DSB Oostenrijk: Schrems & gegevensoverdrachten
Oostenrijks Datenschutzbehörde (DSB) is de toezichthouder van NOYB. NOYB staat voor None of Your Business. Max Schrems richtte de organisatie op. Zij diende sinds 2018 meer dan 1.000 AVG-klachten in. De DSB behandelde 422 van deze zaken tussen 2022 en 2024.
Die staat van dienst telt. De DSB staat centraal in twee juridische gevechten die het EU-overdrachtsrecht al volledig hebben hervormd.
NOYB en de DSB: een patroon
Schrems I (2015): Schrems diende een klacht in over Facebook's EU-VS-overdrachten. Het EU-Hof van Justitie vernietigde Safe Harbor. Meer dan 4.000 bedrijven maakten gebruik van dat kader.
Schrems II (2020): Een tweede aanvechting trof Privacy Shield. Meer dan 5.000 bedrijven vertrouwden daarop. Het vervallen ervan dwong tot nieuwe onderhandelingen, resulterend in het EU-VS Data Privacy Framework (DPF) dat in 2023 van kracht werd.
Verwacht Schrems III (2025–2026): NOYB heeft het DPF-adequaatheidsbesluit aangevochten. Het argument: FISA Section 702 conflicteert nog steeds met de AVG. Een prejudiciële verwijzing naar het EU-Hof wordt verwacht.
78% van de DSB-zaken betreft grensoverschrijdende overdrachten of tools van derden. Dat maakt Oostenrijkse toezichthouders uniek ten opzichte van andere EU-instanties.
Het Google Analytics-besluit van de DSB
Het DSB-besluit van januari 2022 inzake Google Analytics zette de standaard voor overdrachtsszaken.
Drie kernbevindingen kwamen daaruit voort:
- IP-adressen zijn persoonsgegevens. Zelfs afgekorte IP's kunnen heridentificatie mogelijk maken binnen Google's systemen. Sessiegegevens verergeren dit.
- Toegang van een VS-leverancier telt als overdracht. Wanneer Amerikaanse ingenieurs toegang hebben tot EU-gebruikersregistraties — via ondersteuning, onderhoud of wettelijke bevelen — kwalificeert dat als overdracht onder de AVG.
- SCB's zonder TIA zijn niet voldoende. Standaardcontractbepalingen vereisen een Transfer Impact Assessment. De TIA moet aantonen dat Amerikaanse spionagewetten de SCB-beschermingen niet tenietdoen.
De DSB hield de Oostenrijkse siteoperator aansprakelijk — niet Google. De operator was de verwerkingsverantwoordelijke. Dit geldt voor elk EU-bedrijf dat scripts van derden insluit. Zie onze AVG-nalevingsgids voor verwerkingsverantwoordelijkheidsplichten.
Extra technische maatregelen
Na Schrems II publiceerde de EDPB richtsnoeren voor extra technische maatregelen. Deze gelden wanneer SCB's op zichzelf onvoldoende zijn. De DSB handhaaft deze richtsnoeren.
Drie benaderingen doorstaan DSB-toetsing:
Versleuteling met in de EU bewaarde sleutels. Versleutel gegevens vóór ze de EU verlaten. Bewaar decryptiesleutels in EU-handen. Als Amerikaanse autoriteiten de leverancier dwingen bestanden over te dragen, ontvangen ze niet-leesbare versleutelde tekst.
Pseudonimisering vóór overdracht. Stuur alleen pseudonieme tokens over grenzen. Bewaar de heridentificatiesleutel binnen de EU. De overgedragen bestanden bevatten geen directe persoonsgegevens.
Lokale verwerking. Voer alle verwerking uit op EU-servers. Stuur alleen geaggregeerde, werkelijk anonieme statistieken over. Er worden geen persoonsgegevens grensoverschrijdend doorgestuurd.
Het Schrems III-risico
Bedrijven die uitsluitend op het DPF vertrouwen, lopen een duidelijk risico. Als NOYB's aanvechting bij het EU-Hof slaagt, moeten die bedrijven snel nieuwe overdrachtstools vinden — precies wat er in 2015 en 2020 gebeurde.
Organisaties die extra technische maatregelen toepassen zijn beschermd. Als inhoud werkelijk anoniem is, vindt er geen AVG-overdracht plaats. Een mogelijke intrekking van het DPF verandert niets voor hen.
Voor Oostenrijkse activiteiten: analysetools (Google Analytics, Mixpanel, Amplitude) creëren allemaal DSB-blootstelling. Hetzelfde geldt voor CRM-systemen met Amerikaanse moederbedrijven (Salesforce, HubSpot) en cloudplatforms waarbij VS-medewerkers beheertoegang hebben.
De oplossing is in alle gevallen hetzelfde. Zorg dat persoonsgegevens werkelijk anoniem zijn vóór ze de leverancier bereiken, of versleutel ze met sleutels die uitsluitend de EU-verwerkingsverantwoordelijke bewaart. Ons beveiligings- en nalevingsoverzicht legt uit hoe zero-knowledge-ontwerp het overdrachtsrisico bij de wortel aanpakt.