Geh rüber, Dublin. Es ist Luxemburg, das Europas Ära der groß angelegten Durchsetzung der Privatsphäre einläutet.
Mehr als drei Jahre nach dem Inkrafttreten der EU-Datenschutzgrundverordnung werden die versprochenen saftigen Bußgelder endlich eingetreten.
In Finanzunterlagen vom Freitag sagte der Technologieriese Amazon, das Großherzogtum habe eine Rekordstrafe von 746 Millionen Euro verhängt, nachdem festgestellt wurde, dass die Art und Weise, wie der E-Commerce-Riese mit den persönlichen Daten der Menschen umgeht, gegen Europas strenge Datenschutzbestimmungen verstößt.
Die Zahl ist die höchste, die jemals im Rahmen des Kodex erhoben wurde, weit vor Frankreichs 50 Millionen Euro Strafe für Google, der zweithöchsten, und lässt Luxemburg als unwahrscheinlicher neuer Datenschutz-Sheriff in Europa auftauchen.
Dem winzigen, steuerarmen Land wird seit langem vorgeworfen, es sei sanft zu den Konzernen, die es zu seiner Heimat machen. Angesichts einer POLITICO-Untersuchung im Februar, die Hinweise auf Datenschutzverstöße bei Amazon aufdeckte, behauptete ein Beamter der Regulierungsbehörde, dass hohe Strafen nicht der richtige Weg seien. Viviane Reding, eine Oppositionsabgeordnete des Landes und ehemalige EU-Kommissarin und Chefarchitektin der DSGVO, hatte Fragen zum Umgang der Aufsichtsbehörde mit Datenschutzbeschwerden aufgeworfen, während der Ruf der Stimmen, die den Wachhund kritisierten, zunahm.
Aber die Rekordsumme für ein US-Schwergewicht hat Luxemburg an die Front im europäischen Krieg gegen Big Tech gebracht. Dabei stellt sie Irland, das den Löwenanteil der Silicon Valley-Unternehmen reguliert, harte Fragen. Bisher hat Dublin nur eine einzige Geldstrafe gegen ihre Reihen auferlegt: 450.000 Euro Strafe für Twitter.
„Diese historische Sanktion unterstreicht noch mehr die vollständige Abdankung der irischen Datenschutzbehörde, die in drei Jahren keine der anderen vier Beschwerden, die wir gegen Facebook, Apple, Microsoft und Google eingereicht haben, abgeschlossen hat“, sagte French Die NGO La Quadrature du Net, deren Beschwerde zu einer Geldstrafe von Luxemburg gegen Amazon führte.
Mit der Mega-Bußgeldstrafe könnte Luxemburg sogar Frankreich als Europas härtesten Datenschutzbeauftragten ablösen. “Die vorbildliche Haltung der luxemburgischen Behörde ist auch eine kalte Dusche für die CNIL [France’s data enforcer] in Frankreich, das beim Datenschutz lange Zeit in Europa führend war. Heute ist die CNIL nur noch ein Schatten ihrer selbst”, fügte die französische NGO hinzu.
Luxemburg scheint auch einem Großteil des bürokratischen Gerangels ausgewichen zu sein, das Europas Datenschutzbehörden gegen Big Tech durchkreuzt hat.
Die Twitter-Strafe zum Beispiel kam erst zustande, nachdem Irland gezwungen war, einen formellen Mechanismus zur Beilegung von Streitigkeiten zwischen den europäischen Regulierungsbehörden auszulösen, von denen einige beklagten, dass die von den Iren vorgeschlagene Zahl zu niedrig war. Irlands zweite Big-Tech-Entscheidung – eine mögliche Geldstrafe von 50 Millionen Euro für WhatsApp – ist in ein ähnliches Gerangel verwickelt.
Luxemburgs Geldbuße gegen Amazon sah jedoch eine viel reibungslosere Fahrt vor sich.
Luxemburgs ursprünglicher Vorschlag, der mit rund 360 Millionen Euro gemeldet wurde, war weitaus niedriger als der schließlich zugesagte Betrag, aber es gelang ihm dennoch, die Entscheidung ohne Rückgriff auf formelle Streitbeilegungsmechanismen abzuschließen.
Der relativ reibungslose Prozess in Luxemburg lässt Zweifel an Irlands Behauptungen aufkommen, dass es der europäische Durchsetzungsmechanismus – bekannt als One-Stop-Shop – und nicht seine eigenen Maßnahmen sind, die zu Engpässen bei der Durchsetzung führen.
Aber Irlands Vorsicht kann seine Vorteile haben.
Amazon hat bereits angekündigt, sich gegen Luxemburgs Entscheidung „energisch“ verteidigen zu wollen, und sagte, Luxemburgs Geldbuße beruhe auf „subjektiven und ungeprüften Auslegungen des europäischen Datenschutzrechts“, die „völlig unverhältnismäßig“ seien.
Unternehmensanwälte werden bereits rechtliche Argumente schärfen, um Lücken in der Argumentation der Aufsichtsbehörde zu knacken, und können sich ihre Chancen in einem Rechtssystem vorstellen, das sich an Unternehmensinteressen orientiert.
Wenn Amazon es schafft, die Geldstrafe zurückzufordern, wäre dies nicht der erste peinliche Rückschlag für Europas DSGVO-Durchsetzer.
Die britische Datenschutzbehörde hat zwei dreistellige Geldbußen für British Airways und Marriott um 80 Prozent gesenkt, nachdem die Unternehmen dagegen gekämpft hatten, während die deutschen Gerichte die von den Datenschutzbehörden des Landes verhängten Geldstrafen in Höhe von mehreren Millionen Euro gesenkt haben.
Angesichts der Höhe der Geldbuße und des Ziels, das kein anderer als Amazon ist, wäre ein ähnlicher Rückschlag für Luxemburg eine viel bitterere Pille.