Deutsche Telekom: Datenübertragung an Google-Server in die USA ist unzulässig

Ein Urteil des Landgerichts Köln dürfte auch für andere Firmen von Bedeutung sein, die IP-Adressen von Nutzern in die USA übertragen.

Artikel veröffentlicht am 11. Mai 2023, 17:18 Uhr, Friedhelm Greis

Die Deutsche Telekom hat eine Klage gegen Verbraucherschützer verloren. (Bild: Wolfgang Rattay/Reuters)

Die Deutsche Telekom darf vorläufig keine personenbezogenen Daten von Nutzern ohne deren Zustimmung an Server von Google in die USA übermitteln. Das hat das Landgericht Köln entschieden und damit einer Klage der Verbraucherzentrale Nordrhein-Westfalen (NRW) stattgegeben. Solange es keinen Nachfolger des Datenschutzabkommens Privacy Shield gebe oder entsprechende Standardvertragsklauseln vorlägen, sei kein angemessenes Datenschutzniveau in den USA garantiert (Az. 33 O 376/22).

Hintergrund der Klage ist eine Entscheidung des Europäischen Gerichtshofs (EuGH) vom Juli 2020, mit der das bestehende Datenschutzabkommen, der sogenannte Privacy Shield, für unzureichend erklärt wurde. Geklagt hatte der österreichische Datenschutzaktivist Max Schrems. Da Schrems mit einer Klage bereits das Safe-Harbor-Abkommen gestoppt hatte, wird das Urteil vom Juli 2022 auch als Schrems II bezeichnet.

Der Verbraucherzentrale zufolge handelt es sich um eines der ersten Urteile, das einen Verstoß gegen die Grundsätze der Schrems-II-Entscheidung feststelle. "Unternehmen müssen sicherstellen, dass unsere Datenschutzstandards auch über Landesgrenzen hinweg eingehalten werden. Erfüllen sie die besonderen Anforderungen daran nicht, dürfen wertvolle Verbraucherdaten nicht übermittelt werden", sagte Vorstandsmitglied Wolfgang Schuldzinski.

Dem Urteil (PDF) vom 23. März 2023 zufolge werden von der Webseite www.telekom.de "unstreitig" IP-Adressen sowie Browser- und Geräteinformationen an Google LLC als Betreiberin von Google Analyse- und Marketingdiensten mit Sitz in den USA übertragen. Das sei nicht von den Rechtfertigungstatbeständen der EU-Datenschutz-Grundverordnung (DSGVO) gedeckt.

Dabei geht das Gericht davon aus, dass es sich auch bei dynamischen IP-Adressen um personenbezogene Daten handelt. Denn sowohl der Telekom als auch Google stünden "die rechtlichen Mittel zur Verfügung, über Zusatzinformationen von der IP-Adresse einen Rückschluss auf die natürliche Person zu ziehen". Auch Google verfüge über die Mittel, "Personenprofile zu erstellen und diese auszuwerten. Dabei kann gerade die IP-Adresse als personenspezifisches Merkmal dienen".

Privacy-Shield-Nachfolger könnte bald kommen

Eine einfache Zustimmung im Cookie-Banner über den Button "Alle akzeptieren" reiche für eine ausdrückliche Einwilligung für die Drittlandübermittlung in die USA nicht aus, schreibt die Verbraucherzentrale weiter. Das Urteil sei noch nicht rechtskräftig.

Möglicherweise ist der Transfer personenbezogener Daten in die USA jedoch in Kürze wieder erlaubt. So veröffentlichte die EU-Kommission bereits im Dezember 2022 einen Nachfolger für den Privacy Shield. Die EU-Mitgliedstaaten müssen dem Entwurf noch zustimmen. Nach Abschluss des Verfahrens kann die Kommission einen sogenannten Angemessenheitsbeschluss annehmen. Das sollte ursprünglich im Frühjahr 2023 der Fall sein.

Nachtrag vom 11. Mai 2023, 17:18 Uhr

Dem Europaparlament gehen die Zusicherungen der USA für den Datenschutz von EU-Bürgern aber nicht weit genug. "Die Maßnahmen, die die USA zum Schutz der Europäer für den Datenschutzrahmen vorschlagen, sind rein kosmetisch und eindeutig unzureichend. Mit unserer heute verabschiedeten Resolution fordern wir Nachbesserungen des Transatlantischen Datenschutzrahmens", twitterte die SPD-Europaabgeordnete Birgit Sippel am 11. Mai 2023.

In dem Entschließungsantrag (PDF) stellt das Parlament unter anderem fest, "dass die Änderungen an den vom US-Handelsministerium herausgegebenen Grundsätzen für den Datenschutzrahmen im Vergleich zu den Grundsätzen des Datenschutzschilds nicht ausreichen, um ein im Wesentlichen der DSGVO gleichwertiges Schutzniveau zu bieten". Die EU-Kommission wird aufgefordert, "die Verhandlungen mit ihren US-amerikanischen Partnern fortzusetzen, um einen Mechanismus zu schaffen, der eine solche Gleichwertigkeit gewährleistet".