Keine Nutzung von Mailchimp ohne zusätzliche Prüfung

Das Bayerische Landesamt für Datenschutz stellte fest, dass der Einsatz des Newsletter-Tools Mailchimp ohne vorherige Überprüfung, ob weitere zusätzliche Maßnahmen für den Datentransfer im Sinne der EuGH-Entscheidung "Schrems II" notwendig sind, unzulässig sei.

Verstößt die Nutzung von Mailchimp gegen die DSGVO?
Der Empfänger eines Newsletters beschwerte sich beim Bayerische Landesamt für Datenschutz (BayLDA). Er bezog diesen Newsletter von einem Unternehmen, das für dessen Versendung „Mailchimp“ einsetzte. Die datenschutzrechtliche Beschwerde richtete sich dagegen, dass seine E-Mail-Adresse an Mailchimp als US-amerikanisches Unternehmen übermittelt wurde. Zudem forderte der Betroffene die Verhängung einer Geldbuße gegen das Unternehmen.

Übermittlung der E-Mailadresse unzulässig
Das BayLDA entschied, dass die Übermittlung der E-Mailadresse an Mailchimp unzulässig gewesen sei. Zwar sei die Übermittlung unter Einsatz der EU-Standarddatenschutzklauseln erfolgt, um diese datenschutzkonform zu gestalten. Allerdings sei nicht geprüft worden, ob für die Übermittlung noch "zusätzliche Maßnahmen" im Sinne der EuGH-Entscheidung "Schrems II" notwendig gewesen seien. Es lägen zumindest Anhaltspunkte dafür vor, dass Mailchimp dem grundsätzlichen Datenzugriff von US-Nachrichtendiensten auf Grundlage einer US-Rechtsvorschrift unterfallen könne. Aufgrund dessen sei die Übermittlung nur unter Ergreifung zusätzlicher Maßnahmen zulässig.

Geldbuße nicht erforderlich
Weite aufsichtsbehördliche Maßnahmen hielt das BayLDA im konkret vorliegenden Fall nicht für erforderlich. Denn dem Unternehmen, welches die Newsletter versendet, sei die Unzulässigkeit der Datenübermittlung deutlich gemacht worden. Eine zusätzliche Geldbuße sei nicht erforderlich. Denn eine Geldbuße diene nicht der Wahrung der Rechte und Freiheiten einer betroffenen Person. Vielmehr diene sie dem öffentlichen Interesse an der Durchsetzung der Rechtsordnung. Daher stehe einer betroffenen Person kein subjektives Recht gegen die Datenschutzaufsichtsbehörden zu, über die Verhängung einer Geldbuße zu entscheiden.

Selbst bei Anerkennung eines solchen subjektiven Rechts sei vorliegend kein Anspruch auf die Verhängung einer Geldbuße gegeben, so das Landesamt weiter. Denn vorliegend sei lediglich in einigen wenigen Fällen Daten übermittelt worden. Außerdem seien Daten betroffen, deren Sensibilität überschaubar sei. Zudem sei zu berücksichtigen, dass sich der Europäische Datenschutzausschuss noch in öffentlicher Konsultation befinde. Es liege noch keine Endfassung der sog. Supplementary Measures für Übermittlungen personenbezogener Daten in Drittländer vor. Somit sei der vorliegende Verstoß noch als geringfügig einzustufen und nur ein leichtes Maß an Fahrlässigkeit zu bejahen.

Bayerische Landesamt für Datenschutz, Entscheidung vom 15.03.2021, Az. LDA-1085.1-12159/20-IDV