Datenschutzbehörden & Meinungsverschiedenheiten
Big Tech-Unternehmen haben Zugang zu juristischen Mitteln und Ressourcen, die denen von Regulierungsbehörden deutlich überlegen sind.
Viele internationale Unternehmen betreiben ihr EU-Geschäft von Irland aus - Dass die irische DPC mit der Regulierungslast überfordert sein könnte, ist also nicht ganz unwahrscheinlich.
Die Irish Data Protection Commission (IDPC), die Aufsichtsbehörde, die im Wesentlichen für alle amerikanischen Big Tech-Unternehmen wie Facebook, Microsoft, Google und Apple für Europa zuständig ist, hat kürzlich ein Statement veröffentlicht. Es geht um den von der Behörde vorgeschlagenen Beschluss zum DSGVO/GDPR-Verstoß seitens Twitter. Dieser Beschluss habe ein "Streitbeilegungsverfahren" ausgelöst, da er nach Ansicht der EU-Datenschutzbehörden im Widerspruch zu dem vorgeschlagenen irischen Urteil stünde.
Das European Data Protection Board (EDPB) wird nun versuchen, eine Einigung über eine endgültige Entscheidung zu erzielen. Ein Prozess, der sich bis zu zehn Wochen hinziehen kann, so dass mit einer endgültigen Entscheidung möglicherweise nicht vor November zu rechnen ist. Die irische DPC hatte ihren Beschlussvorschlag am 22. Mai 2020 zur Anhörung geschickt. Tim Mackey, Principal Security Strategist von Synopsys, erklärt.
Inwieweit offenbart die Verlautbarung der irischen Aufsichtsbehörde Unterschiede im Ansatz und bei der Durchsetzung zwischen den 28 europäischen Datenschutzbehörden?
Tim Mackey: Es wird zwischen den einzelnen Datenschutzbehörden immer Meinungsverschiedenheiten geben wie sie die ihnen vorgelegten Fälle beurteilen. Ein Teil der vom EDPB beigelegten Streitfälle bezieht sich auf die Höhe des Bußgeldes. Die umfassendere Fragestellung ist aber vielmehr, ob die übrigen Mitgliedsstaaten die Verstöße in einem ähnlichen Licht sehen wie die irische DPC. Ich hoffe, dass Art und Umfang des strittigen Ergebnisses offengelegt werden. Nur dann wissen Unternehmen, die sich bemühen, die Vorschriften einzuhalten, wie die davon abweichenden Datenschutzbehörden die untersuchten Verstöße bewerten.
Sind DSGVO-Untersuchungen wie im vorliegenden Fall - insbesondere im Zusammenhang mit Big Tech - zu kompliziert und zu teuer, als dass eine einzelne nationale Regulierungsbehörde sie übernehmen kann?
Tim Mackey: Big Tech-Unternehmen haben Zugang zu juristischen Mitteln und Ressourcen, die denen von Regulierungsbehörden deutlich überlegen sind. Viele internationale Unternehmen betreiben ihr EU-Geschäft von Irland aus. Dass die irische DPC mit der Regulierungslast überfordert sein könnte, ist also nicht ganz unwahrscheinlich. Eine Situation, die von der Europäischen Kommission in ihrem Bericht zu Artikel 97 übrigens hervorgehoben wird.
Ist das Statement als Beleg dafür zu werten, dass die DSGVO nicht funktioniert und die Ansicht der EU-Datenschützer im Widerspruch zu den USA und der meisten anderen Ländern steht?
Tim Mackey: Eher umgekehrt. Die DSGVO ist seit 30 Monaten in Kraft. Die Tatsache, dass die EDPB erst jetzt über einen Beschlussvorschlag bezüglich der Praktiken zur Datenhandhabe eines multinationalen Unternehmens entscheiden muss, ist eher ein Beleg dafür, wie gut die DSGVO bisher funktioniert hat. Im Hinblick auf den internationalen Handel bewegt sich die DSGVO naturgemäß in einem schwierigen Umfeld. Oberflächlich betrachtet mag es so aussehen, als stünde sie im Widerspruch zu den Datenschutzgesetzen vieler Handelspartner. In Wirklichkeit hat die DSGVO Erwartungen geweckt, wie ein ordnungsgemäßer Umgang mit Daten und deren Offenlegung funktionieren sollte. Dies ist einer der Gründe, warum die EU-Datenschutz-Grundverordnung als Vorlage für weitere Gesetze wie den California Consumer Privacy Act diente.
Legt das Statement der irischen Aufsichtsbehörde nahe, dass Big Tech-Unternehmen in Bezug auf Datenschutz und andere Belange (unlauterer Wettbewerb, unethische Praktiken usw.) von einer ganz anderen Aufsichtsbehörde reguliert werden sollten? Während ja jede andere Art von Unternehmen in Bezug auf Datenschutzfragen von nationalen Datenschutzbehörden reguliert wird... Immerhin sind die Budgets einiger EU-Datenschutzbehörden nicht gerade üppig bemessen (die irische Datenschutzbehörde verfügt beispielsweise lediglich über ein Jahresbudget von 17 Millionen EUR – trotzdem sie Unternehmen wie Google regulieren soll).
Tim Mackey: Auch hier sehe ich einen größeren Zusammenhang. Wichtig ist die Frage, ob Verzögerungen bei der Bearbeitung von anstehenden DSGVO-Beschwerden gegen Big Tech mit der Komplexität des internationalen Rechts und der Datentransferabkommen zusammenhängen. Ein perfektes Beispiel ist der Fall Schrems II, der im Juli den EU-US Privacy Shield außer Kraft gesetzt hat. Angesichts des aktuellen EuGH-Urteils ist es möglich, dass der EDPB das DPC-Urteil gegen Twitter hinsichtlich der Außerkraftsetzung des EU-US Privacy Shields überprüfen wird. Für jedes Unternehmen ist es jetzt wichtig, dass diese Entscheidung eine Risikoüberprüfung aller internationalen Datenübertragungen auslösen sollte, um verbindlich sicherzustellen, dass SCCs und BCRs für Datenübertragungen in die USA ausreichend abdecken. (Synopsys: ra)
eingetragen: 01.09.20
Newsletterlauf: 06.11.20
Synopsys: Kontakt und Steckbrief
Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.
