Die Rekordstrafe der luxemburgischen Datenschutzbehörde CNPD gegen den Onlineversandhändler Amazon scheint Bewegung in die europäische Umsetzung der Datenschutz-Grundverordnung gebracht zu haben – wenn auch nicht auf ganz freiwilliger Basis.

„Das Herumstochern unserer Regierung in Sachen Amazon und CNPD ist einfach nur belanglos“, sagt die Abgeordnete Viviane Reding (CSV) und macht gegenüber Reporter.lu ihrem Ärger Luft. Die ehemalige EU-Kommissarin für Justiz, Grundrechte und Bürgerschaft, in deren Amtszeit die Datenschutz-Grundverordnung (DGSVO) eingeführt wurde, ist wenig beeindruckt von der Antwort auf ihre parlamentarische Anfrage an Medienminister Xavier Bettel (DP).

Viviane Reding wollte – zusammen mit ihrem Parteikollegen Laurent Mosar – wissen, ob der amerikanische Multi bereits Einspruch gegen die Geldstrafe in Höhe von 746 Millionen Euro, welche die Datenschutzbehörde Ende Juli wegen Missachtung des DSGVO verhängt hat, eingelegt hat und ob die luxemburgische Datenschutzbehörde CNPD über genug Ressourcen verfüge, um einen solchen Prozess zu meistern.

Unwissen über Einspruch von Amazon

In seiner Antwort gibt sich Xavier Bettel ausweichend und verweist darauf, dass die Behörde weder über spezifische Dossiers kommunizieren, noch ihre Entscheidungen veröffentlichen kann, solange der Rechtsweg nicht ausgeschöpft ist. Was die Ressourcen angeht, versichert der Medienminister, dass die CNPD eine der einzigen fünf europäischen Datenschutzbehörden sei, die in einem Bericht des Europäischen Datenschutzausschusses (EDPB) angaben, über ausreichend Budget zu verfügen.

Sieht man sich den Bericht etwas genauer an, ergibt sich aber ein differenzierteres Bild. Zwar stimmt es, dass die luxemburgische Datenschutzbehörde zusammen mit den Kollegen aus Österreich, Ungarn, Zypern und Litauen ihr Budget als genügend einschätzt, um ihre Aufgaben wahrnehmen zu können. Dies gilt aber nicht für die Personalressourcen, bei denen die CNPD unter den 86 Prozent der Datenschutzbehörden firmiert, die ihrer Dachorganisation angegeben haben, dass diese nicht ausreichen würden.

CNPD beklagt sich über Personaldecke

Dass die CNPD mit der Millionenstrafe Neuland betritt, kann auch an anderen Indikatoren festgemacht werden. So summierten sich die von der Behörde verhängten Strafzahlungen bis Mai 2021 auf 28.700 Euro. In den Jahren von 2018 bis 2020 verhängte sie überhaupt keine Geldstrafen – nur Estland und Litauen verlangten in den letzten drei Jahren weniger Geld. Damit liegt die CNPD nicht im Trend der europäischen Datenschutzbehörden, die durchschnittlich in 76 Prozent der Fälle Geldstrafen aussprechen.

Viviane Reding bestätigt Reporter.lu gegenüber, dass die CNPD bis jetzt kein Fan von Geldstrafen war: „Sie haben es selbst in der internationalen Presse gesagt“, meint sie und spielt damit auf ein Interview mit „Politico“ an, in dem Marc Lemmer, Kommissar der Datenschutzbehörde, mit den Worten zitiert wird: „Das Ziel sind nicht hohe Strafen, sondern eine Veränderung der Kultur.“

Diese Strafen sind ein Warnschuss, der zeigen soll, dass die EU – und auch Luxemburg – die Verordnung ernst nimmt und durchsetzt“Viviane Reding, Ex-EU-Kommissarin und CSV-Abgeordnete

Für die Ex-EU-Kommissarin ist klar, dass der Sinneswandel der CNPD nur durch Druck von außen möglich war: „Es waren die europäischen Datenschutzbehörden und der Dachverband, die Luxemburg unter Zugzwang gesetzt haben, um eine Geldstrafe in der Affäre Amazon, die bereits 2018 eingereicht wurde, auszusprechen.“ Weiterhin ist sie der Meinung, dass der auf Luxemburg ausgeübte Druck nun auch in Irland spürbar geworden sei.

Irland reagiert auf Druck

In der Tat hat die irische Datenschutzbehörde DPC, kurz nachdem das Großherzogtum Amazon zur Kasse gebeten hat, den Messenger-Dienstleister Whatsapp mit einer Strafe in Höhe von 225 Millionen Euro belegt. Auch hier ging es um Missachtung der DSGVO, und auch die DPC war nicht dafür bekannt, besonders scharf auf das Verteilen von Strafzahlungen zu sein. Wohl auch deshalb hat die Dachorganisation EDPB die irische Datenschutzbehörde Anfang September angewiesen, die Höhe der Strafe noch einmal zu überdenken und sich nicht nur am Umsatz von Whatsapp zu orientieren, sondern auch an dem von Facebook – der Mutterfirma des Messengerdienstes.

Viviane Reding empfindet die hohen Strafen als Genugtuung: „Als ich 2012 die DSGVO auf den Tisch gelegt habe, haben die Gafas mit allen Mitteln dagegen lobbyiert. Jetzt müssen sie diese Mittel einsetzen, um die Verordnung umzusetzen. Diese Strafen sind ein Warnschuss, der zeigen soll, dass die EU – und auch Luxemburg – die Verordnung ernst nimmt und durchsetzt“, meint sie. Und auch über den Sinneswandel der CNPD zeigt sie sich zufrieden. Dieser könne auch dazu beitragen, dem Narrativ von Luxemburg als Finanzparadies, in dem Großunternehmen nach Belieben schalten und walten können, Kontra zu geben.