Kippt das Haftungsprivileg?

In Episode 160 des c't-Datenschutz-Podcasts widmen sich Holger und
Joerg gleich mehreren Themen aus der jüngsten Vergangenheit. Den
Auftakt macht ein bemerkenswertes Bußgeld der niederländischen
Datenschutzaufsicht: 100 Millionen Euro muss die MLU B.V. zahlen,
Betreiberin der europäischen Version der Yandex-Taxi-App Yango. Der
Vorwurf lautet, das Unternehmen habe Daten von Fahrern und
Fahrgästen aus Norwegen und Finnland nach Russland übermittelt,
darunter Führerscheinscans, Standortdaten und Kontonummern. Die
niederländische Behörde kam zu dem Schluss, dass die verwendeten
EU-Standardvertragsklauseln nicht ausreichten, um die Daten vor
staatlichem Zugriff in Russland zu schützen. Die Höhe der Strafe
orientiert sich am weltweiten Umsatz des Mutterkonzerns Yandex von
rund 12 Milliarden Euro. MLU hat bereits Widerspruch gegen den
Bescheid eingelegt. Anschließend diskutieren Holger und Joerg eine
Entwicklung in Baden-Württemberg: Die neue grün-schwarze
Landesregierung plant laut Koalitionsvertrag, 40 Prozent der
Stellen beim Landesbeauftragten für Datenschutz und
Informationsfreiheit zu streichen und begründet das mit
Haushaltskonsolidierung und Verwaltungsmodernisierung. Die
Diskussion um derlei Maßnahmen reiht sich in die bundesweiten
Überlegungen ein, Datenschutzkompetenzen stärker beim Bund zu
bündeln. Bleich und Heidrich sehen die Entwicklung kritisch. Gerade
spezialisierte Landesbehörden hätten in den vergangenen Jahren
wichtige Expertise aufgebaut, etwa zu Microsoft 365 oder
Informationsfreiheit. Gerade erst habe der Verbraucherzentrale
Bundesverband (vzbv) in einem Positionspapier diese Ansicht
bestärkt, so Bleich. Der Verband fordert unter anderem "gezielte
Zuständigkeitsbündelungen für länderübergreifende Fälle" statt eine
Zentralisierung der Aufsicht beim Bund. Den Schwerpunkt der Episode
bildet schließlich die Auseinandersetzung mit dem Russmedia-Urteil
des Europäischen Gerichtshofs (EuGH) und einer aktuellen Bewertung
dessen des Hamburger Datenschutzbeauftragten. Das Urteil
verpflichtet Plattformbetreiber unter Umständen zu einer
anlasslosen Vorabprüfung von Inhalten – insbesondere bei
gewerblichen Anzeigen mit sensiblen Daten. Die Hamburger Behörde
überträgt diese Grundsätze auch auf Social-Media-Anbieter wie
Facebook, Instagram und YouTube. Holger und Joerg kritisieren das
Urteil erneut scharf: Es könne faktisch zu einer Klarnamenpflicht
und zu Uploadfiltern über die Datenschutz-Hintertür führen. Holger
betont, dass es außerdem das wichtige Haftungsprivileg für
Plattformbetreiber aushöhlen und deshalb Chilling-Effekte sowie
Overblocking befördern könnte. Damit könnte ausgerechnet das
Datenschutzrecht die mühsam austarierten Regelungen des Digital
Services Act aushebeln.