A bajor adatvédelmi hatóság (BayLDA) úgy ítélte meg, hogy a Mailchimp hírlevélküldő alkalmazás németországi használata jogellenes volt, mivel a Mailchimp az Egyesült Államok felügyeleti törvényei szerint „elektronikus hírközlési szolgáltatónak” minősülhet, és az EU-s adatkezelő nem vizsgálta, nem minősítette ezt a kockázatot.
Egy sértett, panaszt nyújtott be a bajor DPA-hoz (BayLDA) a Mailchimp hírlevél eszköznek a német alperes vállalat általi használatával kapcsolatban. Azt állította, hogy a kiküldött hírlevelek előfizetőinek e-mail címének átadása a Mailchimp szolgáltatójának (The Rocket Science Group LLC, amerikai székhelyű társaság) jogellenes volt a GDPR V. fejezete („A személyes adatok harmadik országokba vagy nemzetközi szervezetek részére történő továbbítása”) alapján.
Az alperes azzal érvelt, hogy a MailChimp használata csak alkalmi jellegű volt, és abbahagyta a használatát.
A BayLDA úgy ítélte meg, hogy a Mailchimp alperes általi használata és így az e-mail címek átadása a Mailchimp szolgáltatójának jogellenes volt:
- Az adatátvitel az EU szabványos adatvédelmi záradékain alapult (általános szerződési feltételek – SCC).
- A BayLDA szerint voltak arra utaló jelek, hogy a Mailchimp szolgáltatója „elektronikus kommunikációs szolgáltatónak” minősül az amerikai felügyeleti törvény szerint (FISA702 (50 U.S.C. 1881. §)). Ezért az átküldött e-mail címeket veszélyeztetheti az amerikai hírszerző szolgálatok hozzáférése.
- Az EUB „Schrems II” (C-311/18) határozatának fényében az alperes nem vizsgálta, hogy léteznek-e további intézkedések annak biztosítására, hogy az átadott adatok védve legyenek az Egyesült Államokban a hozzáférés ellen.
Mivel az alperes kijelentette, hogy tartózkodik a Mailchimp azonnali hatállyal történő felhasználásától, a BayLDA nem szabott ki bírságot vagy hivatalos nyilatkozati döntést.
Azaz: a BayLDA jelenleg nem arról döntött, hogy a Mailchimp használata tilos. A döntés inkább csak azt a konkrét tényt érinti, hogy egy vállalat az érdekmérlegelés végzése nélkül használta a Mailchimpet.
Az adatvédelmi hatóságok véleménye szerint az EB ítélete után is kivételes esetekben lehetséges a személyes adatok Egyesült Államokban történő továbbítása. És ezáltal a Mailchimp használata is.
Legalábbis elméletileg: Ilyenkor az érintett érdekeket gondosan mérlegelik, és végül az érintettek (magánszemélyek) számára megfelelő szintű adatvédelmet kell megvalósítani.