Der EU-Hauptsitz des vor kurzem in Meta Platforms umbenannten Facebook in Irland wurde Ende November[i] von seiner Aufsichtsbehörde, der irischen Datenschutzkommission (DPC), mit einer Geldstrafe in Höhe von 265 Mio. EUR belegt, im Wesentlichen wegen Fragen der Einhaltung der DSGVO-Verpflichtung zum ‹data protection by design and by default›, gemäß Artikel 25.
Am 6. Dezember hat der Europäische Datenschutzausschuss (EDSA)[ii] in einer verbindlichen Entscheidung die Frage geklärt, «ob die Verarbeitung personenbezogener Daten für die Erfüllung eines Vertrags eine geeignete Rechtsgrundlage für verhaltensbezogene Werbung im Falle von Facebook und Instagram und für die Verbesserung von Diensten im Falle von WhatsApp ist«. Mit anderen Worten: Metas Berufung auf seine Vertragsbedingungen, um seine auf personenbezogenen Daten basierende gezielte Werbung zu rechtfertigen, könnte rechtswidrig sein, wobei den Nutzern stattdessen eine Ja- oder Nein-Zustimmungsoption gegeben werden müsste. Die Nutzer sollten also jederzeit die Zustimmung verweigern können, ohne dass Meta zwangsläufig die Bereitstellung seiner Dienste einschränkt.
Seit dem Inkrafttreten der EU-DSGVO im Jahr 2018 vertritt Meta die Auffassung, dass Anzeigen Teil des Dienstes sind, der den Nutzern unter vertraglicher Erforderlichkeit zur Verfügung gestellt wird, und zwar durch eine eher weite Auslegung von Art. 6 Abs. 1 lit. b der DSGVO[iii] über die Rechtmässigkeit der Verarbeitung – was wohl zu einer manipulierten und erzwungenen Zustimmung der Nutzer führt und somit der Grund für eine Reihe von Beschwerden ist, die das Europäische Zentrum für digitale Rechte (noyb) bei verschiedenen Datenschutzbehörden, einschliesslich der irischen Datenschutzkommission, eingereicht hat.
Der Entscheid des EDSA, dessen genauer Inhalt noch nicht öffentlich bekannt gegeben wurde, sieht vor, dass die DPC bis Januar 2023 eine endgültige Entscheidung in dieser Angelegenheit treffen muss.
[i] Siehe hier https://www.dataprotection.ie/en/news-media/press-releases/data-protection-commission-announces-decision-in-facebook-data-scraping-inquiry.
[ii] Siehe hier https://edpb.europa.eu/news/news/2022/edpb-adopts-art-65-dispute-resolution-binding-decisions-regarding-facebook-instagram_de; https://noyb.eu/en/noyb-win-personalized-ads-facebook-instagram-and-whatsapp-declared-illegal.
[iii] Art. 6 Abs. 1 lit. b DSGVO: “…die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Massnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen”.
