In drei verbindlichen Entscheidungen zu Meta Platforms Ireland Limited (Meta IE) hat der Europäische Datenschutzausschuss (EDSA) unter anderem die Frage beantwortet, ob die Verarbeitung personenbezogener Daten zur Vertragserfüllung eine geeignete Rechtsgrundlage für verhaltensbasierte Werbung (Facebook und Instagram) und zur Serviceverbesserung ist (WhatsApp). Die Antwort lautet: Nein.
Damit ist das gesamte Geschäftsmodell von Meta in der EU mehr oder weniger rechtswidrig. Denn Meta hat die personalisierte Werbung seiner Nutzer stets auf den mit diesen im Rahmen der Anmeldung/Registrierung für die Plattform(en) geschlossenen Nutzungsvertrag als Rechtsgrundlage gestützt.
Der EDSA hat drei Streitbeilegungsbeschlüsse auf der Grundlage von Artikel 65 DSGVO betreffend Meta Platforms Ireland Limited (Meta IE) angenommen. Die verbindlichen Entscheidungen betreffen wichtige rechtliche Fragen, die sich aus den Entscheidungsentwürfen der irische Datenschutzbehörde (DPC) als federführende Aufsichtsbehörde in Bezug auf die Meta IE-Plattformen Facebook, Instagram und WhatsApp ergeben. Mehrere Aufsichtsbehörden hatten Einwände gegen die von der irischen Aufsichtsbehörde ausgearbeiteten Entscheidungsentwürfe erhoben, die u. a. die Rechtsgrundlage für die Verarbeitung (Art. 6 DSGVO), die Datenschutzgrundsätze (Art. 5 DSGVO) und die Anwendung von Korrekturmaßnahmen einschließlich Geldbußen betreffen.
Der EDSA ist der Auffassung, dass Meta die Nutzer nicht zwingen kann, personalisierten Anzeigen zuzustimmen. Mit dieser Entscheidung wird die irische Datenschutzbehörde DPC aufgefordert, innerhalb eines Monats eine endgültige Entscheidung gegen Meta zu erlassen.
Der EDSA hat damit einen früheren Entscheidungsentwurf des irischen DPC aufgehoben, der die Auffassung vertrat, dass Metas Umgehung der DSGVO legal sei. Der EDSA verlange, dass Meta keine personenbezogenen Daten für Anzeigen verwenden darf, die auf einem angeblichen Vertrag basieren. Benutzer müssen daher eine „Ja/Nein-Einwilligungsoption“ haben. Zudem fordere der EDSA auch eine erhebliche Geldbuße, die genaue Höhe ist noch nicht bekannt.
Dadurch auch Auswirkungen für viele andere Geschäftsmodelle
Unmittelbar betrifft Sie diese Entscheidung vielleicht nicht. Aber sie zeigt deutlich, wo die Grenzen der Rechtsgrundlage „Vertragserfüllung“ liegen. Denn geht es um digitale Werbung und Online-Marketing, so ist nunmehr klar, dass solche Maßnahmen nicht aufgrund eines mit den Personen geschlossenen Vertrags zulässig sind. Es bedarf jeweils einer Einwilligung der Personen. Das bedeutet, dass auch die Möglichkeit einer Ablehnung der Einwilligung bestehen muss.
Gleiches soll laut dem EDSA auch gelten, wenn Zweck der Datenverarbeitung die bloße Serviceverbesserung sein soll. Diesen Zweck geben aber viele Software- und IT-Unternehmen an, weil sie ihre Produkte mittels Tracking und Beobachtung des Nutzerverhaltens „optimieren“ wollen. Das dürfte nunmehr so nicht mehr zulässig sein, sondern bedarf ebenfalls der konkreten Einwilligung.
Ob darunter auch zu verstehen ist, dass über den Nutzungsvertrag die Datenverarbeitung zum Zwecke des Supports auch Einwilligungsbedürftig ist, bleibt abzuwarten.
Was müssen Sie jetzt tun?
Wenn Sie solche Zwecke für die Verarbeitung von Nutzerdaten angeben, dann melden Sie sich bei uns. Wir müssen prüfen, inwieweit wir die Rechtsgrundlage anpassen und den Nutzern ggf. eine Einwilligung einholen müssen bzw., ob es Alternativen für Sie zur weiteren Datenverarbeitung zu diesen Zwecken gibt.
Rufen Sie uns an oder schreiben Sie eine E-Mail und informieren Sie sich, was wir alles für Sie tun können:
Telefon: 0721 / 120 500
E-Mail: info@schutt-waetke.de
Timo Schutt
Rechtsanwalt
Fachanwalt für IT-Recht
Urheberangabe für das Foto für diesen Beitrag:
- judge-4199434_1920: (c) mohamed Hassan / pixabay.com