Datenschutz: Facebook und seine Nemesis
Seit Jahren kämpft der österreichische Aktivist Maximilian Schrems gegen den mangelnden Datenschutz bei Facebook. Der Rechtsstreit zeigt, wie uneinsichtig die IT-Konzerne agieren – aber auch, dass sich Hartnäckigkeit auszahlt.
«Wenn das Geschäftsmodell von Facebook vor einem Gericht landet, ist das ein riesiges Problem für sie», sagt Max Schrems und fasst damit eine bizarre Situation zusammen. Ausgerechnet die selbsternannte Weltverbesserungsagentur fusst demnach auf einem Modell, das nicht mit den in der EU geltenden Grundrechten kompatibel ist.
Seit 2011 kämpft der österreichische Jurist und Datenschutzaktivist Maximilian Schrems dafür, dass die Lücke zwischen europäischer Gesetzgebung und Alltagspraxis der Internetkonzerne geschlossen wird. Sein epischer Rechtsstreit mit Facebook zeigt dabei exemplarisch, wie wenig sich die grossen IT-Firmen um Transparenz, geschweige denn Kooperation bemühen. Eingeständnisse machen sie dann, wenn ihnen die Gerichte auf die Pelle rücken – was wiederum KlägerInnen erfordert, die bereit sind, Unmengen von Ressourcen aufzubringen. Das Beispiel Schrems zeigt aber auch, dass sich Hartnäckigkeit durchaus lohnen kann.
2015 brachte eine Klage von Schrems gar eine internationale Vereinbarung zu Fall. Das sogenannte Safe-Harbor-Abkommen, verabschiedet fünfzehn Jahre zuvor, garantierte US-amerikanischen Unternehmen bis dahin Zugriff auf personenbezogene Daten aus EU-Ländern – unter der Bedingung, dass sie in Übereinstimmung mit der europäischen Datenschutzrichtlinie verwendet werden. Dann kam Edward Snowden und bewies, dass die Bedingung ignoriert wird. Die Enthüllungen aus dem Jahr 2013 legten offen, dass Facebook und andere Plattformen im Rahmen des Prism-Überwachungsprogramms NutzerInnendaten im grossen Stil an die US-Geheimdienste weiterreichten. Damit hatte Schrems die nötigen Argumente zur Hand, um das Abkommen zu demontieren. Am 6. Oktober 2015 war vom sicheren Hafen nichts mehr übrig. An dessen Stelle trat wenige Monate später das sogenannte EU-US Privacy Shield. Schrems beschrieb die neue Regelung jüngst als «Safe Harbor 1.0.1». Sie sei grösstenteils identisch mit dem Vorgängerabkommen. Auch darum kämpft er weiter.
Klage als Privatperson möglich
Noch während des Hickhacks um Safe Harbor verwickelte Schrems Facebook in einen zweiten Fall. Vor wenigen Tagen kam es dabei zu einem wegweisenden Urteil. 2014 hatte Schrems bei einem Gericht in Wien eine Sammelklage gegen die irische Tochtergesellschaft von Facebook eingereicht. Sie ist die Vertragspartnerin aller NutzerInnen ausserhalb der USA und Kanadas, rund achtzig Prozent der Facebook-Community also.
Mit der Klage, die Schrems stellvertretend für über 25 000 Personen einreichte, sollte ein Präzedenzfall geschaffen werden. Ziel war es, ein Urteil darüber zu erwirken, ob eine Sammelklage überhaupt zulässig ist und ob Schrems als österreichischer User in Wien gegen Facebook Irland klagen kann.
Nach einem mehrjährigen Spiessrutenlauf durch die Instanzen gab ihm der Europäische Gerichtshof am 25. Januar teilweise recht. Eine Sammelklage sei zwar unzulässig, Schrems könne aber als Privatperson in Österreich klagen. Facebook hatte dies abzuwenden versucht und wollte, dass stattdessen in Irland verhandelt wird, wo die Verfahrenskosten massiv höher ausfallen würden.
Da die Zuständigkeitsfrage nun geklärt sei, stehe der inhaltlichen Klage wegen Datenschutzverletzungen nichts mehr im Weg, sagt Max Schrems. «Facebook kann sich in Wien keinesfalls mehr hinter der irischen Datenschutzbehörde verstecken. Wenn die Gerichte festhalten, dass Facebook illegal Daten nutzt, muss das gesamte Geschäftsmodell von Facebook an europäisches Recht angepasst werden.»
Eine neue Datenschutzorganisation
Gegen das Nein zur Sammelklage hat sich Schrems ohnehin längst in Stellung gebracht. In einer gross angelegten Crowdfundingaktion sammelte er in den vergangenen Monaten mehr als 280 000 Euro für den Aufbau einer Datenschutzorganisation. Mit der NGO Noyb (My Privacy Is None of Your Business) soll eine Infrastruktur für VerbraucherInnen geschaffen werden, um sich international zu organisieren und Schlagkraft gegen Datenschutzvergehen der Grosskonzerne zu entwickeln. Der Zeitpunkt für die Lancierung ist nicht zufällig gewählt. Am 25. Mai tritt die neue EU-Datenschutz-Grundverordnung (DSGVO) in Kraft. Sie ebnet den Weg für Klagen von NGOs wie Noyb.
