Wenn Datenschutz an der Grenze endet

Zur fehlenden Durchsetzung deutscher Datenschutzinteressen gegenüber Unternehmen in der Schweiz

Der europäische Datenschutzanspruch ist hoch. Mit der Datenschutz-Grundverordnung hat die Europäische Union ein Regelwerk geschaffen, das bewusst über nationale Grenzen hinauswirkt.

Nach Art. 3 Abs. 2 DSGVO gilt die Verordnung auch für Unternehmen ohne Niederlassung in der EU, wenn sie Personen in der Union Waren oder Dienstleistungen anbieten oder deren Verhalten beobachten. Sie müssen dann grundsätzlich nach Art. 27 DSGVO einen Vertreter in der Union benennen. Auf dem Papier ist dieser Anspruch eindeutig. In der Praxis zeigt sich jedoch ein erhebliches Durchsetzungsdefizit, insbesondere im Verhältnis zur Schweiz.

Gerade in Beschwerdeverfahren gegen schweizerische Unternehmen wird deutlich, wie schnell der europäische Datenschutz an praktische Grenzen stößt. Deutsche Aufsichtsbehörden erkennen nach meiner Erfahrung zwar regelmäßig an, dass die DSGVO dem Grunde nach anwendbar ist. Gleichzeitig erklären sie aber, dass effektive Vollzugsmöglichkeiten fehlen, sobald der Verantwortliche weder Vermögenswerte noch eine operative Präsenz in der EU hat.

Das Ergebnis ist paradox: Die Rechtsverletzung wird nicht ernsthaft bestritten, die Konsequenzen bleiben jedoch aus.

Besonders problematisch ist dabei der Umgang mit dem Instrument des EU-Vertreters.

Die DSGVO hat diese Figur nicht zufällig eingeführt.

Der EU-Vertreter soll gerade in Drittstaatenkonstellationen ein verlässlicher Anknüpfungspunkt für Aufsichtsbehörden und betroffene Personen sein.

Er soll Kommunikation ermöglichen, Verfahren strukturieren und sicherstellen, dass Verantwortliche außerhalb der EU nicht schlicht „unerreichbar“ sind. In der behördlichen Praxis wird dieses Instrument jedoch häufig als faktisch wirkungslos behandelt. Bleibt der EU-Vertreter untätig oder reagiert nicht, wird dies nicht als eigener aufsichtsrechtlich relevanter Umstand gewertet, sondern als weiteres Argument dafür genutzt, das Verfahren einzustellen.

Damit verschiebt sich der Fokus vom rechtlich Gebotenen zum praktisch Bequemen.

Der Europäische Datenschutzausschuss sieht das anders. Nach seinen Leitlinien 3/2018 zum räumlichen Anwendungsbereich (Version 2.0 vom 12. November 2019) wurde der Vertreter gerade eingeführt, um die wirksame Durchsetzung der DSGVO gegenüber Verantwortlichen nach Art. 3 Abs. 2 zu ermöglichen. Aufsichtsbehörden sollen Verfahren über den Vertreter einleiten und ihm Abhilfemaßnahmen und Geldbußen, die gegen den Verantwortlichen verhängt werden, zustellen können. Direkt haften muss der Vertreter nach Auffassung des Ausschusses allerdings nur für seine eigenen Pflichten, etwa das Verzeichnis der Verarbeitungstätigkeiten und die Auskunft gegenüber der Aufsicht. Ein untätiger Vertreter wäre danach ein Anlass, über ihn vorzugehen, nicht, das Verfahren einzustellen.

Statt die vorhandenen Befugnisse konsequent auszuschöpfen, etwa durch förmliche Maßnahmen, dokumentierte Abhilfeschritte oder koordinierte Verfahren mit den Aufsichtsbehörden im Sitzstaat des EU-Vertreters, wird der Fall als strukturell aussichtslos eingestuft. Der Verweis auf fehlende Vollstreckungsmöglichkeiten ersetzt dann die inhaltliche Auseinandersetzung mit dem Datenschutzverstoß selbst. Für Betroffene entsteht der Eindruck, dass Nichtkooperation belohnt wird und Schweigen eine wirksame Strategie zur Vermeidung von Konsequenzen ist.

Hinzu kommt eine problematische Verlagerung der Verantwortung.

Deutsche Behörden verweisen in solchen Fällen häufig auf die schweizerische Datenschutzaufsicht. Diese prüft jedoch ausschließlich die Einhaltung des schweizerischen Datenschutzrechts, nicht die DSGVO. Der Betroffene wird damit faktisch zwischen zwei Rechtsordnungen hin und her geschoben, ohne dass sich eine Stelle tatsächlich für die Durchsetzung des unionsrechtlichen Anspruchs zuständig fühlt. Der europäische Datenschutzanspruch verkommt so zu einer theoretischen Größe, die im grenzüberschreitenden Alltag kaum Wirkung entfaltet.

Besonders deutlich wird dieses Defizit bei der Unterscheidung zwischen behördlicher und privatrechtlicher Durchsetzung.

Zivilrechtliche Ansprüche gegen schweizerische Unternehmen, etwa auf Schadenersatz nach Art. 82 DSGVO, können Betroffene nach Art. 79 Abs. 2 Satz 2 DSGVO auch vor den Gerichten ihres Aufenthaltsstaats geltend machen; Urteile sind im Verhältnis zur Schweiz grundsätzlich nach dem Lugano-Übereinkommen von 2007 anerkennungs- und vollstreckungsfähig. Aufsichtsbehörden dagegen erklären die eigene Handlungsfähigkeit für weitgehend erschöpft. Datenschutz wird damit stillschweigend privatisiert: Wer sein Recht durchsetzen will, soll klagen, während die staatliche Aufsicht sich auf formale Verfahrensabschlüsse beschränkt.

Das steht im Spannungsverhältnis zum Selbstverständnis der DSGVO als öffentlich-rechtliches Schutzinstrument mit klaren Aufsichts- und Sanktionsmechanismen.

In der Gesamtbetrachtung zeigt sich ein strukturelles Problem.

Deutsche Datenschutzinteressen werden gegenüber schweizerischen Unternehmen nicht deshalb unzureichend durchgesetzt, weil es keine rechtlichen Grundlagen gäbe, sondern weil der Vollzug als zu aufwendig, zu konfliktträchtig oder zu wenig erfolgversprechend eingeschätzt wird. Diese Haltung schwächt nicht nur den Schutz der Betroffenen, sondern untergräbt auch die Glaubwürdigkeit des europäischen Datenschutzsystems insgesamt. Ein Recht, das bei grenzüberschreitenden Konstellationen faktisch nicht durchgesetzt wird, verliert seine präventive Wirkung.

Datenschutz endet nicht an der Grenze, zumindest nicht nach dem Anspruch der DSGVO. In der Praxis tut er es aber oft. Solange Aufsichtsbehörden strukturelle Vollzugsschwächen offen einräumen, ohne diese systematisch zu adressieren, bleibt der europäische Datenschutz gegenüber Drittstaaten wie der Schweiz lückenhaft.

Für Unternehmen außerhalb der EU mag das wie Entwarnung wirken, zu Unrecht, denn zivilrechtliche Ansprüche bleiben durchsetzbar. Für Betroffene ist es ein Signal der Ohnmacht, solange sie ihr Recht selbst einklagen müssen.

Und genau darin liegt das eigentliche Problem.

Dr. Stefan Spörrer