Der schwelende Streit zwischen europäischen Datenschutzbehörden über die Durchsetzung der Datenschutzgrundverordnung ist voll entbrannt. In einem Brief, den der Datenschützer Max Schrems an diesem Donnerstag veröffentlicht hat, wirft der deutsche Bundesdatenschutzbeauftragte Ulrich Kelber seiner irischen Amtskollegin Helen Dixon „schlichtweg falsche“ Aussagen vor. Dixon sagte ihrerseits einen Auftritt im EU-Parlament ab, bei dem sie sich Vorwürfen gegen ihre Behörde stellen sollte.
Irland ist der Europasitz von Google, Facebook und anderen Konzernen. Daher ist auch die dortige Datenschutzbehörde seit Wirksamkeit der DSGVO im Mai 2018 federführend zuständig für grenzüberschreitenden Verfahren gegen die Unternehmen. NGOs beklagen seit längerem, dass der irischen Behörde notwendiges Personal und Ressourcen für ihre Aufgaben fehlten. Der Hamburger Datenschützer Johannes Caspar hatte bereits im vergangenen Jahr das Vorgehen der Behörde in Dublin kritisiert.
Die irische Data Protection Commission führt allein gegen große Tech-Konzerne aus den USA derzeit 20 bis 30 Verfahren. Auch in einer Untersuchung der Datenschutzpraktiken der Video-App TikTok hat die irische Behörde widerwillig die Führung übernommen, nachdem der chinesische Mutterkonzern von TikTok seinen Europasitz nach Dublin verlegte. Insgesamt habe Irland bei 196 grenzüberschreitenden Verfahren die europäische Federführung inne, bei nur vier davon gebe es aber bislang eine Entscheidung, beklagt der Bundesdatenschutzbeauftragte.
Kritik von EU-Abgeordneten an Irland
In den Chor der Kritik stimmen auch EU-Abgeordnete ein. Eine Resolution des Bürgerrechteausschusses, die am Montag verabschiedet wurde, beklagt die „unausgewogene Durchsetzung“ der DSGVO. Die Abgeordneten fordern die irische Behörde auf, ihre laufenden Untersuchungen deutlich zu beschleunigen.
Besonders viele Beschwerden, die in Dublin landen, betreffen Facebook. Allein über die Facebook-Tochterfirma WhatsApp hat der Bundesdatenschutzbeauftragte nach eigenen Angaben 2018 mehr als 50 Beschwerden nach Irland geschickt, von denen bis heute keine einzige abgeschlossen sei.
Behördenchefin Dixon hatte sich Anfang März in einem Brief an das EU-Parlament über die Verbreitung „ungeprüfter Behauptungen“ über die Arbeit ihrer Behörde beschwert. Deutsche Behörden hätten zwar rasch gehandelt und hohe DSGVO-Strafen verteilt, seien aber vor Gericht mit ihrem Vorgehen gescheitert.
Den Vorwürfen aus Irland widerspricht der Bundesdatenschutzbeauftragte entschieden. Die irische Datenschützerin Dixon habe Aussagen getroffen, die „sehr einseitig ihre persönliche Auffassung widerspiegeln und mit [denen] sie zum anderen im Kreis der europäischen Datenschutzaufsichtsbehörden oftmals isoliert dasteht“, betont Kelber in seinem Brief an das EU-Parlament. Er weist Darstellungen aus Irland als „nicht korrekt“ und „schlichtweg falsch“ zurück. Die irische Behörde unterbinde mit ihrer Haltung „zu einem gewissen Grad etwaige Initiativen anderer Aufsichtsbehörden“.
Schrems: „Alternative Fakten“ aus Irland
Der Datenschützer Schrems, der vielfach Klagen gegen Facebook eingebracht hat, stellt sich auf die Seite Kelbers und wirft Dixon die Verbreitung „alternativer Fakten“ vor. Andere Behörden hätten sich lange mit Kritik an den irischen Kolleg:innen zurückgehalten, doch Dixons Leute machten eine Zusammenarbeit praktisch unmöglich.
„Wir sehen das Ergebnis für die Bürger in unserer täglichen Arbeit, wo die DPC nicht einmal Anrufe oder E‑Mails von anderen Datenschutzbehörden beantwortet“, beklagt Schrems. „Die Verfahren dauern viele Jahre statt nur ein paar Monate.“
Die Zusammenarbeit der europäischen Behörden läuft über den Europäischen Datenschutzausschuss mit Sitz in Brüssel, der von der österreichischen Behördenchefin Andrea Jelinek geleitet wird. Diese hat sich bislang mit Kritik an Irland zurückgehalten. Die DSGVO sieht eine Kooperation zwischen Behörden vor, bietet aber wenig rechtliche Grundlage für ein Vorgehen, wenn diese Kooperation nicht klappt.
Tatsächlich etwas unternehmen könnte die EU-Kommission. Hält sie die Arbeit der irischen Datenschutzbehörde für so unzureichend, dass sie ein systemisches Versagen darstellt, könnte sie ein Vertragsverletzungsverfahren gegen Irland einleiten. So weit möchte die Behörde in Brüssel allerdings nicht gehen – zumindest bislang.