Am 16. Februar 2024 wies das Landgericht Passau in einem Urteil (Aktenzeichen 1 O 616/23) die Beschwerde gegen eine Social-Media-Plattform zurück, die wegen vermeintlicher Verstöße im Datenschutz durch Datenweitergabe an die Vereinigten Staaten erhoben wurde.
Kern des Anliegens
Der Beschwerdeführer behauptete, seine persönlichen Daten seien ohne ausreichende Rechtsgrundlage in die USA transferiert und der National Security Agency (NSA) für ungerechtfertigte Überwachungszwecke zur Verfügung gestellt worden. Er argumentierte, dies verstoße gegen die Rechte der Betroffenen, da die Vereinigten Staaten nicht denselben Datenschutzstandard wie die DSGVO bieten, was ihm bedeutenden emotionalen Stress bereitet habe.
Begründung des Gerichts</h2
Das Gericht identifizierte keinen Verstoß in der Übertragung der Daten. Es stellte fest, dass die betreffende Plattform als globales Unternehmen operiert, wodurch ein internationaler Datenaustausch unumgänglich sei. Nutzer müssten die Entscheidung des Unternehmens, Daten in den USA zu verarbeiten, akzeptieren. Die Datenübertragung sei derzeit auf Basis der Angemessenheitsentscheidung der EU-Kommission vom 10. Juli 2023 legitimiert und daher nicht zu beanstanden. Für die Zeit davor seien die Standardvertragsklauseln der Jahre 2010 und 2021 als ausreichende rechtliche Grundlage angesehen worden. Darüber hinaus sei die Datenübermittlung für die Vertragserfüllung notwendig und gemäß Art. 49 Abs. 1 S. 1 b DSGVO zulässig. Meinungsverschiedenheiten von Datenschutzbehörden seien für das Gericht nicht maßgeblich.
Zugriffe durch Sicherheitsdienste
Das Gericht erörterte auch legale Datenzugriffe durch US-Behörden und Geheimdienste nach amerikanischem Recht als Konsequenz der legalen Datentransfers in die USA. Laut Gerichtsmeinung hindere der mögliche Zugriff durch US-Behörden die Einhaltung eines äquivalenten Schutzniveaus nicht. Die Weitergabe an Sicherheitsbehörden zur Erfüllung rechtlicher Verpflichtungen sei auch nach EU-Datenschutzrecht zulässig.
Schlussfolgerung
Das Urteil unterstreicht, dass bei der Bewertung von Datenzugriffen durch Sicherheitsbehörden kein unterschiedlicher Maßstab angelegt werden sollte, unabhängig davon, ob diese in der EU oder den USA ansässig sind. Es signalisiert, dass Unternehmen bei der Auswahl US-basierter Dienste und der Übermittlung von Daten in die USA nicht durch die Diskussionen um den US Cloud Act und Zugriffe durch Sicherheitsbehörden verunsichert werden sollten. Zudem wird eine Neubewertung der restriktiven Haltung der Datenschutzaufsichtsbehörden gegenüber US-Dienstleistern empfohlen.