DSGVO-Verstoß: 1,2 Milliarden Euro Strafe für Meta

Das teilte die irische Datenschutzbehörde DPC am Montag in Dublin mit. In dem Verfahren geht es um die Beteiligung von Facebook an der Massenüberwachung durch angloamerikanische Geheimdienste, die vor zehn Jahren vom US-Whistleblower Edward Snowden aufgedeckt wurde.

Die irische Behörde ist zuständig, weil Facebook in dem westeuropäischen EU-Land seinen Europa-Sitz hat. Sie hatte dem IT-Riesen bisher jahrelang die Mauer gemacht und ein Vorgehen verweigert. Zur nunmehrigen Entscheidung musste sie vom Europäischen Datenschutzausschuss (EDSA) verpflichtet werden. Schrems bezeichnete es vor diesem Hintergrund als "absurd", dass Irland die nunmehrige Rekordstrafe zufällt.

Experten: Meta werde Rechtsmittel gegen Entscheidung einlegen

Experten gehen davon aus, dass der US-Konzern Rechtsmittel gegen die Entscheidung einlegen wird. Die Gerichtsverfahren können sich allerdings über Jahre erstrecken. Bis dahin könnte ein neuer Datenpakt zwischen der Europäischen Union und den USA in Kraft treten, mit dem der transatlantische Datenverkehr neu geregelt wird. Meta hatte zuvor mehrfach damit gedroht, sich vollständig aus der EU zurückzuziehen, sollte ein transatlantischer Datentransfer dauerhaft nicht möglich sein.

"Wir sind froh über diese Entscheidung nach zehn Jahren Rechtsstreit", kommentierte Schrems die Entscheidung. Allerdings hätte das Bußgeld "wesentlich höher ausfallen können", da die Höchststrafe bei vier Milliarden Euro liege. "Meta hat zehn Jahre lang wissentlich gegen die DSGVO verstoßen, um Profit zu machen." Sollten die US-Überwachungsgesetze nicht geändert werden, "wird Meta nun wohl seine Systeme grundlegend umstrukturieren müssen", sprach Schrems von der Schaffung eines "föderalen" sozialen Netzwerks, bei dem die meisten Daten europäischer Nutzer in europäischen Rechenzentren verbleiben, ausgenommen Kontakte mit US-Nutzern. An einen Rückzug von Meta aus Europa glaubt er nicht, weil der Kontinent wirtschaftlich große Bedeutung für den Konzern hat.

Datenschutz-Aktivist brachte Beschwerde gegen Facebook ein

Der österreichische Datenschutz-Aktivist Max Schrems brachte damals eine Beschwerde gegen Facebook ein. Zehn Jahre nach einer entsprechenden Beschwerde gab sie damit dem Wiener Datenschutz-Aktivisten Max Schrems Recht. Erfreut äußerte sich Digitalisierungsstaatssekretär Florian Tursky (ÖVP).

Das von der DPC verhängte Bußgeld stellt die bisherige Rekordstrafe von 746 Mio. Euro für Amazon.com in Luxemburg in den Schatten. Außerdem muss Meta jede weitere Übermittlung europäischer personenbezogener Daten an die Vereinigten Staaten unterbinden, da das Unternehmen weiterhin den US-Überwachungsgesetzen unterliegt.

Meta kommentierte Strafe vorerst nicht

Meta kommentierte die Rekordstrafe vorerst nicht. Experten gehen aber davon aus, dass der US-Konzern Rechtsmittel gegen die Entscheidung einlegen wird. Die Gerichtsverfahren können sich allerdings über Jahre erstrecken. Bis dahin könnte ein neuer Datenpakt zwischen der Europäischen Union und den USA in Kraft treten, mit dem der transatlantische Datenverkehr neu geregelt wird. Meta hatte zuvor mehrfach damit gedroht, sich vollständig aus der EU zurückzuziehen, sollte ein transatlantischer Datentransfer dauerhaft nicht möglich sein.

Schrems erklärte, das verhängte Bußgeld hätte wesentlich höher ausfallen können: "Die Höchststrafe liegt bei über vier Milliarden. Und Meta hat zehn Jahre lang wissentlich gegen die DSGVO verstoßen, um Profit zu machen." Wenn die US-Überwachungsgesetze nicht geändert würden, werde Meta nun wohl seine Systeme grundlegend umstrukturieren müssen, erklärte Schrems.

"Die Strafe der irischen Datenschutzbehörde ist eine gute und richtige Entscheidung und ein klares Statement. Beim Thema Datenschutz dürfen wir keine Kompromisse zulassen und müssen zeigen, dass es dabei keine Ausnahmen gibt", betonte Staatssekretär Tursky. Auch "amerikanische Hyperscaler (große Cloud-Anbieter wie Amazon, Google und Microsoft, Anm.) müssen sich an unsere Gesetze in Europa halten", forderte der Politiker.

DPC weigerte sich gegen Facebook vorzugehen

Die irische Datenschutzbehörde DPC hatte sich jahrelang geweigert, in dieser Sache gegen Facebook vorzugehen. Letztlich verpflichtete der Europäische Datenschutzausschuss (EDSA) die DPC, eine Strafe gegen das soziale Netzwerk zu verhängen. Der aktuelle Beschluss bezieht sich nur auf Facebook, nicht auf andere Dienste aus dem Meta-Konzern wie Instagram oder WhatsApp. Meta war allerdings bereits im Jänner von der DPC zu einer Strafe in Höhe von 390 Mio. Euro verdonnert worden, weil Facebook- und Instagram-Nutzer gezwungen worden waren, personalisierter Werbung zuzustimmen.

Bisher wurden mit der neuen Strafe für Meta seit dem Inkrafttreten der Datenschutzgrundverordnung vor fünf Jahren Bußgelder in Höhe von 4 Mrd. Euro verhängt. Meta ist in der Liste der zehn höchsten Bußgelder nun gleich sechsfach vertreten, die Strafen summieren sich jetzt auf 2,5 Mrd. Euro. Das höchste Bußgeld in Deutschland mit 35 Mio. Euro musste die Modekette H&M im Jahr 2020 wegen einer unzureichenden Rechtsgrundlage für die Datenverarbeitung seines Onlineshops zahlen.

(APA/Red)