor allem große Konzerne, bei kleinen Unternehmen geht es meist um Anordnungen und überschaubare Bußgelder |
| Datenschutz wird nach der Einführung wieder vergessen | Im Gegenteil: Kunden, Bewerber und Geschäftspartner fragen heute deutlich häufiger nach |
| Auskunftsanfragen sind Einzelfälle | Auskunftsersuchen gehören inzwischen zum Alltag, gern auch als Druckmittel in Streitigkeiten |
Die Meta-Strafe zeigt außerdem: Die Behörden arbeiten europäisch zusammen, und der Datentransfer in die USA ist das Dauerthema schlechthin.
Was die DSGVO-Strafe gegen Meta für Ihr Unternehmen bedeutet
Erst einmal Entwarnung: Niemand erwartet, dass ein Handwerksbetrieb oder eine Steuerkanzlei ähnliche Summen zahlen muss. Bußgelder richten sich unter anderem nach Umsatz, Schwere und Dauer des Verstoßes. Trotzdem steckt in dem Fall eine Botschaft für alle, die US-Dienste nutzen, und das sind fast alle: Cloud-Speicher, Videokonferenzen, Newsletter-Tools, Website-Analyse, Social Media.
Die Frage, die sich jedes Unternehmen stellen sollte: Wissen wir, welche Daten wir wohin übermitteln, und auf welcher Grundlage?
Ihre Checkliste für US-Dienste
- Bestandsaufnahme: Listen Sie alle Dienste auf, bei denen Daten zu Anbietern mit Sitz oder Servern in den USA gehen. Denken Sie auch an Website-Plugins, Schriftarten und eingebettete Videos.
- Verträge prüfen: Gibt es einen Auftragsverarbeitungsvertrag und die aktuellen Standardvertragsklauseln?
- Risiko bewerten: Welche Daten sind betroffen? Ein Newsletter-Verteiler ist etwas anderes als Patientendaten oder Personalakten.
- Einstellungen nutzen: Viele Anbieter bieten Speicherorte in der EU an. Prüfen Sie, ob das bei Ihnen aktiviert ist.
- Alternativen prüfen: Für manche Zwecke gibt es europäische Anbieter, die genauso gut funktionieren.
- Dokumentieren: Halten Sie im Verzeichnis der Verarbeitungstätigkeiten fest, was Sie geprüft und entschieden haben.
Was bedeutet „zusätzliche Schutzmaßnahmen“?
Seit Schrems II sollen Unternehmen, die Daten auf Basis von Standardvertragsklauseln in ein Drittland übermitteln, prüfen, ob das Schutzniveau dort ausreicht, und notfalls nachlegen. Diese Prüfung wird oft „Transfer Impact Assessment“ genannt. Zusätzliche Maßnahmen können zum Beispiel eine Verschlüsselung sein, bei der nur Sie den Schlüssel haben, oder eine Pseudonymisierung vor der Übermittlung. Ehrlich gesagt: Bei vielen Standard-Clouddiensten lässt sich das technisch nur eingeschränkt umsetzen, weil der Anbieter die Daten zur Verarbeitung im Klartext braucht. Umso wichtiger ist es, bewusst zu entscheiden, welche Daten überhaupt in solche Dienste gehören.
Die häufigsten Baustellen, die wir im Mittelstand sehen
- Website-Tools, die ohne Einwilligung Daten an US-Anbieter senden
- Kostenlose Konten mit privaten Mail-Adressen für dienstliche Zwecke
- Fehlende Auftragsverarbeitungsverträge, weil „das macht man halt so“
- Ein Verzeichnis der Verarbeitungstätigkeiten, das seit 2018 niemand angefasst hat
Und was ist mit dem neuen Abkommen?
Die EU-Kommission arbeitet an einem neuen Rahmen für den Datenverkehr mit den USA, dem „EU-US Data Privacy Framework“. Der Entwurf eines Angemessenheitsbeschlusses liegt seit Dezember vor, die USA haben dafür im Herbst neue Regeln für ihre Geheimdienste erlassen. Das Europäische Parlament hat sich allerdings vor wenigen Wochen kritisch geäußert. Ob und wann der Beschluss kommt und ob er vor Gericht Bestand hätte, ist offen. Bis dahin gilt: Planen Sie nicht mit einem Abkommen, das es noch nicht gibt.
Unser Fazit nach fünf Jahren
Die DSGVO ist erwachsen geworden. Die ganz großen Strafen treffen die ganz großen Konzerne, aber die Grundfragen gelten für alle: Welche Daten haben wir, wo liegen sie, wer darf darauf zugreifen? Wer diese Fragen beantworten kann, braucht vor dem nächsten Jubiläum keine Angst zu haben.
Wir helfen Ihnen gerne
Sie möchten wissen, welche US-Dienste bei Ihnen im Einsatz sind und wie Sie sie datenschutzkonform nutzen? Das Datenschutz-Team der Mittelstandsoptimierer macht mit Ihnen eine Bestandsaufnahme und bringt Ihre Dokumentation auf Stand. Rufen Sie uns an: 06131 144928-0.
Herzliche Grüße aus Mainz
