Datenschutz: “Targeted Advertising” durch “berechtigtes Interesse” am Ende? EDPB vs. Meta

Gerade erst heute früh habe ich über die LG München Entscheidung zu Focus.de berichtet, da scheint durch eine eine weitere Entscheidung der datenschutzrechtliche Todesstoß dafür gekommen sein, um von Nutzern einer Plattform/Webseite die Genehmigung für “Targeted Advertising” nur über Regelungen in AGB und nicht durch eine ausdrückliche Zustimmung einzuholen.

Wie die irische Datenschutzbehörde bestätigt, hat der Europäische Datenschutzausschuss (EDPB) die Umgehung der DSGVO/GDPR durch die irische Datenschutzbehörde und Meta auf der Grundlage von Beschwerden der Organisation “noyb” gegen Facebook und Instagram abgelehnt. Meta, als Betreiberin von Facebook, Instagram und Whatsapp,  ist es nun untersagt, die DSGVO durch eine Klausel in den Geschäftsbedingungen zu umgehen. Meta muss die Zustimmung für personalisierte Werbung einholen und den Nutzern eine “Ja/Nein”-Option anbieten.

Die DSGVO kennt sechs Rechtsgrundlagen für die Verarbeitung von Daten. Eine davon ist die Einwilligung gemäß Artikel 6 Absatz 1 Buchstabe a DSGVO. Die Abgrenzung der Möglichkeiten und wann welche Möglichkeit zulässig ist bzw. wie diese genau gestaltet werden müssen, ist nicht ganz eindeutig und immer wieder Grund für Kontroversen. Da Nutzer natürlich ungern klar und eindeutig zustimmen, auf einer Webseite zum Zwecke der Werbung wieder erkannt zu werden (und schon gar nicht über verschiede Dienste hinweg),  versuchte Meta das Erfordernis der Einwilligung für Tracking und Online-Werbung zu umgehen, indem es argumentierte, dass Anzeigen ein Teil des “Dienstes” seien, den es den Nutzern vertraglich schuldet.

Diese sogenannte “vertragliche Notwendigkeit” nach Artikel 6 Absatz 1 Buchstabe b wird in der Regel jedoch eng verstanden. Ein Beispiel wäre die Weitergabe von Adressdaten an einen Postdienstleister durch einen Onlineshop, um eine erfolgte Bestellung durchführen zu können. Meta vertrat die Auffassung, dass es dem Vertrag mit dem Nutzer einfach beliebige Elemente hinzufügen könne (wie personalisierte Werbung), um eine Ja/Nein-Einwilligungsoption für die Nutzer zu vermeiden.

Trotz vieler Versuche der irischen Datenschutzbehörde diese Praxis für Meta zu ermöglichen, lehnt der Europäische Datenschutzausschuss diese Praxis nun auch in der finalen Entscheidung ab.

Die Entscheidung führt dazu, dass Meta allen Nutzern innerhalb von drei Monaten eine Version aller Apps zur Verfügung stellen muss, die keine personenbezogenen Daten für Werbung verwendet. Die Entscheidung würde Meta weiterhin erlauben, nicht-personenbezogene Daten (wie den Inhalt einer Geschichte) zu verwenden, um Anzeigen zu personalisieren oder Nutzer über eine Ja/Nein-Option um Zustimmung zu Anzeigen zu bitten. Die Nutzer müssen in der Lage sein, ihre Zustimmung jederzeit zu widerrufen, und Meta darf den Dienst nicht einschränken, wenn die Nutzer dies wünschen. Dies würde zwar die Gewinne von Meta in der EU drastisch einschränken, aber die Werbung nicht vollständig verbieten. Stattdessen wird Meta durch die Entscheidung auf die gleiche Stufe gestellt wie andere Websites oder Apps, die den Nutzern eine Ja/Nein-Option bieten müssen. Zusätzlich wurde eine 3stellige Millionenstrafe gegen Meta verhängt. Dem bereits rapide fallenden Aktienkurs dürfte dies nicht gut tun.

Spannend dürften neben einigen weiteren beim EuGH anhängigen Verfahren auch die Frage sein, ob Nutzern von Meta nun Schadensersatzansprüche gegen Meta zustehen, weil diese 4,5 Jahre rechtswidrig personenbezogene Daten genutzt haben. Eine weiteres Feld für Rechtsdienstleister?

Der Weg der Datenschutzbehörden und Datenschutzaktivisten sowie der Gerichte ist daher recht klar und Vermarktern und Dienstebetreibern ist dringend davon abzuraten, Daten von Nutzern ohne ausdrückliche Genehmigung zu verarbeiten und/oder an Dritte weiterzugeben, wenn dies nicht klar und eindeutig zur Erfüllung eines Vertrags, einer rechtlichen Verpflichtung, zu Sicherung lebenswichtiger Interessen oder zur Wahrnehmung eines  öffentlichen Interesse dient. Die Option “f” in Artikel 6 Absatz 1 Buchstabe a DSGVO, das berechtigte Interesse des Verantwortlichen oder eines Dritten” kann schnell ein gefährlich heißes, und wie man an Meta jetzt mitbekommt, teures Unterfangen sein.