Trick bestraft: Meta fehlt Rechtsgrundlage für personalisierte Werbedaten

Inhaltsverzeichnis

Gemischte Nachricht für den Facebook- und Instagram-Mutterkonzern Meta Platforms: Der Facebook-Trick, personalisierte Werbung als Leistung für die User zu verkleiden, kostet 390 Millionen Euro Datenschutzstrafe. Das teilt die irische Datenschutzbehörde DPC (Data Protection Commission) mit. Meta wird sowohl gegen die Entscheidung als auch gegen die Höhe des Bußgeldes vor Gericht ziehen. Allerdings dürfte der Datenkonzern eine höhere Strafe erwartet haben.

Die irische Behörde verhängt die Strafe widerwillig. Eigentlich wollte die Behörde Metas Begründung zur Nutzung personenbezogener Daten für Werbezwecke für legal erklären und nur 28-37 Millionen Euro Strafe wegen mangelnder Transparenz verhängen. Meta argumentiert, dass personalisierte Werbung eine Dienstleistung für den Nutzer und somit integraler Bestandteil des Nutzungsvertrages sei.

Tatsächlich erlaubt die DSGVO (Datenschutzgrundverordnung) die Auswertung personenbezogener Daten ohne ausdrückliche Zustimmung, wenn das für die vereinbarte Leistung notwendig ist. Wer sich beispielsweise etwas liefern lässt, muss akzeptieren, dass der Bote die Lieferadresse erfährt.

Die irische Aufsicht wollte Facebooks Trick EU-weit durchdrücken. Doch die im Europäischen Datenschutzausschuss (EDSA) versammelten EU-Datenschutzbehörden lehnten den Facebook-Trick ab, weil Werbung keine vom Nutzer bestellte Leistung ist. Auch Meta muss demnach für personenbezogene Werbung ausdrückliche und separate Einwilligungen seiner Nutzern einholen.

Facebook und Instagram haben Zeit bis April - mindestens

Die DPC war gezwungen, einen neuen Bescheid auszustellen, was laut Pressemitteilung am 31. Dezember 2022 geschehen ist. Veröffentlicht hat die Behörde das Dokument noch nicht. Meta erhält drei Monate Zeit, seine Systeme umzustellen. Dann darf der Datenkonzern keine personenbezogenen Daten für Werbung mehr verwenden, die ohne gültige Einwilligung gespeichert wurden. Außerdem soll Meta seinen Nutzern besser erklären, wie ihre Daten genutzt werden. Allerdings dürfte Meta mit seiner Berufung aufschiebende Wirkung beantragen.

210 Millionen Euro Bußgeld soll Meta für Facebook zahlen, 180 Millionen bei Instagram. Diese kommen zu den 910 Millionen Euro Datenschutz-Strafen, unter anderem für Facebook-Scraping, hinzu, die gegen den Konzern in den letzten beiden Jahren verhängt wurden. Damit kommt Meta in Summe günstiger davon als erwartet: Laut Wall Street Journal hat Metas Irlandtochter ihre Rücklagen für Datenschutzstrafen bereits 2021 von zwei auf drei Milliarden Euro aufgestockt.

Meta drohen Umsatzeinbußen in Milliardenhöhe

Doch sind die einmaligen Strafen das kleinere Problem für den Werbedienstleister mit angeschlossenen Social-Media-Funktionen. Wird die Entscheidung wirksam, könnte sie massive Auswirkungen auf den Datenbestand zu EU-Nutzern haben – und damit die Werbeeinnahmen des Zuckerberg-Konzerns nachhaltig beeinträchtigen. Im dritten Quartal 2022 stammten 5,7 Milliarden Dollar oder gut 20 Prozent der Werbeumsätze Metas aus Europa. Der überwiegende Teil davon stammt sicherlich aus der EU.

Empfohlener redaktioneller Inhalt

Mit Ihrer Zustimmmung wird hier eine externe Umfrage (Opinary GmbH) geladen.

Umfragen immer laden Umfrage jetzt laden

Ich bin damit einverstanden, dass mir externe Inhalte angezeigt werden. Damit können personenbezogene Daten an Drittplattformen (Opinary GmbH) übermittelt werden. Mehr dazu in unserer Datenschutzerklärung.

Und durch die umfangreichen Daten, die Meta über seine Nutzer sammelt, kann es Reklame ziemlich genau auf einzelne Nutzer zuschneiden. Weil das Streuverluste verringert, kann Meta hohe Preise verlangen. Zwar ist unbestritten legal, Werbung kontextbasiert auszuwählen – beispielsweise darf Meta neben einem Video eines Squash-Spiels Werbung für Squashbälle zeigen. Das ist aber nicht so profitabel, wie Zuschnitt, der früheres Verhalten und andere Daten des einzelnen Betrachters mit einbezieht.

Entscheidungen des Datenschutzausschusses müssen von den nationalen Aufsichtsbehörden laut DSGVO umgesetzt werden. Das Verfahren vor der irischen Datenschutzaufsicht haben der österreichische Datenschutzaktivist Max Schrems sowie ein Belgier zum Inkrafttreten der DSGVO 2018 angestrengt.

Beschwerdeführer übt heftige Kritik

Schrems kommentiert den nun getroffenen Beschluss am Mittwoch nach fast fünf Jahren Verfahrensdauer mit einem Frontalangriff auf die irische Datenschutzaufsichtsbehörde. Es sei bereits das vierte Mal in Folge, dass der Europäische Datenschutzausschuss die DPC überstimme; und viereinhalb Jahre für ein derartiges Verfahren, das im Kern eine einfache Rechtsfrage zum Gegenstand habe, seien unsäglich lang.

Zudem sieht Schrems seine Rechte als Verfahrensbeteiligter beschränkt, da ihm und seiner NGO None of your Business (NOYB) die Entscheidung nicht zugestellt wurde. "In zehn Jahren als Jurist habe ich noch nie erlebt, dass eine Entscheidung nur einer Partei zugestellt wurde, aber nicht der anderen", sagt Schrems. Der Österreicher wirft der Behörde unter der Leitung der irischen Datenschutzkommissarin Helen Dixon vor, gemeinsame Sache mit Meta zu machen: "Die DPC spielt ein zynisches Spiel mit der Öffentlichkeit. Indem sie Noyb und der Öffentlichkeit nicht erlaubt, die Entscheidung zu lesen, versucht sie, den Narrativ gemeinsam mit Meta zu prägen."

Die DPC kündigte auf Anfrage an, dass die Entscheidung in der kommenden Woche durch den Europäischen Datenschutzausschuss veröffentlicht werde. Die irische Aufsichtsbehörde steht seit Jahren in der Kritik, eine besonders zurückhaltende Auslegung der DSGVO zu betreiben. Dadurch, dass große Digitalunternehmen ihren Europa-Sitz oftmals in Irland haben, ist die DPC für viele von ihnen federführend zuständig. Die DPC ihrerseits beklagt seit Jahren unzureichende Finanz- und Personalausstattung durch das irische Parlament.

(ds)