DSGVO: Ein undurchsetzbares Gesetz? Luxemburgs Datenschutzbehörde weigert sich, US-Unternehmen die Zähne zu zeigen. noyb reicht Klage ein
noyb legt heute Berufung gegen zwei Entscheidungen der Luxemburger Datenschutzbehörde (CNPD) vor dem Luxemburger Verwaltungsgericht ein: Die Behörde lehnte zwei Beschwerden gegen die US-Unternehmen Apollo und RocketReach ab. Die CNPD bestätigte zwar ausdrücklich, dass die Datenschutz-Grundverordnung (DSGVO) auch für Unternehmen außerhalb der EU gilt, verweigert dennoch ein Verfahren wegen angeblich mangelnder Durchsetzbarkeit. Diese Entscheidungen untergraben grundlegend die Anwendung der DSGVO auf ausländische Unternehmen, die auf dem EU-Markt aktiv sind. Dadurch wird ein zentrales Versprechen der DSGVO gebrochen.
- Die Berufung vor dem Verwaltungsgericht gibt es hier (Apollo FR) und hier (Rocktreach FR)
- Eine automatische Übersetzung in Englisch gibt es hier (Apollo) und hier (Rocketreach)
Beschwerden gegen US Unternehmen. Der luxemburgische Beschwerdeführer stellte fest, dass seine Daten von Apollo und RocketReach verarbeitet werden, zwei US-Unternehmen die personenbezogene Daten sammeln und verkaufen. Daraufhin versuchte er erfolgslos, sein Recht auf Auskunft (Artikel 15 DSGVO) und Löschung (Artikel 17 DSGVO) auszuüben. Da die beiden Unternehmen nicht angemessen antworteten, reichte er Beschwerden bei der CNPD ein. Nach mehreren Rückfragen des Beschwerdeführers wies die luxemburgische Datenschutzbehörde die Beschwerden mit der Begründung ab, dass die verantwortlichen Unternehmen keine Vertretung in der EU hätten (was an sich schon ein Verstoß gegen die DSGVO ist) und daher ohnehin keine wirksamen Durchsetzungsmaßnahmen gesetzt werden könnten.
Einschränkung der internationalen Reichweite der DSGVO. Diese Entscheidung der luxemburgischen Datenschutzbehörde untergräbt eindeutig die vorgesehene internationale Anwendung der DSGVO. Das Gesetz gilt nämlich ausdrücklich für alle Unternehmen, die auf dem europäischen Markt tätig sind - egal, wo sie ihren Sitz haben.
"Wenn sich die Datenschutzbehörden weigern, die DSGVO global durchzusetzen, würde das nicht nur die Rechte von europäischen Nutzern unterminieren, sondern auch zu einem Wettbewerbsvorteil für ausländische Unternehmen führen - genau das Gegenteil davon, was die DSGVO bringen soll. " - Romain Robert, Jurist bei noyb.eu.
Möglichkeiten zur Durchsetzung der DSGVO bestehen. Auch wenn ein Unternehmen keine Niederlassung in der EU hat, gibt es viele Möglichkeiten, die DSGVO durchzusetzen: die Behörden können Vermögenswerte bei Dritten (wie Banken oder Kunden) einfrieren oder sogar die Website sperren. Die Datenschutzbehörden sollten alle Durchsetzungsmöglichkeiten nutzen, anstatt den Betroffenen pauschal ihre Grundrechte abzusprechen.
"Die CNPD muss sicherstellen, dass die Rechte der Nutzer unter der DSGVO geschützt werden. Auch bei ausländischen Unternehmen gibt Mittel und Wege, um einen Verstoß trotzdem zu verfolgen: sie kann Vermögenswerten in der EU einfrieren oder sogar den Dienst sperren. Die Durchsetzung von EU-Recht gegen Unternehmen und Personen, die sich im Ausland verstecken, ist für Aufsichtsbehörden und Gerichte nicht neu. Wir wollen mit dieser Klage sicherstellen, dass die CNPD ihre Durchsetzungsbefugnisse in Zukunft auch tatsächlich nutzt. Fälle dürfen nicht deswegen abgewiesen werden, weil die Durchsetzung schwierig oder aufwändig wäre." - Catherine Warin, Anwältin, die noyb in dem Verfahren vertritt.
Inaktive Behörde. Dieser Fall zeigt, dass einige Datenschutzbehörden ihre Pflichten noch immer nicht erfüllen. Dies könnte der Beginn einer Reihe von Klagen gegen Datenschutzbehörden sein, die trotz ihrer wichtigen Rolle im EU-Datenschutzrecht untätig bleiben. noyb.eu wird solche Fälle genau verfolgen und die effektive Durchsetzung der DSGVO durch die Datenschutzbehörden überwachen.
"Die CNPD bestätigte ausdrücklich, dass die DSGVO auf Unternehmen außerhalb der EU anwendbar ist, trotzdem wurde sie nicht tätig. Damit hat der Beschwerdeführer seine Grundrechte nur noch auf dem Papier. Glücklicherweise sieht die DSGVO vor, dass Nutzer die Entscheidungen der Datenschutzbehörden vor Gericht anfechten können. Wir hoffen das Gericht stellt nun die Pflichten der Behörde klar." - Romain Robert, Jurist bei noyb.eu.
