Nach EU-DSGVO-Start: Klage gegen Facebook, Google, Instagram und WhatsApp
Kaum ist die europäische Datenschutz-Grundverordnung (EU-DSGVO) am Freitag in Kraft getreten, hat die Datenschutzgruppe Noyb des österreichischen Juristen Max Schrems die ersten Anzeigen gegen Google (Android), Facebook, WhatsApp und Instagram eingereicht.
Begründet werden die Klagen mit „Zwangszustimmungen“ zu den neuen Datenschutzbestimmungen, die im Zuge des EU-DSGVO-Starts nötig waren. Was Schrems nun kritisiert, ist die „Friss-oder-Stirb“-Mentalität. Nutzer hätten keine freie Wahl gehabt, wie es bei der EU-DSGVO politisch eigentlich vorgesehen ist. Stattdessen mussten sie in die Datenverarbeitung einwilligen, andernfalls waren die jeweiligen Dienste nicht mehr nutzbar.
„Mit dieser Beschwerde wollen wir daher auch sicherstellen, dass Datenschutz nicht zu einer ‚Klickübung‘ verkommt, sondern Einwilligungen eine echte „ja“ oder „nein“ Entscheidung bieten“, so Schrems. Relevant wäre das auch für kleine und lokale Unternehmen. Denn: Die Branchengrößen könnten aufgrund ihrer Marktmacht eine Einwilligung praktisch erzwingen, bei kleineren Anbietern ist das nicht der Fall.
Die Anzeigen gegen die vier Tech-Riesen wurden bei den Datenschutzbehörden in Frankreich (Google/Android), Hamburg (WhatsApp), Österreich (Facebook) und Belgien (Instagram) eingereicht. Sollten Datenschutzbehörden die Ansicht von Schrems Organisation Noyb teilen, drohen den Unternehmen Sanktionen von bis zu 4 Prozent des weltweiten Jahresumsatzes.
Klage ist kein Selbstläufer
Ob das Vorgehen von Google, Facebook, Instagram und WhatsApp als rechtswidrig eingestuft wird, ist aber keine ausgemachte Sache. Schrems beruft sich bei seiner Beschwerde auf das sogenannte Koppelungsverbot in der EU-DSGVO. Das bedeutet vereinfacht formuliert: Anbieter dürfen den Zugang zu einem Dienst nicht verweigern, nur weil die Nutzer nicht sämtliche Daten preisgeben wollen. Konkret heißt es im Gesetz:
Bei der Beurteilung, ob die Einwilligung freiwillig erteilt wurde, muss dem Umstand in größtmöglichem Umfang Rechnung getragen werden, ob unter anderem die Erfüllung eines Vertrags, einschließlich der Erbringung einer Dienstleistung, von der Einwilligung zu einer Verarbeitung von personenbezogenen Daten abhängig ist, die für die Erfüllung des Vertrags nicht erforderlich sind.
EU-DSGVO, Art. 7, Abs. 4
„Nicht erforderlich für das Erbringen einer Dienstleistung“ ist an dieser Stelle aber die entscheidende Passage. So schreibt auch Schrems selbst, die EU-DSGVO erlaube „ausdrücklich jede Datenverarbeitung, die für die Dienstleistung strikt ‚notwendig‘ ist“ Das gelte aber seiner Ansicht nach nicht bei der „Nutzung für Werbung oder [dem] Weiterverkaufen von Daten“. Er verweist dabei auf eine Richtlinie der europäischen Datenschutzgruppe Artikel 29.
Genau dieser Punkt ist nun aber umstritten. So heißt es auch im Schreiben der Artikel-29-Gruppe (PDF), dass Artikel 7 in der EU-DSGVO nur relevant ist, wenn die abgefragten Daten nicht für die Erfüllung eines Vertrags erforderlich sind. Der Begriff „Vertrag“ umfasst dabei auch das Angebot eines Dienstes.
Article 7(4) is only relevant where the requested data are not necessary for the performance of the contract, (including the provision of a service), and the performance of that contract is made conditional on the obtaining of these data on the basis of consent. Conversely, if processing is necessary to perform the contract (including to provide a service), then Article 7(4) does not apply.
Artikel-29-Gruppe zum Koppelungsverbot
So ist etwa im Falle von Facebook die Zustimmung zur Werbung nun ein Teil der Nutzungsbedingungen und somit Teil des Vertrags, der mit dem Nutzer abgeschlossen wurde. Und da Werbung die Grundlage des Geschäftsmodells ist, lassen sich die erfassten Daten als notwendige Maßnahme interpretieren.
Ein Selbstläufer ist die von Schrems eingereichte Klage also nicht. Stattdessen werden die Gerichte nun entscheiden müssen, wie weit die EU-DSGVO in diesem Fall reicht.
Facebooks Datenaustausch mit WhatsApp als weitere Baustelle
Wie interpretationsbedürftig die EU-DSGVO-Regeln im Einzelfall sind, verdeutlicht auch Facebooks Datenaustausch mit WhatsApp. Angekündigt wurde der Schritt schon 2016, bis dato hatten Datenschützer das Vorgehen aber per Gerichtsbeschluss verhindert. Einhergehend mit den neuen EU-DSGVO-Datenschutzbestimmungen wagt der Konzern nun einen neuen Anlauf.
Facebook beruft sich laut einem Bericht der Welt auf Artikel 6 der EU-DSGVO. Der legitimiert den Austausch von Daten innerhalb eines Konzerns, wenn ein „berechtigtes Interesse“ vorliegt – und in diesem Fall argumentiert Facebook nun mit der Sicherheit. So heißt es im FAQ von WhatsApp, der Datenaustausch ermögliche die „Sicherheit und den Schutz für WhatsApp und die Produkte der Facebook-Unternehmen zu gewährleisten, indem wir Spam-Konten entfernen und missbräuchliche Aktivitäten unterbinden“. Und das Vorgehen gegen Fake-Konten und Fake News entspreche eben den Vorgaben der EU, erklärte ein Facebook-Sprecher auf Anfrage der Welt.
Datenschützer sind dennoch erstaunt. So bewertet es Schleswig-Holsteins Datenschutzbeauftragte Marit Hansen als „grotesk“, dass Facebook gerade die EU-DSGVO nutzt, um die Daten von WhatsApp zu erhalten. Sollte das Verbinden solch riesiger Datensätze wie bei Facebook und WhatsApp vom „berechtigten Interesse“ gedeckt sein, wäre das nicht nur „ein Schlupfloch, sondern ein riesiges Scheunentor an Missbrauchspotenzial“, so Hansen gegenüber der Welt.
Facebook will vorerst keine Werbung mit WhatsApp-Daten schalten
Zu den Daten, die WhatsApp mit Facebook teilt, zählen die bei der Registrierung von WhatsApp genutzte Telefonnummer, Geräteinformationen wie die Gerätekennung oder die Betriebssystemversion und einige Nutzungsinformationen. Das umfasst Angaben wie, wann WhatsApp das letzte Mal genutzt wurde und welche Funktionen verwendet werden.
Für Anzeigen sollen die Daten vorerst nicht ausgewertet werden. Stattdessen will WhatsApp den Messenger-Dienst enger mit Facebook verbinden. Künftig soll es etwa möglich sein, über die Facebook-Seite eines Unternehmens per Button direkt einen WhatsApp-Chat zu starten.