Safe Harbor: Erste Bußgelder

Ein Beitrag von RA Kai Bodensiek, Partner BvM Berlin

Es war lediglich eine Frage der Zeit, dass die ersten Landesdatenschutzbeauftragten gegen Unternehmen vorgehen, die weiterhin Daten in die USA exportieren. Den ersten Schritt hat nun der Hamburgische Beauftrage für den Datenschutz und Informationsfreiheit getan und eine Prüfung bei 35 Unternehmen durchgeführt. Dabei wurde festgestellt, dass eine Vielzahl von Unternehmen auch nach Ablauf der inoffiziellen Duldungfrist im Februar 2016 Kunden- und Personaldaten in die USA übertragen.

Gegen die Unternehmen, die sich auch weiterhin auf die Vorschriften des Safe Harbor Abkommens verließen, wurden nun Bußgelder erlassen. Die Bußgeldbescheide sind inzwischen rechtkräftig, weitere Verfahren laufen noch. Gemäß einer Meldung der Agentur Reuters belaufen sich die Bußgelder für Adobe auf 8.000 Euro, für Punica auf 9.000 Euro und für Unilever auf 11.000 Euro. Dabei sei laut Mitteilung des Landesdatenschutzbeauftragten bereits berücksichtigt worden, dass die Unternehmen zwischenzeitlich auf Verträge unter Verwendung der Standardklauseln der EU-Kommission zur Absicherung des Exports abgeschlossen haben. Ein wiederholter Verstoß würde allerdings höhere Bußgelder nach sich ziehen.

Besonders von Interesse ist dabei, dass der Landesdatenschutzbeauftragte auch weiterhin die Verwendung der Standardklauseln der EU-Kommission zumindest duldet. In der Pressemitteilung wird aber bereits angedeutet, dass sollten die Verhandlungen über den Safe Harbor Nachfolger Privacy Shield nicht schnell zu deutlich besseren Vertragsentwürfen führen, würde auch die Nutzung der Standardklauseln erneut einer Prüfung unterzogen werden. Dies hatte die Konferenz der Landesdatenschutzbeauftragten schon im Oktober letzten Jahres angedroht. Wir hatten im Blog dazu schon berichtet.

Privacy Shield wird von Seiten der europäischen Datenschutzbehörden derzeit sehr kritisch aufgenommen. Vor allem fehlt es den europäischen Datenschützern an verbindlichen und rechtlich durchsetzbaren Zusagen von US-Seite. Zuletzt hatte die Konfrerenz der europäischen Datenschutzbehörden weitreichende Ergänzungen am bisherigen Verhandlungsergebnis angemahnt und angedroht ansonsten die ihnen vom EuGH zugesprochenen eigenen Prüfungsrechte auszuüben.

Kai Bodensiek hat zuletzt auf der Konferenz "Quo Vadis" gemeinsam mit Herrn Thorsten Rendel von Microsoft einen Vortrag über die praktischen Konsequenzen des Wegfalls von Safe Harbor und den Verhandlungsstand von Privacy Shield gehalten. Der Vortrag ist in englischer Sprache unten abrufbar.

Es ist zu erwarten, dass andere Landesdatenschutzbehörden und sonstige Aufsichtsbehörden, wie die Landesmedienanstalten nun ähnliche Schritte veranlassen. In einigen Bundesländern wurden vergleichbare Prüfungen bereits veranlasst, Ergebnisse stehen noch aus. Unternehmen ist daher dringend anzuraten, den Datenexport möglichst schnell auf eine rechtlich auch dauerhaft sichere Basis zu stellen. Dies können je nach Einzelfall rechtliche aber auch technische Konstruktionen sein, die Datenschutzkonformität sicherstellen.