Der Datenschutzaktivist Max Schrems hat mit seiner NGO noyb Beschwerde gegen 101 europäische Unternehmen erhoben. Er wirft ihnen vor, ihre Websites immer noch unter Verwendung von Google Analytics und Facebook Connect zu betreiben. Das ist laut einer Entscheidung des Europäischen Gerichtshof (EuGH) jedoch nicht mehr rechtskonform.
Mit Google Analytics können Betreiber:innen Zugriffszahlen und Klickbewegungen auf ihren Websites einsehen. Facebook Connect ist eine Anwendung, durch die Nutzer:innen andere Websites mit ihrem Facebook-Account aufrufen und nutzen können. „Weder Google Analytics noch Facebook Connect sind für den Betrieb dieser Webseiten notwendig und hätten daher inzwischen ersetzt oder zumindest deaktiviert werden können“, kritisiert Max Schrems.
Durch die Verwendung von Google Analytics und Facebook Connect geraten die persönlichen Daten europäischer Nutzer:innen in die Hände der großen US-Konzerne. Diese können die Daten nicht nur für Werbezwecke nutzen. Liegen sie erst einmal in den USA, sind die Daten auch vor der Überwachung durch US-Geheimdienste nicht mehr geschützt. Die EU-Kommission hatte sich ursprünglich für diese Datentransfers ausgesprochen, der EuGH erklärte diese jedoch für nicht vereinbar mit dem europäischen Datenschutzniveau. Das Urteil ging ebenfalls auf eine Klage von Max Schrems zurück, der seit Jahren gegen die massenhafte Datenverarbeitung durch Facebook vor Gericht zieht.
Deutsche Medienunternehmen unter den Übeltäter:innen
„Eine schnelle Analyse des Quellcodes von europäischen Webseiten zeigt, dass diese einen Monat nach dem Urteil des Europäischen Gerichtshofs (EuGH) immer noch Google Analytics oder Facebook Connect verwenden – obwohl beide Unternehmen eindeutig unter die US-amerikanischen Überwachungsgesetze fallen“, heißt es in einer Mitteilung von Noyb.
Zu den Unternehmen, gegen die Max Schrems Beschwerde einreicht, gehören unter anderen Airbnb Irland, die Universität Luxemburg, der TV Spielfilm Verlag, Chefkoch und Lieferando. Ausgewählt haben die Datenschutzaktivist:innen die Unternehmen anhand europäischer Top-Level-Domains (wie „.de“ für Deutschland), zwei spezifischen Tracking-Codes und den groben Besucher:innenzahlen der Seiten.
Die Beschwerden gegen sie hat Noyb zum Teil direkt bei der leitenden Datenaufsichtsbehörde eingereicht, andere bei der österreichischen Datenschutzbehörde am Wohnsitz der Betroffenen. Letztere werden dort an die zuständige Aufsichtsbehörde weitergeleitet. „Die Beschwerden richten sich gegen 101 europäische Unternehmen in allen 30 EU- und EWR-Mitgliedsstaaten“, schreibt Nyob in seiner Mitteilung. „Die Beschwerden richten sich aber auch gegen Google und Facebook in den USA, weil sie diese Daten unter Verletzung der DSGVO weiterhin akzeptieren.“
US-Konzerne umgehen das EuGH-Urteil
Google kündigt an, vor dem Hintergrund der Ungültigkeit des Privacy Shields auf Standardvertragsklauseln (SCC) zur Datenübermittlung zu setzen. Auch Facebook verwendet die SCCs. Diese sind zwar laut EuGH weiterhin rechtmäßig, aber nur, wenn Exporteur:innen und Empfänger:innen der Daten ein ebenso hohes Datenschutzniveau wie in der EU garantieren können. Das Problem: Daten, die bei Google und Facebook in den USA landen, fallen unter die dortigen Überwachungsgesetze. „Beide Unternehmen geben zu, dass sie die Daten aus der EU zur Verarbeitung in die USA übermitteln, wo sie gesetzlich verpflichtet sind, diese Daten US-Behörden wie der NSA zur Verfügung zu stellen“, bemängelt Max Schrems.
Die Datenweitergabe an US-Unternehmen unter den Standardvertragsklauseln kann also faktisch nicht gemäß der EuGH-Entscheidung funktionieren, weil die US-Datenschutzgesetze viel lascher sind als die europäischen. Max Schrems kritisiert, dass US-Unternehmen ihre europäischen Kund:innen immer noch versuchten zu überzeugen, dass die Verwendung von SCCs durch sie rechtmäßig ist.
Datenschutzbehörden müssen aktiv werden
Die Konzerne in den USA müssten juristisch zur Verantwortung gezogen werden, wenn sie europäische Unternehmen nicht über die geltenden Überwachungsgesetze in ihrem Land informierten, fordert Schrems. Jetzt müssten aber auch die europäischen Datenschutzbehörden Maßnahmen ergreifen, um die illegalen Datentransfers zu unterbinden.
noyb plant nach eigenen Angaben, den Druck auf Unternehmen in der EU und den USA weiter zu erhöhen. „Wir verstehen zwar, dass manche Dinge einige Zeit brauchen, aber es ist nicht hinnehmbar, dass einige Akteure das EU-Höchstgericht einfach ignorieren“, sagt Max Schrems. Im Übrigen sei es auch nur fairer Wettbewerb, wenn sich alle Betroffenen an die Entscheidung des EuGH hielten.
