DSB Österreich: Schrems & Datentransfers
Die österreichische Datenschutzbehörde (DSB) ist die Heimatbehörde von NOYB. NOYB steht für None of Your Business. Max Schrems gründete die Organisation. Sie hat seit 2018 über 1.000 DSGVO-Beschwerden eingereicht. Die DSB bearbeitete 422 dieser Fälle zwischen 2022 und 2024.
Diese Bilanz ist bedeutsam. Die DSB steht im Zentrum zweier Rechtsstreitigkeiten, die das EU-Transferrecht bereits zweimal neu gestaltet haben.
NOYB und die DSB: Ein Muster
Schrems I (2015): Schrems reichte eine Beschwerde gegen die EU-US-Datenflüsse von Facebook ein. Der EuGH hob Safe Harbor auf. Mehr als 4.000 Unternehmen nutzten diesen Rahmen.
Schrems II (2020): Eine zweite Klage traf das Privacy Shield. Über 5.000 Unternehmen verließen sich darauf. Sein Fall erzwang neue Verhandlungen. Das Ergebnis war das EU-US Data Privacy Framework (DPF). Das DPF trat 2023 in Kraft.
Erwartetes Schrems III (2025–2026): NOYB hat den DPF-Angemessenheitsbeschluss angefochten. Argument: FISA Section 702 steht weiterhin im Widerspruch zur DSGVO. Eine EuGH-Vorlage wird erwartet.
78 % der DSB-Fälle betreffen grenzüberschreitende Transfers oder Drittanbieter-Tools. Dieser Fokus hebt österreichische Behörden von anderen EU-Stellen ab.
Das Google-Analytics-Urteil der DSB
Die DSB-Entscheidung vom Januar 2022 zu Google Analytics setzte den Standard für Transferfälle.
Drei wichtige Erkenntnisse gingen daraus hervor:
- IP-Adressen sind personenbezogene Daten. Selbst gekürzte IPs können eine Identifizierung in Google-Systemen ermöglichen. Sitzungsdaten verschlimmern das Problem.
- US-Anbieterzugriff gilt als Transfer. Wenn US-Ingenieure auf EU-Nutzerdaten zugreifen können, ist das ein Transfer nach DSGVO. Dies gilt für Support, Wartung und behördliche Anfragen.
- SCCs ohne TIA reichen nicht. Standardvertragsklauseln brauchen eine Transfer-Folgenabschätzung. Sie muss zeigen, dass US-Gesetze den SCC-Schutz nicht aufheben.
Die DSB befand den österreichischen Websitebetreiber haftbar — nicht Google. Der Betreiber war der Verantwortliche. Das gilt für alle EU-Unternehmen, die Drittanbieter-Skripte einbinden. Unser DSGVO-Leitfaden erläutert die Pflichten des Verantwortlichen.
Zusätzliche Technische Maßnahmen
Nach Schrems II veröffentlichte der EDSA Leitlinien zu zusätzlichen technischen Maßnahmen. Diese gelten, wenn SCCs allein nicht ausreichen. Die DSB setzt diese Leitlinien durch.
Drei Ansätze bestehen die DSB-Prüfung:
Verschlüsselung mit EU-Schlüsseln. Daten vor dem Verlassen der EU verschlüsseln. Entschlüsselungsschlüssel in EU-Händen halten. Wenn US-Behörden den Anbieter zur Herausgabe zwingen, erhalten sie unlesbaren Geheimtext.
Pseudonymisierung vor dem Transfer. Nur pseudonyme Tokens über Grenzen senden. Den Identifizierungsschlüssel in der EU behalten. Die übertragenen Dateien enthalten keine direkten Personendaten.
Lokale Verarbeitung. Alle Verarbeitungen auf EU-Servern durchführen. Nur aggregierte, wirklich anonyme Statistiken übertragen. Keine personenbezogenen Daten überqueren die Grenzen.
Die DSB hat dies bestätigt. Unternehmen, die US-SaaS-Anbieter für EU-Personendaten nutzen, müssen mindestens einen dieser Ansätze anwenden. Oder sie müssen nachweisen, dass die übertragenen Inhalte wirklich anonym sind.
Das Schrems-III-Risiko
Unternehmen, die sich ausschließlich auf das DPF stützen, tragen ein klares Risiko. Wenn NOYBs EuGH-Klage Erfolg hat, müssen diese Firmen schnell neue Transfermittel finden. Genau das geschah 2015 und 2020.
Gruppen, die zusätzliche technische Maßnahmen nutzen, sind geschützt. Wenn Inhalte wirklich anonym sind, liegt kein DSGVO-Transfer vor. Ein DPF-Wegfall ändert für sie nichts.
Für österreichische Betriebe: Analysetools (Google Analytics, Mixpanel, Amplitude) schaffen DSB-Risiken. Ebenso CRM-Systeme mit US-Muttergesellschaften (Salesforce, HubSpot). Cloud-Plattformen, auf die US-Mitarbeiter Adminstatus haben, tragen das gleiche Risiko.
Die Lösung ist dieselbe. Sicherstellen, dass Personendaten wirklich anonym sind, bevor sie den Anbieter erreichen. Oder mit Schlüsseln verschlüsseln, die nur der EU-Verantwortliche hält. Unser Sicherheits- und Compliance-Überblick erklärt, wie Zero-Knowledge-Design das Transferproblem an der Wurzel beseitigt.
Quellen
- DSB: Österreichische Datenschutzbehörde — VERIFIED-EXTERNAL
- NOYB: Strategische Klagen — VERIFIED-EXTERNAL
- EuGH: Schrems-II-Entscheidung C-311/18 (2020) — VERIFIED-EXTERNAL
- EDSA: Empfehlungen 01/2020 zu zusätzlichen Transfermaßnahmen — VERIFIED-EXTERNAL