Wichtiger Sieg für Unternehmen beim US-Datentransfer?

Ist der Datentransfer in die USA für international agierende Online-Dienste per se rechtmäßig? Und darf ein Unternehmen die Auskunft über Datenweitergaben an US-Geheimdienste verweigern? Das Landgericht (LG) Bonn hat in einem Urteil, das weitreichende Konsequenzen für die gesamte Digitalbranche haben könnte, beide Fragen mit “Ja” beantwortet. Die Entscheidung (Az.: 13 O 156/24) liefert Unternehmen starke Argumente zur Verteidigung gegen die Klagewelle im Zusammenhang mit US-Datentransfers.

Der Fall: Nutzer klagt gegen Datenspeicherung in den USA

Ein Nutzer eines internationalen sozialen Netzwerks klagte gegen die Betreiberin, da seine Daten auf Servern in den USA gespeichert wurden. Er forderte die Unterlassung der Übertragung und eine umfassende Auskunft, insbesondere darüber, ob und welche Daten an US-Geheimdienste weitergegeben wurden. Das Unternehmen argumentierte, der Transfer sei für den Betrieb eines globalen Netzwerks technisch notwendig und US-Recht verbiete die Auskunft über Geheimdienstzugriffe.

Die Entscheidung des LG Bonn: ein Sieg auf ganzer Linie für das Unternehmen

Das Gericht wies die Klage vollständig ab und begründete dies mit einer für Unternehmen sehr vorteilhaften Auslegung der DSGVO:

1. US-Datentransfer zur Vertragserfüllung notwendig
   Das Gericht stufte die Datenübertragung in die USA als rechtmäßig ein, da sie für die Erfüllung des Nutzungsvertrages erforderlich sei (Art. 49 DSGVO). Die Argumentation ist bemerkenswert pragmatisch.
   Globale Funktionsweise: Ein weltweit genutztes soziales Netzwerk muss technisch so aufgebaut sein, dass Nutzer aus verschiedenen Ländern (z.B. den USA) auf Profile zugreifen können. Dies mache eine internationale Speicherung und kurzfristige Zwischenspeicherung von Daten unvermeidlich.
   Allgemeinwissen des Nutzers: Wer sich bei einem großen, von einem US-Unternehmen betriebenen Netzwerk anmeldet, müsse realistischerweise mit einer Datenverarbeitung in den USA rechnen. Das Gericht sprach hier von einer mindestens stillschweigenden Einwilligung.
   Gültigkeit auch vor dem Angemessenheitsbeschluss: Diese Rechtfertigung über Art. 49 DSGVO (Erforderlichkeit zur Vertragserfüllung) gelte auch für den Zeitraum vor dem Inkrafttreten des neuen EU-U.S. Data Privacy Frameworks am 10. Juli 2023.
2. Auskunftsverweigerung wegen “unauflösbarer Pflichtenkollision” gerechtfertigt
   Auch die Weigerung, Auskunft über Zugriffe von US-Geheimdiensten zu erteilen, war laut Gericht rechtmäßig.
   Widersprüchliche Gesetze: Das Unternehmen stecke in einer Zwickmühle. Die DSGVO verlangt Auskunft, während US-Gesetze (wie Section 702 FISA) genau diese Auskunft unter Strafe stellen.
   Übergesetzlicher Notstand: Das Gericht griff auf den Rechtsgrundsatz des “übergesetzlichen Notstands” zurück. Wenn ein Unternehmen nicht gleichzeitig zwei sich widersprechende gesetzliche Pflichten erfüllen kann, handelt es nicht rechtswidrig, wenn es sich für die Einhaltung einer der beiden entscheidet.
   Kenntnis des Nutzers: Auch hier argumentierte das Gericht mit dem Allgemeinwissen. Spätestens seit den Snowden-Enthüllungen sei bekannt, dass US-Geheimdienste weitreichende Zugriffsrechte haben. Ein Nutzer eines US-Dienstes müsse davon ausgehen, dass sich das Unternehmen an US-Recht halten muss.

Was das Urteil für Ihr Unternehmen bedeutet

• Stärkung der Rechtfertigung über “Vertragserfüllung”: Die Argumentation, dass der Betrieb eines internationalen Dienstes einen Datentransfer in die USA technisch “erforderlich” macht, ist ein extrem starkes neues Verteidigungsargument für alle global agierenden SaaS-Anbieter, Cloud-Dienste und Online-Plattformen.
• Ein neuer Ausweg bei Auskunftsanfragen zu Geheimdienstzugriffen: Die “Pflichtenkollision” bietet US-Tochtergesellschaften eine rechtliche Handhabe, heikle Auskunftsanfragen zu verweigern. Dies ist ein Novum in der deutschen Rechtsprechung.
• Die Bedeutung des “informierten Nutzers”: Das Gericht legt einen hohen Maßstab an das an, was Nutzer wissen müssen. Das Argument des “Allgemeinwissens” über die Funktionsweise von US-Unternehmen schwächt die Position von Klägern erheblich.
• Vorsicht ist geboten: Es handelt sich um ein erstinstanzliches Urteil. Höhere Instanzen könnten diese sehr unternehmensfreundliche Auslegung wieder einkassieren. Es ist kein genereller Freibrief, die DSGVO zu ignorieren.

FAQ zum Thema US-Datentransfer und Auskunftspflichten

• Was ist der Unterschied zwischen Art. 49 DSGVO und einem Angemessenheitsbeschluss?
  Ein Angemessenheitsbeschluss (wie das EU-U.S. Data Privacy Framework) stellt fest, dass ein Drittland ein angemessenes Datenschutzniveau bietet, und erlaubt so generelle Datentransfers. Art. 49 DSGVO regelt Ausnahmen für spezifische Fälle, z.B. wenn der Transfer zur Erfüllung eines Vertrags mit der betroffenen Person erforderlich ist.
• Kann ich mich jetzt immer auf die “Erforderlichkeit zur Vertragserfüllung” berufen?
  Das ist riskant. Dieses Urteil ist eine Einzelfallentscheidung. Sie müssen immer noch nachweisen, warum der Transfer für die Erbringung Ihrer spezifischen Dienstleistung technisch unvermeidbar ist.
• Gilt der “übergesetzliche Notstand” für jedes Unternehmen?
  Nein. Er gilt nur in der sehr spezifischen Konstellation, in der ein Unternehmen nachweislich zwei sich direkt widersprechenden gesetzlichen Pflichten aus unterschiedlichen Rechtsordnungen unterliegt.
• Was sollte ich tun wenn ein Kunde nach Datenweitergaben an Behörden fragt?
  Dies ist eine extrem heikle Frage. Eine pauschale Verweigerung ist ohne eine solche Pflichtenkollision nicht möglich. Die Antwort muss sorgfältig juristisch geprüft werden.
• Wo erhalte ich Beratung zur rechtssicheren Gestaltung meiner internationalen Datentransfers?
  Internationale Datentransfers sind ein juristisches Minenfeld. Unsere Experten von sofortdatenschutz.de analysieren Ihre Datenflüsse und helfen Ihnen, eine rechtskonforme Strategie zu entwickeln. Kontaktieren Sie uns jetzt!

Ein wegweisendes Urteil oder nur ein Ausreißer?

Das Urteil des LG Bonn ist eine der unternehmensfreundlichsten Entscheidungen im Kontext des transatlantischen Datentransfers seit Jahren. Es bricht mit der oft sehr strengen Auslegung der DSGVO und führt pragmatische, auf das Allgemeinwissen der Nutzer abstellende Argumente ein. Ob diese mutige Positionierung vor den Oberlandesgerichten oder dem BGH Bestand haben wird, bleibt abzuwarten. Für den Moment ist es jedoch ein starkes Signal und eine wichtige argumentatorische Stütze für alle Unternehmen, die sich mit der Klagewelle nach “Schrems II” konfrontiert sehen.