Der Versand eines Werbe-Newsletters mit Mailchimp verstößt gegen die DSGVO-Vorschriften für Datentransfers in Drittländer, wenn zum Zeitpunkt der Übermittlung kein gültiger Angemessenheitsbeschluss für die USA besteht und ergänzende Schutzmaßnahmen einen behördlichen Zugriff nach US-Recht nicht wirksam ausschließen können (BVwG, Urt. v. 11.09.2026 - Az. W256 2280818-2/14E). Dies war im Jahr 2022 nicht der Fall, sodass der Einsatz zum damaligen Zeitpunkt datenschutzwidrig war.
Eine Fotografin versandte einen Werbe-Newsletter an einen Unternehmer und nutzte dafür den US-Dienst Mailchimp. Dabei wurden Name, Firmenname und E-Mail-Adresse des Empfängers an Mailchimp übermittelt. Eine Einwilligung des Empfängers in die Datenübermittlung in die USA lag nicht vor. Dieser beschwerte sich.
Das BVwG gab der Datenschutzbeschwerde statt und stellte einen Verstoß gegen die Vorschriften für Datentransfers in Drittländer gemäß Art. 44 ff. DSGVO fest.Zum maßgeblichen Zeitpunkt sei der Einsatz von Mailchimp unzulässig gewesen, da kein gültiger Angemessenheitsbeschluss der EU-Kommission für die USA bestanden habe.
Die seinerzeit verwendeten Standardvertragsklauseln aus dem Jahr 2010 seien nicht geeignet gewesen, das unionsrechtlich gebotene Schutzniveau zu gewährleisten, da sie US-Behörden nicht binden würden. Ergänzende vertragliche, technische und organisatorische Maßnahmen hätten die Zugriffsmöglichkeiten nach US-Recht nicht wirksam ausräumen können.
Mailchimp könne als US-amerikanischer Anbieter zur Auskunft gegenüber Behörden auf Grundlage des Foreign Intelligence Surveillance Act oder der Executive Order 12333 verpflichtet sein, was dem unionsrechtlichen Schutzniveau widerspreche. Transparenzberichte, Auditrechte, Mitarbeiterschulungen und Verschlüsselung verhinderten einen solchen behördlichen Zugriff nach US-Recht nicht.
Auch die Tatsache, dass lediglich öffentlich zugängliche Geschäftsdaten übermittelt worden seien, nichts an der rechtlichen Beurteilung, da die DSGVO nicht nach der Sensibilität der Daten differenziere.
Einschlägige Ausnahmetatbestände für Einzelübermittlungen nach Art. 49 DSGVO seien nicht ersichtlich. Das später in Kraft getretene EU-US Data Privacy Framework aus dem Jahr 2023 entfalte für den im Jahr 2022 erfolgten Transfer keine Rückwirkung:
"Im Ergebnis ist daher davon auszugehen, dass die Beschwerdegegnerin als Verantwortliche durch die im Rahmen ihres Unternehmens an den Beschwerdeführer als Direktmarketing erfolgte Versendung eines Newsletters unter Verwendung des US-Mailanbieters Mailchimp gegen die Grundsätze der Art 44 ff DSGVO verstoßen hat, indem sie nicht gewährleistete, dass US-amerikanische Behörden und/oder Geheimdienste keinen der DSGVO widersprechenden Zugriff auf die personenbezogenen Daten des Beschwerdeführers erhalten können."
Hinweis von RA Dr. Bahr:
Um noch einmal deutlich darauf hinzuweisen: Die Entscheidung bezieht sich auf einen älteren Zeitraum, in dem das derzeitige EU-US Data Privacy Framework noch nicht galt.
Aktuell ist davon auszugehen, dass das EU-US Data Privacy Framework (vermutlich noch) eine ausreichende Grundlage für einen US-Datentransfer bildet. Es mehren sich jedoch die kritischen Stimmen, die dessen Wirksamkeit in Zweifel ziehen. Das Urteil des US Supreme Courts im Fall Trump v. Slaughter vom 29. Juni 2026 hat die Unabhängigkeit der US-Wettbewerbsbehörde FTC für verfassungswidrig erklärt und damit das Fundament des EU-US Data Privacy Frameworks grundlegend erschüttert.
Zudem hat Max Schrems eine weitere Klage vor dem EuGH wegen des Datentransfers angekündigt. Schrems hatte bereits in der Vergangenheit zweimal den Transfer zu Fall gebracht.