Aufsichtsbehörden beschließen Datenschutzkontrollen bei Unternehmen, insbesondere zum internationalen Datentransfer; neue Standardvertragsklauseln der EU-Kommission

Die Datenschutzbehörden haben sich am Dienstag, den 1. Juni 2021, in der Datenschutzkonferenz darauf geeinigt, nun aktiv anlasslose Kontrollen zur Datenübermittlung in Drittländer (insbesondere in Konzernen) einzuleiten und entsprechende Anhörungsbögen zu versenden. Das maßgebliche Urteil des EuGH aus Juli 2020 (Schrems II, Az. C-311-18) wurde aus Sicht der Behörden von den Unternehmen in Deutschland bislang möglicherweise nicht ausreichend umgesetzt, weshalb nun festgestellt werden solle, ob die notwendigen Maßnahmen auch tatsächlich getroffen wurden.

Zugleich wurden auch Kontrollen in anderen, datenschutzrelevanten Bereichen angekündigt, z. B. zum Webtracking (Cookies), zum Einsatz von E-Mail-Versanddienstleistern (zuletzt wurde die Software Mailchimp als datenschutzwidrig eingestuft) oder Betreiber von Bewerberplattformen.

Die maßgeblichen Anhörungsdokumente sind u. a. auf der Website des Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit zum Download verfügbar. Die Inhalte lassen gut erkennen, worauf es den Behörden bei der Rechtmäßigkeitsprüfung besonders ankommt.

Die Meldung der Datenschutzbehörden kommt zeitlich nur wenige Tage nach der Ankündigung des EU-Datenschutzbeauftragten, die Institutionen der EU nunmehr verschärft auf Einhaltung der Datenschutzvorgaben bei Nutzung von Amazon, Microsoft & Co. zu überprüfen. Wir hatten hierüber berichtet. Gleichzeitig wurde von Seiten der EU-Kommission am 1. Juni 2021 vernommen, dass der Abschluss eines neuen EU-US-Privacy-Shield an die Bedingung geknüpft werden könnte, zunächst die US-Überwachungsgesetze zu ändern, so dass wohl in nächster Zeit nicht mit einer Neuauflage des Abkommens (und damit einer neuen Angemessenheitsentscheidung) zu rechnen ist. Zum aktuellen Stand nach Schrems II hatte zuletzt auch die US-Handelskammer in einem Artikel ausführlich aus US-Sicht Stellung genommen. Erst vorgestern, am 2. Juni 2021, wurde bekannt, dass die EU-Kommission am heutigen Freitag (4. Juni 2021) die überarbeiteten und im Trilog abgestimmten, neuen Standardvertragsklauseln präsentieren wird. Hierüber werden wir jedoch einen eigenen Artikel in Kürze zur Verfügung stellen.

Im Hinblick auf die Nutzung von Cookies fällt die Ankündigung der Behörden von Montag fast zeitgleich mit einer automatisierten Massenabmahnung durch den Datenschutzaktivisten Max Schrems (mit seinem Verein NOYB) an 10.000 Unternehmen der EU, deren Webseiten unzulässige Cookie-Banner verwenden. In diesem Zusammenhang wurden bislang bereits 500 Beschwerden an Datenschutzbehörden eingereicht. Auch Unternehmen in Deutschland sind damit ggf. zukünftig mit einem behördlichen Verfahren konfrontiert, nur weil sie auf der eigenen Website einen Cookie-Banner verwenden, die aus strenger Sicht der DSGVO nicht rechtskonform gestaltet ist. Es sollte diesbezüglich berücksichtigt werden, dass die (rechtlich nicht eindeutig geklärte) Forderung des Aktivisten Schrems gestellt wird, dass die Einwilligung zu Tracking-Cookies genau so leicht zu erreichen sein muss, wie die Nicht-Zustimmung. Hiernach müsste ein Cookie-Banner bereits auf der ersten Seite die Option bereitstellen, keine Cookies zu aktivieren („Ablehnen“), was die meisten Cookie-Banner auf deutschen Webseiten derzeit nicht leisten.

Was ist also zu tun?

1. Lassen Sie von Ihrem Datenschutzbeauftragten einmal die Anhörungsbögen der Datenschutzbehörden daraufhin prüfen, ob die dortigen Fragen (positiv) beantwortet werden können. Diese Fragen sind nach Veröffentlichung der neuen Standardvertragsklauseln allerdings in einem neuen Licht zu betrachten.
2. Prüfen Sie den Cookie-Banner auf Ihrer Website daraufhin, ob die strengen Forderungen des NOYB (Cookie JA/NEIN) derzeit eingehalten werden und entscheiden Sie, ob zulasten einer Analysefähigkeit der Nutzerdaten eine Anpassung durchgeführt werden soll.

In beiden Bereichen erhalten Sie von uns auf Wunsch eine individuelle Empfehlung