Zwei am Mittwoch (4. Januar) veröffentlichte Entscheidungen sind ein schwerer Rückschlag für die zu Meta gehörenden sozialen Medien Instagram und Facebook. Denn sie sind nicht nur mit hohen Geldstrafen verbunden, sondern gefährden das gesamte Geschäftsmodell des Unternehmens.
Die beiden von der irischen Datenschutzbehörde (DPC) veröffentlichten Entscheidungen stehen im Zusammenhang mit Verstößen gegen die Datenschutz-Grundverordnung (DSGVO) und die Verarbeitung personenbezogener Daten. Insgesamt wurden Strafen gegen Facebook und Instagram in der Höhe von 210 und 180 Millionen Euro verhängt.
Die Entscheidungen betreffen die Rechtsgrundlage für die Verarbeitung personenbezogener Daten zum Zwecke der personalisierten Werbung, die das Kernstück des Geschäftsmodells des Unternehmens darstellt. Die derzeitige Praxis der Einwilligung zur Verarbeitung von personenbezogenen Daten wurde für unvereinbar mit dem EU-Recht befunden, und Meta hat nun drei Monate Zeit, eine neue Rechtsgrundlage für die Verarbeitung zu finden.
Die beiden Beschwerden gehen bereits auf den 25. Mai 2018 zurück, den Tag, an dem das EU-Datenschutzregelwerk in Kraft trat. Vor diesem Datum hatten die beiden sozialen Netzwerke ihre Nutzungsbedingungen geändert und bestehende und neue Nutzer:innen aufgefordert, die Verarbeitung ihrer personenbezogenen Daten zu akzeptieren, um ihre Dienste nutzen zu können.
Vertragsmodell
Die derzeitige Rechtsgrundlage für die Aktivitäten Metas ist das sogenannte „Vertragsmodell.“ Nach diesem Ansatz schließen die Nutzer:innen durch Annahme der Nutzungsbedingungen einen Vertrag mit der Plattform ab und erklären sich dadurch dazu bereit, im Gegenzug für die Nutzung der Dienste ihre personenbezogenen Daten zur Verwendung durch Meta freizugeben.
Dieser Ansatz geriet jedoch unter Beschuss von NOYB, einer von dem österreichischen Aktivisten Max Schrems geleiteten Nichtregierungsorganisation, die diesen Ansatz als „Umgehung“ der DSGVO bezeichnete.
„Anstatt eine Ja/Nein-Option für personalisierte Werbung zu haben, haben sie die Einwilligungsklausel einfach in die Allgemeinen Geschäftsbedingungen verschoben. Das ist nicht nur unfair, sondern eindeutig illegal. Uns ist kein anderes Unternehmen bekannt, das versucht hat, die Datenschutz-Grundverordnung auf so arrogante Art und Weise zu ignorieren“, so Schrems in einer Erklärung.
Hitzige Diskussionen
Die irische Datenschutzbehörde hatte bereits in einer vorläufigen Entscheidung festgestellt, dass Meta die Transparenzanforderungen der DSGVO nicht erfüllt habe.
Im wichtigsten Teil der Beschwerde stellte sich die irische Behörde jedoch zunächst auf die Seite von Meta und vertrat die Auffassung, dass das Argument der „erzwungenen Einwilligung“ nicht stichhaltig sei und dass der Vertrag als Rechtsgrundlage für die Verarbeitung der Daten eine gangbare Alternative zur Einwilligung darstelle.
Laut internen Dokumenten, die von NOYB veröffentlicht wurden, wurde genau dieses Vertragsmodell sogar durch die irische Datenschutzbehörde angestoßen und war das Ergebnis eines Dialogs zwischen der Behörde und Meta. Dass Regulierungsbehörden mit Unternehmen über die korrekte Anwendung von Gesetzen beraten, ist im angelsächsischen Rechtssystem relativ üblich.
Endgültige Entscheidung
Der Entscheidungsentwurf der Datenschutzbehörde wurde von zehn europäischen Datenschutzbehörden angefochten, die bestritten, dass personalisierte Werbung auf der Rechtsgrundlage eines Vertrages zulässig sein könnte, da sie nicht als Kernelement für die Bereitstellung der personalisierten Dienste der Plattformen angesehen wurde.
Da kein Konsens erzielt werden konnte, wurde der Fall an den Streitbeilegungsmechanismus des Europäischen Datenschutzausschusses verwiesen, einem Gremium, in dem alle EU-Datenschutzbehörden vertreten sind und das am 5. Dezember 2022 eine verbindliche endgültige Entscheidung traf.
Das Gremium bestätigte weitgehend den Standpunkt des Datenschutzausschusses in Bezug auf Transparenzverstöße, änderte jedoch seinen Standpunkt in der Frage der Rechtsgrundlage und stellte fest, dass die Rechtsgrundlage „Vertrag“ keine rechtmäßige Grundlage für die Verarbeitung personenbezogener Daten zum Zweck der verhaltensbezogenen Werbung sei.
Da das Gremium bei seiner Auslegung neue Verstöße feststellte, erhöhte es auch die ursprünglich vorgeschlagenen Bußgelder: 36 Millionen Euro für Facebook und 23 Millionen Euro für Instagram.
Meta hat bis zum Zeitpunkt der Veröffentlichung nicht auf eine Anfrage von EURACTIV nach einer Stellungnahme reagiert. Das Unternehmen könnte gegen die Entscheidung vor einem nationalen irischen Gericht Berufung einlegen.
Auch WhatsApp in der Bredouille
Zusammen mit Facebook und Instagram nahm NOYB auch den Meta-eigenen Messaging-Dienst WhatsApp ins Visier. Obwohl die Entscheidung des Europäischen Datenschutzausschusses zu WhatsApp zusammen mit den beiden anderen im Dezember getroffen wurde, wurde sie der irischen Behörde erst eine Woche später übermittelt.
Da die führende Behörde einen Monat Zeit hat, um ihre Entscheidung abzuschließen, wird erwartet, dass die Untersuchung von WhatsApp nächste Woche mit einem ähnlichen Ergebnis abgeschlossen wird.
Darüber hinaus forderte die Behörde den Datenschutzbeauftragten auf, eine neue Untersuchung der Datenverarbeitungspraktiken von Facebook und Instagram durchzuführen, insbesondere in Bezug auf besondere Kategorien personenbezogener Daten.
Die irische Behörde ist jedoch der Ansicht, dass dieser letzte Teil des Beschlusses eine Überschreitung darstellt, da das Gremium nicht die Befugnis hat, die Arbeit einer unabhängigen Behörde anzuweisen und zu leiten. Daher will die DPC gegen diesen Teil der Entscheidung eine Nichtigkeitsklage beim Europäischen Gerichtshof einreichen.
[Edited by Nathalie Weatherald]