Europa beginnt endlich, das Gespräch über US-Datenübertragungen zu führen.
Über ein Jahr, nachdem das oberste Gericht der EU den Datenschutzschild – ein EU-US-Datenflussabkommen – in der sogenannten Schrems-II-Entscheidung für nichtig erklärt hat, müssen die Verhandlungsführer in Brüssel und Washington noch immer ein Ersatzabkommen treffen. Der Kampf: Überbrückung einer Sackgasse darüber, was es bedeutet, den Europäern die Möglichkeit zu geben, US-Überwachungspraktiken rechtlich anzufechten.
Jetzt beginnt diese wegweisende Entscheidung – die andere Datenübertragungsinstrumente aufrechterhielt, aber die Anforderungen zur Aufbewahrung der Daten erhöhte – zu greifen, da die Datenschutzbehörden im gesamten Block tatsächlich damit beginnen, die belastenden Bestimmungen der Entscheidung durchzusetzen. Das veranlasst Unternehmen wie Google, Microsoft und TikTok, über das einst Undenkbare nachzudenken: immer mehr Daten in Europa zu speichern.
In einer Entscheidung vom Donnerstag entschied die französische Datenschutzbehörde CNIL, dass eine unbenannte Website Google Analytics nicht verwenden darf, da dies die Übertragung personenbezogener Daten von Europa in die USA unter Verstoß gegen die Schrems-II-Entscheidung von 2020 beinhaltet.
Die Schlussfolgerungen der CNIL werden von anderen Aufsichtsbehörden genau beobachtet, da die französische Behörde in der Vergangenheit optimistisch die Führung übernommen hat.
Die französische Entscheidung folgt unmittelbar auf eine Entscheidung der österreichischen Datenschutzbehörde, einer Website aus demselben Grund auch die Verwendung des beliebten Google-Webanalysetools zu verbieten, und kündigt eine Reihe von Entscheidungen anderer europäischer Datenschutzbehörden zur Verwendung an diese Werkzeuge. Die niederländische Datenschutzbehörde warnte letzten Monat davor, dass die Verwendung von Google Analytics bald illegal sein könnte. An anderer Stelle hat der norwegische Datenwächter Unternehmen geraten, nach Alternativen zu Googles Tools zu suchen.
Datenschutzbehörden, einschließlich der CNIL, werden voraussichtlich auch bald über die Verwendung des Analysetools von Facebook, bekannt als Facebook Connect, entscheiden. Diese Entscheidungen markieren ein deutliches Durchgreifen gegen Datenübertragungen, die das Lebenselixier der digitalen Wirtschaft bilden und den transatlantischen Handel im Wert von Milliarden Euro ausmachen.
„Dies ist eine Entscheidung, derer sich Unternehmen auf höchster Ebene bewusst sein sollten“, sagte Caitlin Fennessy von der International Association of Privacy Professionals nach der österreichischen Entscheidung. “Es scheint so viel über diesen speziellen Fall hinaus zu gelten.”
Datenlokalisierung, Big-Tech-Alternativen
Big-Tech-Firmen werden zunehmend nervös, da Tausende von Unternehmen, die ihre Tools verwenden, sich an die Entscheidungen der nationalen Regulierungsbehörden halten müssen. Die CNIL, die der namenlosen Website einen Monat Zeit gab, um der Aufforderung nachzukommen, stellte im September eine Liste alternativer Tools zusammen.
Als Reaktion auf die österreichische Entscheidung forderte Google erneut ein neues Privacy-Shield-Abkommen, um den Datenfluss aufrechtzuerhalten. Vielleicht als Versicherung hat das Unternehmen kürzlich in seinen Unterlagen angekündigt, mehr personenbezogene Daten in Europa zu speichern, und damit die von TikTok und Microsoft nach der Entscheidung von Schrems II angekündigten Pläne, alle Daten der Europäer im Block zu behalten, wiederholt. (Google hatte keinen Kommentar zur französischen Entscheidung vom Donnerstag und ein Sprecher leitete POLITICO zu früheren Aussagen weiter.)
Solche Ankündigungen wären früher undenkbar gewesen, da der freie Datenfluss als Eckpfeiler des westlichen Ansatzes zur Nutzung des Internets galt.
Auch Facebooks Muttergesellschaft Meta, die eigene Datenübermittlungen in die USA von der irischen Datenschutzkommission aussetzen lassen könnte, warnt. In Akten, Es hieß, dass es möglicherweise Dienste wie Facebook und Instagram in Europa schließen muss, wenn die irische Entscheidung kommt, bevor Brüssel und Washington sich auf einen neuen Datenpakt geeinigt haben.
Aber dieser neue Datenpakt scheint noch in weiter Ferne zu liegen – eher Wochen als Monate für einen Deal, den Beobachter zu einem Zeitpunkt vor Ende 2021 geplant hatten.
Während es Gerüchte gibt, dass der Handels- und Technologierat zwischen den USA und der EU im Mai eine Einigung ankündigen könnte, haben sich diese Vorhersagen in der Vergangenheit als verfrüht erwiesen, insbesondere da es Brüssel unangenehm ist, eine Entscheidung abzuschließen, bei der es für die Europäer um grundlegende Menschenrechte geht Handelsforum.
„Aus rein technischer Sicht gibt es für Datenübertragungen keinen Weg nach vorne [a] dauerhafter Datenpakt zwischen der EU und den USA, der sich vor Gericht bewähren kann”, sagte Rob van Eijk, Europa-Geschäftsführer des Think Tanks Future of Privacy Forum.