Stoppt die DPC tatsächlich die EU-US-Datentransfers von Facebook?! ...vielleicht halb!
Das Wall Street Journal (WSJ) hat am Mittwochabend berichtet, dass die irische Datenschutzbehörde (Data Protection Commission – "DPC") angeblich eine "vorläufige Anordnung" gegen Facebook erlassen hat, um den EU-US-Datentransfer zu stoppen. Anfang der Woche hatte noyb die DPC darüber informiert, dass wir eine gerichtliche Verfügung gegen die Eröffnung eines "zweiten" Verfahrens durch die DPC beantragen werden, da die DPC damit eine gerichtliche Anordnung bricht, die seit sieben Jahren anhängige Beschwerde zu bearbeiten.
Gleichzeitig scheint Facebook seit dem Urteil des Europäischen Gerichtshofs (EuGH) zum "Privacy Shield" und der Verwendung von Standardvertragsklauseln (Standard Contractual Clauses - "SCCs") die Rechtsgrundlage gewechselt zu haben - zum wiederholten Male. Facebook stützt sich nun auf eine angebliche "Notwendigkeit" der Datenübertragung gemäß Artikel 49(1)(b) DSGVO, um Daten in die USA zu übermitteln. Diese neue Argumenation ist unseres Wissens von der "vorläufigen Anordnung" durch die irische Behörde nicht umfasst.
noyb veröffentlicht nun drei Dokumente, die das Vorgehen von Facebook und der irischen Datenschutzbehörde aufzeigen.
- Exchange with Facebook from August 2020 (PDF)
- Letter from the DPC of 31 August 2020 (PDF)
- Letter to the DPC of 7 September 2020 (PDF)
- Report by the WSJ (paywalled)
- Comment by Facebook
DPC eröffnete "paralleles" Verfahren zu einer Beschwerde, die seit 7 Jahren anhängig ist
Wir haben mehrere Schriftwechsel mit der irischen DPC geführt, um eine vollkommende und rasche Umsetzung des EuGH-Urteils betreffend EU-US-Datenübermittlungen zu erwirken. Die DPC ist auf unsere Vorderungen nicht eingegangen.
Am 31.8.2020 teilte uns die DPC plötzlich in einem Schreiben (PDF) mit, dass ein zweites Verfahren (unabhängig von dem Beschwerdeverfahren, das zum Urteil des EuGH führte) eingeleitet wird, um ausschließlich Facbooks Verwendung der SCCs zu untersuchen. Gleichzeitig hat die DPC beschlossen, das laufende Beschwerdeverfahren zu unterbrechen, obwohl sie sich 2015 gegenüber dem Irish High Court verpflichtet hat, in diesem Verfahren eine rasche Entscheidung zu fällen. Die DPC hob hervor, dass sich diese zweite Untersuchung strikt auf die Verwendung von Standardvertragsklauseln durch Facebook nach Artikel 46(1) DSGVO beschränkt.
Max Schrems: "Wir begrüßen es natürlich, wenn die irische Datenschutzbehörde nach sieben Jahren und fünf Gerichtsentscheidungen, die alle unsere Position bestätigt haben, nun endlich zu arbeiten beginnt. Wir haben aber leider den Eindruck, dass das Vorgehen der DPC nur sehr halbherzig ist und wieder nur einen Teil des Problems aufgreift."
Facebook argumentiert währenddessen mit einer "parallelen" Rechtsgrundlage gemäß Artikel 49 DSGVO, die nicht Gegenstand der Untersuchung der irischen DPC ist.
Facebook hat in einem Brief vom 19.8.2020 (PDF, Seite 3) darauf hingewiesen, dass man sich (nach dem Ende von Safe Harbor, Privacy Shield und den SCCs) nun auf eine vierte gesetzliche Grundlage stützen würde: Die angebliche "Notwendigkeit", die Verarbeitung im Rahmen des Vertrags mit den einzelnen Facebook-Nutzern in die USA auszulagern. Eine "vorläufige Anordnung" oder "zweite Untersuchung" der DPC zu den SCCs dürften Facebook daher nicht von der Argumentation abhalten, dass sämtliche EU-US-Datentransfers weiterhin legal wären. Natürlich ist Artikel 49 nur in wenigen Fällen eine legale Art Daten in die USA zu übertragen (z.B. wenn ein europäischer Nutzer eine Nachricht an einen US-Freund schickt), aber eine reine Auslagerung der Verarbeitung in die USA is tnicht "notwendig" im Sinne des Gesetzes.
Max Schrems: "Die DPC untersucht wieder nur einen Teil des Problems - wie schon in zwei früheren Verfahren zu Safe Harbor und zu den SCCs. Facebook scheint es nur recht zu sein, dass sich die DPC nun lediglich auf die SCCs konzentriert, sodass Facebook am Ende dieses Verfahrens einfach die nächste Rechtsgrundlage aus dem Hut zaubern kann. Diese juristische Salami-Taktik läuft nun schon seit sieben Jahren. Ich vermute daher, dass die angebliche Anordnung gegen Facebook ein weiterer Schritt ist, der das Problem absichtlich nicht lösen wird".
noyb plant eine einstweilige Verfügung, um das chaotische Vorgehen der irischen DPC zu stoppen
Als Reaktion auf diese Situation hat der Anwalt von Max Schrems am Montag dieser Woche einen Brief an die DPC geschickt (PDF). Darin hebt er hervor, dass die DPC eindeutig gegen einen Gerichtsbeschluss verstößt, indem sie das Beschwerdeverfahren (erneut) pausiert, um ein unnötiges zweites Verfahren zu einer bloßen Teilfrage der Beschwerde einzuleiten. Nach irischem Recht gilt dies als "contempt of court" - eine sehr ernste Angelegenheit, die zur Beugehaft gegen die Chefin der irischen Datenschutzbehörde führen kann.
noyb hat die DPC diese Woche informiert, das der Antrag auf eine einstweilige Verfügung eingereicht wird, um sicherzustellen, dass die DPC hinsichtlich aller rechtlichen Grundlagen für Datenübermittlungen (SCCs und Artikel 49 DSGVO) tätig wird, und zwar - so wie es das Gesetz vorsieht - im Rahmen des laufenden Beschwerdeverfahrens und nicht im Rahmen eines zweiten "Geheimverfahens".
Schrems: "Dieser Leak über eine geheime "vorläufige Anordnung" gegen Facebook zeigt, dass die DPC versucht hat, das Verfahren heimlich und hinter dem Rücken des Beschwerdeführers durchzuführen. Obwohl eine solche Anordnung bereits 2013 hätte erlassen werden sollen, scheint es so, als ob die DPC wieder nur eine begrenzte Untersuchung durchführt, die den Fall nicht vollständig klären wird. Wir werden daher in Irland die entsprechenden rechtlichen Schritte einleiten, um sicherzustellen, dass die Rechte der Nutzer in vollem Umfang gewahrt werden - ganz gleich, welche rechtliche Grundlage Facebook geltend macht. Nach sieben Jahren müssen nun endlich alle Karten auf den Tisch und eine endgültige Entscheidung her".
Es ist unklar, in welchem Zusammenhang die Veröffentlichung der "vorläufigen Anordnung" mit den Hintergründen dieses Falles steht. Am Mittwochabend hat die irische Behörde in einem Brief versichert, zur möglichen einstweiligen Verfügung gegen die DPC Stellung zu nehmen. Die Anwälte von Herrn Schrems werden unmittelbar eine Kopie aller Dokumente und Anordnungen verlangen, auf die sich das Wall Street Journal beruft.
