Personalisierte Werbeanzeigen ohne ausdrücklich erteilte Einwilligung rechtswidrig

Wer kennt es nicht, beim Durchscrollen der eigenen Profilseite auf der favorisierten Social-Media-Plattform zwischen all den Urlaubsfotos und Posts von Freunden und Bekannten, immer mal wieder auf eingeblendete – zumeist personalisierte – Werbeanzeigen zu stoßen. Ein Großteil der Nutzenden solcher Plattformen werden sich vermutlich bereits an diesen Anblick gewöhnt haben und diese als lästige Begleiterscheinung dezent ignorieren. Nicht jedoch der Europäische Datenschutzausschuss (EDSA), welcher das lukrative Geschäftsmodell der Meta Plattforms (Meta) etwas genauer ins Auge gefasst hat und zu dem Ergebnis gekommen ist, dass die Dienste Facebook, Instagram und WhatsApp Daten ihrer Nutzenden nicht mehr ohne Einverständniserklärung für personalisierte Werbung nutzen dürfen. Der Prüfung des EDSA waren mehrere eingereichte Beschwerden gegen die Diensteanbieter bei der zuständigen irischen Datenschutzbehörde (DPC) – welche für die Beaufsichtigung der europäischen Meta federführend zuständig ist – vorausgegangen.

Der versierte Lesende kann sich an dieser Stelle gewiss schon denken, wer oder was sich hinter der Beschwerdeeinreichung verbergen mag. Sie lesen richtig: Auch in diesem Sachverhalt ist der Beschwerdeführer wieder einmal der mittlerweile allseits bekannte Datenschutzaktivist Max Schrems mit seiner Nichtregierungsorganisation (NGO) „none of your business“ (noyb). Dieser hatte bereits kurz nach dem Inkrafttreten der Datenschutz-Grundverordnung (DSGVO) rechtliche Bedenken gegen die Geschäftspraxis der personalisierten Werbung auf den Plattformen geäußert und entsprechend Beschwerde bei der zuständigen Datenschutzbehörde in Dublin eingereicht.

Das zwielichtige Geschäftsmodell mit der personalisierten Werbung

Der im Raum stehende Vorwurf richtet sich vorliegend gegen das Werbegeschäft und damit gegen die womöglich wichtigste Einnahmequelle des Meta-Konzerns. Wie einer kürzlich von noyb veröffentlichten Pressemitteilung zu entnehmen ist, soll die europäische Meta-Gesellschaft seit Inkrafttreten der DSGVO personalisierte Werbung an die Nutzenden ausgespielt haben, obwohl diese der stattfindenden Datenverarbeitung vorher nicht ausdrücklich zugestimmt haben. Vorliegend beruft sich Meta hinsichtlich der Datenverarbeitung auf eine allgemeine Zustimmungsklausel, welche mit in die Allgemeinen Geschäfts- und Nutzungsbedingungen aufgenommen wurde. Damit umgeht Meta bewusst die Einholung einer eigentlich zwingend erforderlichen Einwilligung in die Datenverarbeitung, welche im Rahmen der Analyse des Nutzungsverhaltens erfolgt, und nimmt so den betroffenen Nutzenden folglich auch die Möglichkeit sich gegen die personalisierte Werbung zur Wehr zu setzen. Insgesamt geht es hier um die fehlende Rechtmäßigkeit und Transparenz der Datenverarbeitung für verhaltensbasierte Werbemaßnahmen durch Meta. Der Konzern selbst sieht die personalisierten Werbeanzeigen als Teil seiner Dienste an, stützt die Datenverarbeitung infolgedessen auf den geschlossenen Nutzungsvertrag mit dem jeweiligen Nutzer. Danach liege nach Ansicht von Meta eine vertragliche Erforderlichkeit zur Datenverarbeitung vor, da die personalisierten Werbeanzeigen vertraglich gegenüber den Nutzenden geschuldet werden.

Rolle der irischen Datenschutzbehörde im laufenden Verfahren

Die für die eingereichten Beschwerden zuständige DPC hat laut noyb im laufenden Verfahren – welches seit nunmehr 4,5 Jahren anhängig ist, umfassend mit Meta zusammengearbeitet, jedoch in dem laufenden Verfahren noch kein abschließendes Urteil gefällt. So sollen unter anderem auch zwischen der Behörde und Meta mehrere vertrauliche Gespräche stattgefunden haben, in denen die DPC gegenüber Meta signalisiert haben soll, dass die zugrundeliegende Datenverarbeitung rechtmäßig und im Einklang mit der DSGVO erfolge. In diesem Zuge soll die DPC auch Versuche unternommen haben, die einschlägigen EDSA-Leitlinien zum Art. 6 Abs. 1 S. 1 lit. b DSGVO im Interesse von Meta zu beeinflussen. In Anbetracht der nunmehr angestrengten Ermittlungen von Seiten des EDSA kann an dieser Stelle wohl die Vermutung aufgestellt werden, dass die Anstrengungen seitens der DPC, die Leitlinien zu Gunsten von Meta zu beeinflussen weitgehend fruchtlos waren. Der EDSA hat vielmehr das Verfahren für sich zum Anlass genommen und der Sache noch einmal einen gewissen Nachdruck verliehen und insbesondere die zuständige DPC zu einer angemessenen Entscheidung gedrängt. Dem Vernehmen nach war der EDSA mit dem getroffenen Entscheidungsentwurf der DPC nach Abschluss der angestellten Untersuchung nicht zufrieden. Der EDSA hat sich zu seinem Einschreiten und der verbindlichen Entscheidung, welche die Rechtswidrigkeit der Datenverarbeitung im Hinblick auf personalisierte Werbung beinhaltet, noch nicht offiziell zu Wort gemeldet. Die Information über die getroffene Entscheidung wurde erstmalig in einem Bericht einer internationalen Nachrichtenagentur gestreut.

Wie geht’s nun weiter?

Die verbindlich getroffene Entscheidung des EDSA wird der federführenden Aufsichtsbehörde in Dublin zunächst einmal zur Kenntnisnahme zugeschickt. In diesem Rahmen hat die DPC einen Monat Zeit, die Entscheidung des EDSA zu prüfen und in dem eigenen Entscheidungsentwurf umfassend zu berücksichtigen. Im weiteren Verlauf wird die Entscheidung der Beklagten und dem Beschwerdeführer zugestellt. Beide Parteien haben anschließend die Gelegenheit gegen die ergangene Entscheidung Einspruch einzulegen. Sofern beide Parteien sich mit der endgültigen Entscheidung mehr oder weniger zufriedengeben und keinen Einspruch einlegen, ist diese rechtsbindend. Andernfalls wird der Sachverhalt vor Gericht noch einmal ausgerollt und überprüft.

Rechtliche Einordnung und Fazit

Der vorliegende Sachverhalt verdeutlicht noch einmal, wie wichtig die Durchsetzbarkeit der Rechtsnormen zum Schutz von Grundrechten in Europa und der gesamten Welt auch gegenüber den großen „Tech Giants“ ist, welche im Grunde ihre Geschäftsmodelle danach ausgerichtet haben, so viele Daten wie nur möglich zu sammeln und diese dann gewinnbringend weiterzuverarbeiten.

Ohne den tatsächlichen Ausgang des laufenden Verfahrens aktuell zu kennen, kann in diesem Fall mit an Sicherheit grenzender Wahrscheinlichkeit davon ausgegangen werden, dass Meta das gerügte Verhalten zwingend abstellen oder dieses zumindest so abändern muss, dass dieses im Einklang mit der DSGVO steht. Im Einklang mit der Verordnung bedeutet hier, die Datenverarbeitung der Nutzenden zu personalisierten Werbezwecken erst dann durchzuführen, wenn die Betroffenen wirksam ihre Zustimmung erteilt haben und ausdrücklich und transparent über die Datenverarbeitung informiert wurden.

Zu guter Letzt darf man auf die hoffentlich bald getroffene Entscheidung durch die DPC mit Spannung warten. Nach der indirekten Rüge seitens des EDSA steht die DCP nicht nur unter Zugzwang, sondern auch im Blickfeld der Öffentlichkeit. Vermutlich wird als Teil der Entscheidung auch ein millionenschweres Bußgeld gegen Meta verhängt, da in den vergangenen Jahren trotz laufender Verfahren die Verarbeitungstätigkeit weiter fortbestanden hat und Meta das Risiko einer Beanstandung durch die DPC vorliegend willentlich in Kauf genommen hat, sodass man hier durchaus von einem vorsätzlichen Handeln sprechen darf. Wirft man einen Blick auf die bisher gegen Meta verhängten Bußgelder und summiert diese, kommt man alleine im Jahr 2022 auf eine stolze Bußgeldsumme von über einer Milliarde Euro.

Über den Ausgang des Verfahrens werden wir Sie hier im Blog informieren.