EU-Gericht stärkt EU-Datenschützern gegenüber Irland den Rücken
Die irische Datenschutzbehörde verklagte den EU-Datenschutzausschuss wegen seiner Entscheidung, dass Meta Nutzerdaten ohne Einwilligung für Werbung verwendete.

(Bild: Marian Weyo/Shutterstock.com)
Darf der Europäische Datenschutzausschuss (EDSA) als übergeordnetes Gremium der irischen Datenschutzbehörde Beine machen beim Durchsetzen der Datenschutz-Grundverordnung (DSGVO)? Das Gericht der Europäischen Union (EuG) entschied am Mittwoch: ja. Die Luxemburger Richter begründen dies mit dem Willen des EU-Gesetzgebers. Dieser habe festgelegt, dass "anhaltende Meinungsverschiedenheiten zwischen den betroffenen Aufsichtsbehörden über den Umfang der Analyse eines Falles – sowie gegebenenfalls über den Umfang der diesbezüglich durchgeführten Untersuchung – im Rahmen" des Koordinationsverfahrens innerhalb des EDSA zu schlichten seien.
Die Data Protection Commission (DPC) in Dublin ist für "dicke Fische" wie Google, Meta, Apple, Microsoft, TikTok & Co. zuständig, weil diese ihren europäischen Hauptsitz in Irland haben. Sie gilt aber seit Längerem als Flaschenhals bei der DSGVO-Durchsetzung. Im Datenschutzausschuss kommt es über Entscheidungsvorlagen der DPC oft zum Streit. Das löst komplizierte und lange Verständigungsverfahren aus, in denen die irische Behörde meist überstimmt wird. Damit will sie es teils aber auch nicht bewenden lassen.
In den jetzt entschiedenen Rechtssachen T-70/23, T-84/23 und T-111/23 ging es um EDSA-Beschlüsse vom 5. Dezember 2022. Meta wertete demnach die persönlichen Daten von Nutzern ohne Einwilligung gemäß Artikel 6 DSGVO unrechtmäßig für Werbung aus. Im Kern ging es um die Datenschutzbestimmungen, die der US-Konzern bei seinen Töchtern Facebook, Instagram und WhatsApp anwendete. Für die Auswertung des Nutzerverhaltens auf fremden Webseiten und Apps bot Meta damals schon einen Opt-out an. Für die Inanspruchnahme ihrer persönlichen Informationen auf Facebook und Instagram selbst für personalisierte Reklame hatten Nutzer damals aber keine Wahl.
Meta wollte gezielte Werbung als Service ausgeben
Meta baute jahrelang auf den Trick, das eigene Data-Mining als Leistung für die betroffenen Nutzer auszugeben. Die DPC versuchte, Leitlinien des EDSA für die Auslegung der DSGVO im Sinne des Plattformbetreibers zu beeinflussen. Letztlich wollte sie Facebooks Einwilligungstrick abnicken, womit sie im EDSA aber nicht durchkam. Der Zusammenschluss der staatlichen europäischen Datenschutzkontrolleure entschied zudem, dass die irische Behörde auch die Auswertungen sensibler Daten nach Artikel 9 DSGVO für gezielte Werbung hätte untersuchen müssen. Im November 2023 wies der EDSA die Kollegen in Dublin ferner an, das norwegische Verbot verhaltensbasierter Reklame auf ganz Europa auszuweiten.
Die DPC weigerte sich nach einer bereits über vierjährigen Verzögerung des Verfahrens, der ersten verbindlichen Entscheidung nachzukommen. Sie beantragte beim EuG die teilweise Nichtigerklärung der EDSA-Beschlüsse, soweit sie ihr auftrugen, neue Untersuchungen über die mit der Nutzung von Facebook, Instagram oder WhatsApp verbundenen Datenverarbeitungen durchzuführen und auf dieser Basis ergänzende Beschlussentwürfe auszuarbeiten. Die Richter wiesen die Klagen nun zurück: Aus der Rechtsauslegung ergebe sich unzweifelhaft, dass der EDSA befugt sei, Weisungen wie die angefochtenen zu erlassen.
DPC: Meisterhafte groteske Ausweichmanöver
Das Argument der DPC, dass nur die nationalen Gerichte Einwände im Zusammenhang mit der Untersuchung überprüfen könnten, läuft laut dem EuG ins Leere. Wichtig sei, dass die Stellen, die die Aufsichtsbehörden überwachen, selbst genauso unabhängig sind wie diese selbst. Dies treffe auf den EDSA zu, da er aus Kontrolleuren der Mitgliedstaaten und dem EU-Datenschutzbeauftragten bestehe. Bei letzterem handele es sich wiederum um eine gegenüber den von ihr überwachten Organen und anderen Behörden der Union unabhängige Instanz. Gegen das noch nicht rechtskräftige Urteil können beide Seiten binnen zwei Monaten und zehn Tagen nach Zustellung beim Europäischen Gerichtshof (EuGH) Berufung einlegen.
Max Schrems, Vorsitzender der österreichischen Bürgerrechtsorganisation Noyb, die den Fall mit einer Beschwerde 2018 in Gang brachte, freut sich über die Entscheidung. Sie bedeute aber auch, dass der Fall nach über sechs Jahren "wieder bei null anfängt", gab er zu bedenken. Bis zu einer endgültigen Klärung der Rechtslage werde es voraussichtlich erneut Jahre vor der DPC und vor den irischen Gerichten brauchen. Die irische Aufsicht sei "ein Meister der grotesken Ausweichmanöver und Verfahrensschleifen – mit der Folge, dass US-Big-Tech nie eine Strafe erhält". Nach vielen Beschwerden hat auch die EU-Kommission einen Anlauf unternommen, um das DPC-Problem zu lösen.
(mki)