Irische Datenschutzbehörde muss Gerichtskosten wegen 47-monatiger Verzögerung in Verfahren gegen WhatsApp und Instagram zahlen
Die irische Datenschutzbehörde hat heute einen Rechtsstreit mit noyb wegen grober Verzögerung in zwei laufenden Fällen gegen Instagram und WhatsApp beigelegt. 47 Monate nach dem Einbringen der Beschwerde gegen Facebooks "Zustimmungsumgehung" erklärte sich die Datenschutzbehörde nun bereit, die Gerichtskosten von mehreren zehntausend Euro für das Verfahren am Irischen High Court zu zahlen. Während die DSGVO eine "unverzügliche" Entscheidung vorschreibt, empfindet die DPC vier Jahre für die Erstellung eines Entscheidungsentwurfs als angemessen. In den meisten EU-Mitgliedstaaten verlangt das Gesetz eine Entscheidung innerhalb von 3 bis 12 Monaten.
Einfacher Fall. Am 25. Mai 2018, dem Tag des Inkrafttretens der DSGVO, reichte noyb vier Beschwerden wegen "Zwangszustimmung" ein. Eine führte rasch zu einer Geldstrafe von 50 Millionen Euro gegen Google in Frankreich, die anderen drei Fälle (Facebook, Instagram und WhatsApp) wurden an die irische DPC als zuständige Behörde weitergeleitet. In keinem der irischen Fälle ist bisher eine endgültige Entscheidung ergangen. Die Fälle selbst sind relativ einfach, da sie nur enge rechtliche Fragen betreffen und sogar eine klare Leitlinie des Europäischen Datenschutzausschusses (EDPB) zu den Kernfragen vorliegt. Diese Leitlinien selbst wurden nach einem Versuch der DPC, seine EU-Kollegen im Interesse von Facebook zu beeinflussen, verabschiedet. Trotz der klaren Rechtslage hat die DPC erst am 1. April 2022, also 46 Monate nach Einreichung der Beschwerden, einen "Entscheidungsentwurf" zu WhatsApp und Instragram erlassen. Die Fälle sind immer noch anhängig und werden wahrscheinlich nicht vor dem Sommer 2022 entschieden werden.
Vier Jahre für grundlegende DSGVO-Rechte ist "unverzüglich"? Am 6. Juli 2020 reichte noyb beim irischen High Court eine Klage ("Judicial Review") ein, da die DPC gegen Artikel 60 Absatz 3 DSGVO verstoßen habe, indem sie nicht "unverzüglich" einen Entscheidungsentwurf vorgelegt habe. Die Datenschutzbehörde vertrat die Ansicht, dass (mittlerweile) etwa vier Jahre immer noch "unverzüglich" seien. In vielen anderen EU-Mitgliedstaaten ist eine Entscheidung innerhalb von 3 bis 12 Monaten gesetzlich vorgeschrieben, wie eine aktuelle interne Tabelle des EDPB zeigt.
Irischer High Court langsamer als DPC? Aber nicht nur die DPC braucht sehr lange für Entscheidungen, eine erste Anhörung zu Beweismitteln vor dem irischen High Court wurde für heute (28. April 2022) angesetzt, eine Anhörung in der Sache selbst wäre erst im Herbst 2022 realistisch gewesen. Damit würde die gerichtliche Überprüfung der Verzögerung selbst mehr als zwei Jahre in Anspruch nehmen. Angesichts des Schneckentempos des Verfahrens vor dem High Court, hat das langsame Verfahren der DPC das Gerichtsverfahren nun überholt, da der DPC den Entscheidungsentwurf schließlich am 1. April 2022 zur Überprüfung vorlegte.
Max Schrems, Vorsitzender von noyb: "Es ist grotesk, dass das juristische Verfahren zur Behandlung von Verzögerungen so langsam ist, dass die DPC einfach in diesem langsamen Tempo weitermachen kann und immer noch schneller ist als die Gerichte. Es ist wie in einem Schneckenrennen. Somit gibt es keinen wirksamen Rechtsbehelf gegen die Verzögerung von Fällen durch die irische DPC. Die Kosten des Verfahrens muss nun aber die DPC tragen. Wir erwarten, dass die Kosten in die zehntausende gehen werden."
Nicht entschiedene Fälle - Nächste Schritte. Die "Entscheidungsentwürfe" zu WhatsApp und Instagram werden nun von den anderen europäischen Datenschutzbehörden geprüft. Diese können dann "begründete Einsprüche" einreichen. Die Frist dafür läuft zufälligerweise heute ab. Da die DPC die Verfahrensakten (unrechtmäßig) nicht mehr mit noyb teilt, weiß noyb zum Inhalt dieser Entscheidungsentwürfe wenig. Diese Verfahrensverstöße können selbst eine Grundlage für eine rechtliche Anfechtung der endgültigen Entscheidung sein. Wenn es Einsprüche gibt, können die Fälle in den nächsten Monaten an den EDPB weitergeleitet werden.
Max Schrems:"Das Verfahren ist nicht nur langsam, sondern auch grundlegend ungerecht. Die DPC hat uns im Grunde aus großen Teilen des Verfahrens ausgeschlossen. Im vorläufigen Entscheidungsentwurf wurden unsere Eingaben weitgehend ignoriert, wodurch es für andere Behörden unmöglich ist, sich ein vollständiges Bild von dem Fall zu machen. Große Teile unseres Vorbringens sind bei der irischen DPC einfach wie von Zauberhand 'verschwunden'."
Nur die Spitze des Eisbergs. noyb hat noch etwa zwanzig andere Fälle vor der DPC, und in keinem von ihnen ist eine rechtzeitige Entscheidung in Sicht. noyb wird sich nun auf die Verzögerungen in diesen anderen Fällen konzentrieren und möglicherweise weitere Fälle vor den High Court bringen. Obwohl die Datenschutzbehörde über eines der größten Budgets aller EU-Datenschutzbehörden und eine große Zahl von Mitarbeiter*innen verfügt, trifft sie nur eine Handvoll Entscheidungen pro Jahr und braucht auch noch viel länger als andere Behörden.
Max Schrems:"Wir hoffen, dass die Datenschutzbehörde nun die Kosten für ihre Verzögerungtaktiken erkennt und die irischen Steuerzahler nicht akzeptieren werden, diese Taktik weiter zu finanzieren. Die DPC hat ein riesiges Budget, aber es scheint in die Verzögerung von Verfahren investiert zu werden - und nicht in deren Erledigung."
