EU muss Strafe zahlen, weil sie gegen eigenes Datenschutzrecht verstößt

Die Datenschutzverordnung der EU ist komplex, mancher Unternehmer rauft sich darüber die Haare. Jetzt ist die EU-Kommission über ihr eigenes Gesetz gestolpert und muss eine Strafzahlung an einen Kläger leisten. Dabei handelt es sich um einen nur kleinen Betrag, doch der Fall zeigt, dass die Gesetzgeber bei ihren eigenen Regeln nicht immer trittsicher sind.

Die EU hat ihr eigenes Datenschutzgesetz nicht beachtet

Kläger forderte insgesamt 1.200 Euro

Ein deutscher Staatsangehöriger verklagte die EU wegen des betreffenden Datenschutzverstoßes vor dem Europäischen Gerichtshof. Der Kläger vertrat die Ansicht, sein Auskunftsrecht sei verletzt worden und er habe einen immateriellen Schaden erlitten. 800 Euro wollte er wegen der Rechtsverletzung und 400 Euro zur Begleichung des Schadens, macht zusammen 1.200 Dollar. Ob es ihm nicht vielleicht auch darum ging, den Kaiser einmal kurz nackt zu sehen, ist nicht bekannt.

Sign in with Facebook ohne Datenschutzgarantien

Die Geschichte dreht sich um die EU-Webseite zur Konferenz zur Zukunft Europas. Dort bestand seinerzeit die Möglichkeit, sich mit dem eigenen Facebook-Konto einzuloggen (»Sign in with Facebook«). Der Kläger nutzte dieses Angebot, stellte dann aber fest, dass zum Zeitpunkt der fraglichen Datenübermittlung kein Angemessenheitsbeschluss der EU-Kommission für die USA bestand. Es gab auch keine anderen Datenschutzgarantien, wie beispielsweise eine Standarddatenschutzklausel des Aufragverarbeiters, namentlich Facebook. Damit galten juristisch beim Log-in die Nutzungsbedingungen des amerikanischen Social Media Kanals.

Kläger gewann, erhielt aber nur 400 Euro

Das Gericht stellt feste, dass durch das Sign in with Facebook eine FB-URL aufgerufen und somit die IP-Adresse des Klägers an den Meta-Konzern geleitet wird. Die Datenverarbeitung läge aber weiter in Verantwortung des Webseitenbetreibers, der die IP-Adresse mitsamt personenbezogenen Daten ohne Absicherung an ein Drittland weitergab. Allerdings erhielt der Kläger nur die geforderten 400 Euro Schadensersatz, denn sein Auskunftsrecht sei laut des Gerichts nicht verletzt worden. Laut des Europäischen Gerichtshof geht ein Datenaustausch mit Amazon Web Services (AWS) jedoch in Ordnung, denn in diesem Fall existiert eine Vereinbarung, dass die durch die Amazon-Cloudfront übermittelten Daten nicht in die USA gehen, sondern an der EU verbleiben.