Daten europäischer Bürger dürfen nicht ohne Weiteres in den USA gespeichert werden. Das besagt ein Urteil des Europäischen Gerichtshofs (EuGH) aus dem Sommer 2020. Allerdings verstoßen viele Unternehmen täglich gegen diese Auflage und ebenso das Europaparlament.
Das Parlament hatte
auf seiner Website Cookies von Google Analytics und dem Zahlungsdienstleister Stripe eingebaut. Beide speichern Nutzerdaten in den USA. Google Analytics hilft Websitebetreibern weltweit dabei, Besuche zu zählen und auszuwerten.
Auf Anfrage von Parlamentariern untersuchte der Europäische Datenschutzbeauftragte Wojciech Wiewiorowski die Cookies und kam nun zu dem Schluss, dass sie nicht hätten verwendet werden dürfen. Er sprach eine Unterlassungsanordnung aus.
Für Unternehmen enthält die Entscheidung einen deutlichen Hinweis, dass auch sie bald die Nutzung von Google Analytics einstellen müssen. Gegen 101 Firmen liegen entsprechende Beschwerden beim EU-Datenschutzbeauftragten vor. Welche Strafen den Firmen drohen, ist noch unklar.
Der Datenschutzbeauftragte habe klargemacht, „dass amerikanische Provider nicht mehr ohne Weiteres Cookies auf europäischen Websites platzieren dürfen, um ungehindert Daten abzusaugen“, sagte die Grünenabgeordnete Alexandra Geese.
Sowohl die Beschwerden gegen die Unternehmen wie auch die Beschwerde gegen das Parlament hatte die Organisation Noyb des Datenschutzaktivisten Max Schrems eingereicht. Er erwarte die Entscheidungen zu den Unternehmen in den nächsten Monaten, sagte Schrems.
Formal hat das EU-Parlament gegen ein Datenschutzgesetz verstoßen, das nur für EU-Einrichtungen gilt. Die Entscheidung lässt sich aber auf die Datenschutz-Grundverordnung (DSGVO), die für Unternehmen gilt, übertragen.
EU-Kommission will Datenübertragung in die USA
Die Vorschriften sollen verhindern, dass amerikanische Geheimdienste in die Privatsphäre europäischer Bürger eindringen. „Es gab keinen angemessenen Schutz gegen die Überwachung durch die USA, obwohl europäische Politiker bekanntermaßen Ziel von Überwachungsmaßnahmen sind“, erklärte Schrems.
Die EU-Kommission arbeitet an einer Regelung, auf deren Basis das Übertragen von Daten in die USA wieder möglich wird. Ob sie dafür eine Lösung findet, ist aber offen. Zwei entsprechende Abkommen mit den USA machte der EuGH bereits zunichte, weil sie den Datenschutz nicht sicherstellen konnten.
Das Europaparlament hatte laut Noyb weitere Fehler auf seiner Website gemacht. So seien die Cookie-Banner, mit denen die Nutzer in die Verarbeitung ihrer Daten einwilligen, unklar und irreführend gewesen.
Nicht alle Cookies seien aufgeführt gewesen, und in unterschiedlichen Sprachen seien unterschiedliche Aussagen getroffen worden. Während der Untersuchung entfernte das Europaparlament alle Cookies von der entsprechenden Website.