Datenschutzverstöße: Rekordstrafe von 1,2 Milliarden Euro gegen Meta verhängt

Schwerer Schlag für den US-Konzern: Neben einem Milliardenbußgeld dürfen Facebook, Whatsapp und Instagram keine Nutzerdaten mehr in die USA übertragen.

Artikel veröffentlicht am 22. Mai 2023, 12:30 Uhr, Friedhelm Greis

Meta soll das bislang höchste DSGVO-Bußgeld zahlen. (Bild: Dado Ruvic/Reuters)

Wegen schwerwiegender Datenschutzverstöße soll der US-Konzern Meta ein Bußgeld in Höhe von 1,2 Milliarden Euro zahlen. Das beschloss die zuständige irische Datenschutzbehörde laut einer Mitteilung vom 22. Mai 2023. Darüber hinaus wird Meta verpflichtet, innerhalb von fünf Monaten die Übertragung von personenbezogenen Daten von EU-Bürgern für seine Dienste Facebook, Whatsapp und Meta einzustellen. Das Bußgeld ist das bislang höchste, das auf Basis der EU-Datenschutz-Grundverordnung (DSGVO) verhängt wurde.

Mit der Entscheidung geht vorläufig ein zehnjähriger Streit zu Ende, den der österreichische Datenschutzaktivist Max Schrems im Jahr 2013 mit einer Klage nach den Enthüllungen von Edward Snowden eingeleitet hatte. "Wir sind froh über diese Entscheidung nach zehn Jahren Rechtsstreit. Das Bußgeld hätte wesentlich höher ausfallen können, da die Höchststrafe bei über 4 Milliarden liegt und Meta zehn Jahre lang wissentlich gegen die DSGVO verstoßen hat, um Profit zu machen. Wenn die US-Überwachungsgesetze nicht geändert werden, wird Meta nun wohl seine Systeme grundlegend umstrukturieren müssen", sagte Schrems in einer Mitteilung seiner Datenschutzorganisation Noyb.

Die Entscheidung der irischen Datenschutzbehörde beruht auf einer Intervention durch den Europäischen Datenschutzausschuss (EDSA). Diese war erforderlich geworden, weil die irische Entscheidung von den Datenschützern anderer EU-Staaten nicht akzeptiert worden war. Deshalb verfasste der EDSA einen sogenannten verbindlichen Beschluss (PDF) nach Artikel 65 der DSGVO, der am 13. April 2023 angenommen wurde.

Die EDSA-Vorsitzende Andrea Jelinek begründete die Entscheidung mit den Worten: "Der EDSA hat festgestellt, dass der Verstoß von Meta IE sehr schwerwiegend ist, da es sich um systematische, wiederholte und kontinuierliche Übermittlungen handelt. Facebook hat Millionen von Nutzern in Europa, so dass der Umfang der übermittelten personenbezogenen Daten enorm ist. Die beispiellose Geldbuße ist ein starkes Signal an die Unternehmen, dass schwerwiegende Verstöße weitreichende Folgen haben."

Meta sieht gefährlichen Präzedenzfall

Die Meta-Vertreter Nick Clegg und Jennifer Newstead bezeichneten die Entscheidung der DPC in einer ersten Reaktion als "fehlerhaft und ungerechtfertigt". Sie schaffe einen gefährlichen Präzedenzfall für die zahllosen anderen Unternehmen, die Daten zwischen der EU und den USA transferieren.

Kritik an der Entscheidung kam auch vom IT-Branchenverband Bitkom. "Europa darf keine transatlantische Datenblockade aufbauen. Die Entkoppelung der EU von den Angeboten und Leistungen der internationalen Datenwirtschaft führt in die digitale Isolation und schadet den Menschen und Unternehmen Europas weit mehr als es ihnen nutzt. Ein funktionierender Rechtsrahmen für internationale Datentransfers zwischen der EU und den USA muss jetzt höchste Priorität für die Politik haben", sagte Hauptgeschäftsführer Bernhard Rohleder in einer Stellungnahme.

Es ist davon auszugehen, dass Meta die Entscheidung gerichtlich anfechten wird. Ein entsprechendes Verfahren könnte weitere Jahre dauern. Schrems sagte dazu: "Meta wird gegen diese Entscheidung Berufung einlegen, aber es gibt keine reelle Chance, diese Entscheidung materiell zu ändern. Frühere Rechtsverletzungen können nicht durch ein neues Abkommen zwischen der EU und den USA beseitigt werden. Meta kann allenfalls die Zahlung der Geldbuße ein wenig hinauszögern."

Möglicherweise ist der Transfer personenbezogener Daten in die USA in Kürze wieder erlaubt. So veröffentlichte die EU-Kommission bereits im Dezember 2022 einen Nachfolger für den Privacy Shield. Die EU-Mitgliedstaaten müssen dem Entwurf noch zustimmen. Nach Abschluss des Verfahrens kann die Kommission einen sogenannten Angemessenheitsbeschluss annehmen. Das sollte ursprünglich im Frühjahr 2023 der Fall sein.