Corona-Testseite des EU-Parlaments wegen Datentransfer in die USA sanktioniert

 Laut der österreichischen Datenschutz-NGO „noyb" hat der europäische Datenschutzbeauftragte (EDSB) letzte Woche eine Webseite des EU-Parlaments als nicht datenschutzkonform eingestuft. Diese Entscheidung ist auf eine Beschwerde von „noyb" im Namen von sechs EU-Parlamentsmitgliedern hin gefällt worden. Die ausgesprochene Sanktion in Form einer Unterlassungsaufforderung mit einer Frist von einem Monat stellt die erste Entscheidung einer Datenschutzaufsicht in Bezug auf die Durchsetzung des SchremsII-Urteils aus dem Sommer 2020 dar.

Der EDSB stellt die Datenschutz-Aufsichtsbehörde der EU dar und seine Hauptaufgabe ist es, die Einhaltung der in der EU geltenden Datenschutzgesetze durch die EU-Einrichtungen zu überwachen. Demnach kann er einzelne EU-Organe sanktionieren, sollte eine Verarbeitung personenbezogener Daten durch das jeweilige Organ nicht datenschutzkonform gestaltet sein.

Dies ist nun der Fall bei einer Corona-Testseite des EU-Parlaments: Der EDSB hat entschieden, dass hier ein Verstoß gegen EU-Datenschutzrecht vorliegt (gegen die „DSGVO für EU-Behörden", nämlich die Verordnung (EU) 2018/1725). Dem zugrunde liegt eine im Januar 2021 von „noyb" im Namen von sechs Parlamentsmitgliedern der EU eingereichte Beschwerde beim EDSB über unter Anderem das Cookie-Banner und die Datenübertragung in die USA auf der betroffenen Webseite des Parlaments. Demnach liegt bei der Verwendung von zwei Diensten auf der Seite eine Datenübertragung in die USA vor und damit ein Verstoß gegen das SchremsII-Urteil des EuGH. In diesem Fall wurde festgestellt, dass kein angemessener Schutz für eine solche Übertragung gewährleistet wird und die Übertragung damit nicht Rechtens ist.

Die Sanktion gegen diesen Datentransfer, die mangelnde Ausführung des Cookie-Banners sowie der Datenschutzhinweise wurde nun eine Verwarnung als Sanktion ausgesprochen. Das EU-Parlament hat nun einen Monat Zeit, die betroffene Webseite und darauf verwendeten Dienste dem europäischen Datenschutzrecht anzupassen. Da der EDSB nur unter besonderen Umständen Strafen verhängen kann und diese in dem Fall aber nicht gegeben sind, bleibt es bei der Verwarnung.

Da dies jedoch seit dem SchremsII-Urteil die erste Entscheidung zur Durchsetzung des Urteils in der EU ist, wird erwartet, dass sich andere Aufsichtsbehörden daran orientieren und die Durchsetzung nun EU-weit voranschreitet (oder beginnt).

Eure Alena von Datenschutz Prinz

Quelle: https://iapp.org/news/a/edps-sanctions-parliament-over-data-transfers-cookie-consents-2/