Charmeoffensive der irischen Datenschutzaufsicht in Brüssel: Die Commissioner Hogan und Sunderland, seit Anfang des Jahres im Amt, stellten sich und ihre Prioritäten für die kommenden 5 Jahre vor. Wir waren am 20. und 21. November auf dem iapp Europe Data Protection Congress dabei.
Der Inhalt im Überblick
Die wichtigste Aufsichtsbehörde Europas
Die irischen Data Protection Commissioner Dr. Des Hogan (Chairperson of the Commission) und Dale Sunderland sind eigentlich die wichtigsten Aufseher in ganz Europa. Schließlich sind sie für die meisten der US-Unternehmen zuständig, deren Datengier der EU-Gesetzgeber mit der DSGVO einhegen wollte. Die europäischen Tochtergesellschaften von Google, Facebook & Co. haben nämlich ihren Sitz in Irland. Doch ausgerechnet die irische Behörde hat in der Vergangenheit Verfahren verschleppt oder trotz Verstößen eingestellt.
Die nachlässigste Aufsichtsbehörde Europas
Wenn die irische Behörde einmal ein hohes Bußgeld verhängt hat, dann nur, weil die übrigen europäischen Aufsichtsbehörden Druck gemacht haben. Das Bußgeld von 225 Millionen Euro gegen WhatsApp musste 2021 vom EDSA im Kohärenzverfahren erzwungen werden.
Als sich die negativen Berichte über die Behörde häuften, erließ das irische Parlament kurzerhand ein Gesetz, das es erlaubt, die Berichterstattung über behördliche Verfahren unter Strafe zu stellen. Inoffiziell ist das einer der Gründe, warum die Europäische Union eine Verordnung vorgeschlagen hat, um grenzüberschreitende Verfahren neu zu regeln.
Data Protection Commissioner gegen LinkedIn
In einem solchen Verfahren, das die irischen Data Protection Commissioner von der französischen CNIL übernommen hatten, verhängten sie Ende Oktober ein Bußgeld von 310 Millionen Euro gegen LinkedIn. Wie im Fall von WhatsApp hatte sich das Unternehmen für die Verarbeitung von Nutzerdaten vor allem auf berechtigte Interessen berufen. Commissioner Sunderland kommentierte die Entscheidung: LinkedIn habe Geschlecht, Alter oder andere Angaben aus den Profilen der Mitglieder sowie die Angaben ähnlicher Mitglieder ausgewertet, um die Mitglieder dann auf der Grundlage dieser Auswertung in Segmente und Interessenkategorien einzuteilen. Die Segmente und Kategorien enthielten persönliche Informationen wie Alter, Standort und Fähigkeiten.
Bei der Auswertung der 1st Party-Daten (und weiterer 3rd Party-Daten) habe sich LinkedIn unzulässigerweise auf berechtigte Interessen berufen. Denn die Interessen, Grundrechte und Grundfreiheiten der Mitglieder würden überwiegen. Gerade Alter und Geschlecht seien bei einer berufsbezogenen Plattform wie LinkedIn keine sachgerechten Kriterien. Eine Segmentierung nach diesen Kriterien könne sich diskriminierend auswirken.
Ist das Bußgeldverfahren die Kehrtwende?
In dem Verfahren gegen LinkedIn hatte die irische Aufsicht das Bußgeld von Anfang an auf 310 Millionen Euro festgesetzt. Auf dem iapp Europe Data Protection Congress dekliniert der Comissioner die Voraussetzungen des berechtigten Interesses durch, um wie bei einer juristischen Hausarbeit im Prüfungsschritt 3 die Rechtsgrundlage abzulehnen. Steckt hinter der Charmeoffensive ein echtes Umdenken? Können wir daraus schließen, dass die neuen irischen Data Protection Commissioner nicht mehr zum Jagen getragen werden müssen? Skepsis ist wohl angebracht, zumal Dale Sunderland zuvor 8 Jahre lang Deputy Commissioner war.
