Entscheidung des irischen High Court: DPC muss jetzt EuGH-Urteil umsetzen und Facebooks EU-US-Datentransfers stoppen.
Der High Court hat heute entschieden, dass die irische Datenschutzbehörde (DPC) das Recht hat, eine zweite amtswegige Untersuchung gegen Facebook einzuleiten. Der Versuch von Facebook, diese zweite Untersuchung zu stoppen, scheiterte. Der Richter verkündete: "Ich weise alle von Facebook Irland im Laufe des Verfahrens gestellten Begehren zurück." ("I refuse all of the reliefs sought by FBI and dismiss the claims made by it in the proceedings.")
Die DPC hat nun zwei offene Verfahren zur Umsetzung des sogenannten Schrems II"-Urteils, in dem der Europäische Gerichtshof (EuGH) klargestellt hat, dass Facebook keine personenbezogenen Daten aus der EU in die USA übertragen darf.
Gemäß einer separaten außergerichtlichen Einigung zwischen Max Schrems und der DPC (die heute erstmals veröffentlicht wurde) muss die DPC nun auch eine ursprüngliche Beschwerde aus dem Jahr 2013 rasch entscheiden. Die Beschwerde war schon Gegenstand von zwei EuGH-Urteilen. Das ursprüngliche Beschwerdeverfahren wird parallel zu der neuen amtswegigen Untersuchung laufen.
Schrems:"Facebook hat auf allen Ebenen verloren. Das Verfahren hat das irische Verfahren am Ende nur wieder ein paar Monate blockiert. Nach acht Jahren ist die DPC nun verpflichtet, Facebooks EU-US-Datentransfers zu stoppen, wahrscheinlich noch vor dem Sommer. Mit dem heutigen Urteil haben wir nun eben zwei Verfahren statt einem. "
Drittes "Nebengleis" im langjährigen Facebook-Fall. Die heutige Entscheidung beendet das siebte Gerichtsverfahren in einem langjährigen Streit zwischen Max Schrems, der DPC und Facebook. Im Jahr 2013 reichte Max Schrems nach den Snowden-Enthüllungen eine Beschwerde gegen Facebook ein, in der er argumentierte, dass Facebook seine persönlichen Daten nicht in die Vereinigten Staaten übermitteln dürfe. Die Beschwerde beruhte auf dem Umstand, dass amerikanische Überwachungsgesetze die Weitergabe von persönlichen Daten an die US-Regierung vorschreiben. Der Fall wurde zweimal an den Europäischen Gerichtshof (EuGH) verwiesen, was zu den sogenannten "Schrems I"- und "Schrems II"-Urteilen führte. Der EuGH entschied, dass die Datenschutzbehörde gegen Facebook ermitteln muss und verpflichtet ist, die Datenübermittlung zu stoppen.
Anstatt die EuGH-Urteile zügig umzusetzen, produzierte die DPC drei "Nebenschauplätze" (siehe Grafik). Dabei startete die irische Behörde den dritten Irrweg im Herbst 2020, indem sie ein amtswegiges Verfahren zu exakt dem selben Gegenstand wie das bestehende Beschwerdeverfahren eröffnete - während das Beschwerdeverfahren von Max Schrems auf unbestimmte Zeit "pausiert" wurde. Damit wäre Max Schrems letztlich aus seinem eigenen Verfahren ausgeschlossen worden.
Facebook und Schrems reichten "Judicial Review" ein. Da sie mit dem Verfahren der DPC aus unterschiedlichen Gründen nicht einverstanden waren, reichten Schrems und Facebook jeweils eine Klage vor dem irischen High Court ("Judicial Review") ein: Facebook brachte dabei zahlreiche Argumente rund um das Recht gehört zu werden und eine angeblich (nach sieben Jahren) "voreilige" Entscheidung der DPC vor.
Gleichzeitig argumentierte Max Schrems, dass die Vorgehensweise der DPC ihn aus seinem eigenen Fall ausschließen würde, da der Sachverhalt in einem amtswegigen Verfahren allein zwischen Facebook und der DPC behandelt werden würde. Außerdem habe die DPC eine gerichtliche Verpflichtungserklärung ("Undertaking") aus dem Jahr 2015 gebrochen, zügig über seine Beschwerde zu entscheiden, da die Behörde das Verfahren nun auf unbestimmte Zeit "pausiert" habe.
Vergleich zwischen DPC und Schrems sichert schnelle Entscheidung, unabhängig von High Court Urteil. Kurz vor der Verhandlung von Schrems' Judicial Review hat die DPC eingelenkt und den Fall beigelegt. Ein außergerichtlicher Vergleich verpflichtet die DPC, das Beschwerdeverfahren zügig durchzuführen, sobald eine Entscheidung des High Court über den von Facebook eingebrachten Judicial Review gefällt wurde. Außerdem wurde vereinbart, dass Max Schrems auch am amtswegigen Verfahren teilnehmen darf, falls der High Court dieses zulässt.
Kurzum: Der Vergleich stellte sicher, dass die DPC entweder in einem oder in zwei Verfahren über die Datenübermittlungen von Facebook entscheiden muss.
Nächste Schritte: Irische Entscheidung und EDSA-Verfahren. Nach dem heutigen Urteil muss die DPC die Entscheidungen des EuGH zügig umsetzen und Facebooks EU-US-Datentransfers stoppen. Im Herbst 2020 sah die DPC drei Wochen für die Anhörung der Parteien und weitere drei Wochen für die endgültige Entscheidung vor, ähnliche Fristen sind in dem Vergleich mit Max Schrems vereinbart. Jede nationale Entscheidung der irischen Datenschutzbehörde müsste wahrscheinlich vom Europäischen Datenschutzausschuss (EDSA) genehmigt werden, wo die Datenschutzbehörden aller 28 EU-Mitgliedsstaaten die Entscheidung überprüfen und Einspruch erheben können, wenn sie mit den Ergebnissen der Datenschutzbehörde nicht einverstanden sind. Die Frist für einen Einspruch beträgt vier Wochen und führt zu einer Abstimmung auf europäischer Ebene.
Schrems: "Wir erwarten nun, dass die DPC noch vor dem Sommer eine Entscheidung zum Stopp der Datentransfers von Facebook treffen wird. Das bedeutet, dass Facebook die meisten Daten aus Europa lokal speichern müsste, um sicherzustellen, dass Facebook USA keinen Zugriff auf europäische Daten hat. Die andere Möglichkeit wäre, dass die USA ihre Überwachungsgesetze ändern, was aktuell ebenfalls diskutiert wird."
