Facebook operiert in Europa seit 2008 als Facebook Ireland Limited und untersteht damit sowohl dem EU- als auch dem irischen Recht. Facebook-Nutzer aus Europa und alle anderen Ländern außer Kanada und den USA haben einen Vertrag mit dieser Tochterfirma von Facebook und nicht direkt mit Facebook Incorporated.
Bislang galt also Irland und seine Data Protection Commission (DPC) als zuständig für Facebook. Ihre Aufgabe ist es, die Einhaltung geltender Datenschutzregelungen in Irland zu überprüfen und ggf. Sanktionen einzuleiten .Die DPC hat daher alle Klagen bei Verstößen gegen die DSGVO entgegengenommen und überprüft. Auch zum Beispiel bei der damals viel beachteten europe-v-facebook.org-Klage, die von dem österreichischen Datenschützer, Max Schrems 2011 initiiert wurde.
Jetzt hat der Europäische Gerichtshof erstmals angedeutet, dass diese Alleinzuständigkeit aufgehoben wird. Es handelt sich dabei wohl noch nicht um ein rechtlich gültiges Urteil. Der Gerichtshof bestätigte zunächst einmal, dass die Hauptzuständigkeit nach wie vor bei der DPC liegt. Daneben könnten aber die jeweils zuständigen Behörden der Länder ebenfalls in Fällen verantwortlich sein, die die DSGVO zulässt. Das ist eine deutliche Abweichung von der bisherigen rechtlichen Handhabung.
Sollte der Gerichtshof diese Aussage rechtskräftig bestätigen, könnten also auch die jeweils zuständigen Behörden in den Mitgliedsstaaten der EU Datenschutzverstöße ihrerseits überprüfen und womöglich zu deutlich härteren Urteilen kommen als die DPC bisher. In Deutschland wären das die Datenschutzbehörden der Länder.
Eine oft angemerkte Kritik an der DPC lautet, dass sie schlicht zu klein für ihre Verantwortung ist. Bei einem kritischen Meinungsartikel aus dem Sommer 2020 merkte der irische Independent an, dass 160 Mitarbeiter und ein Budget von 17 Millionen Euro nicht genug für die Behörde seien.
