Meta wurde in Norwegen vorübergehend die Schaltung verhaltensbezogener Werbung auf Facebook und Instagram untersagt – es sei denn, sie holt die Zustimmung der Nutzer zur Verarbeitung ein.
Das Dringende Befehl der vorläufigen Maßnahmen der norwegischen Datenschutzbehörde zum Geschäft von Meta Datentilsynetgilt zunächst für einen Zeitraum von drei Monaten.
Darin ist festgelegt, dass Meta auch andere Formen gezielter Werbung betreiben darf, etwa Kontext-Targeting, also solche, die nicht auf der Nachverfolgung und Profilerstellung der Nutzer basieren. Oder es kann weiterhin verhaltensbasierte Werbung schalten, wenn es die Zustimmung der Nutzer einholt. Wenn Meta jedoch weiterhin mit seinem datenschutzfeindlichen „Geschäft wie bisher“ auf dem Markt fortfährt – das Schalten von verhaltensorientierter Werbung, ohne den Nutzern die Möglichkeit zu geben, das Tracking und die Profilerstellung zu verweigern –, drohen Geldstrafen von bis zu einer Million NOK (ca. 100.000 US-Dollar) pro Stück Tag.
„Die norwegische Datenschutzbehörde ist der Ansicht, dass die Praxis von Meta illegal ist und verhängt daher ein vorübergehendes Verbot von verhaltensbezogener Werbung auf Facebook und Instagram“, schrieb sie in einem Pressemitteilung kündigte die Verbotsanordnung an und fügte hinzu: „Wir sind der Ansicht, dass die Kriterien für dringendes Handeln in diesem Fall erfüllt sind, insbesondere weil Meta kürzlich sowohl eine Entscheidung als auch ein Urteil gegen sie erhalten hat, denen sie sich nicht angeschlossen haben.“ Wenn wir jetzt nicht eingreifen, würden die Datenschutzrechte der Mehrheit der Norweger auf unbestimmte Zeit verletzt.“
„Invasive kommerzielle Überwachung zu Marketingzwecken ist heute eines der größten Risiken für den Datenschutz im Internet“, warnte die Behörde außerdem.
Obwohl die norwegische Datenschutzbehörde nicht Metas führende Datenaufsichtsbehörde in der Region ist, kann sie von den in der Datenschutz-Grundverordnung (DSGVO) enthaltenen Notfallbefugnissen Gebrauch machen, die es den Behörden ermöglichen, bei dringenden Anliegen einzugreifen und Maßnahmen zu ergreifen, um die Benutzer in ihrer Region zu schützen eigenen Markt. Daher gilt die Verbotsanordnung nur in Norwegen.
Die Klage der DPA folgt auf ein Urteil des Gerichtshofs der Europäischen Union (EuGH) von Anfang des Monats, in dem die Rechtsgrundlage aufgehoben wurde, die Meta derzeit für das Mikrotargeting von Nutzern mit Anzeigen in der Region (auch als legitime Interessen bezeichnet) geltend macht.
Zuvor hatte die irische Datenschutzkommission (DPC) in einer wichtigen Entscheidung im Januar festgestellt, dass die Anzeigenverarbeitung von Meta einen Verstoß gegen die DSGVO des Blocks darstellt, und zwar im Hinblick auf eine frühere Behauptung, die Erfüllung eines Vertrags sei die Rechtsgrundlage.
Meta wurde wegen des Verstoßes mit einer Geldstrafe von mehr als 410 Millionen US-Dollar belegt und aufgefordert, die Einhaltung der Vorschriften zu verbessern – und ging schnell zu einer Geltendmachung berechtigter Interessen für die Verarbeitung über. Allerdings hat der EuGH inzwischen festgestellt, dass die Rechtsgrundlage auch für sein Überwachungswerbegeschäft ungeeignet sei, wie wir damals berichteten. Aus diesem Grund sagt die norwegische Datenschutzbehörde, dass sie jetzt dringend Maßnahmen ergreift.
„Im Dezember letzten Jahres erließ die irische Datenschutzkommission im Namen aller Datenschutzbehörden im gesamten EWR eine Entscheidung [European Economic Area] Darin wurde festgestellt, dass Meta illegale verhaltensbezogene Werbung betrieben hat. Seitdem hat Meta einige Änderungen vorgenommen, aber eine neue Entscheidung des Gerichtshofs der Europäischen Union hat ergeben, dass die verhaltensbezogene Werbung von Meta immer noch nicht gesetzeskonform ist. Daher ergreift die norwegische Datenschutzbehörde nun Maßnahmen und verhängt ein vorübergehendes Verbot“, heißt es darin.
„Das Verbot gilt ab dem 4. August und dauert drei Monate oder bis Meta nachweisen kann, dass es sich an das Gesetz hält. Sollte Meta der Entscheidung nicht nachkommen, riskiert das Unternehmen eine Zwangsstrafe von bis zu einer Million NOK pro Tag. Die Entscheidung der norwegischen Datenschutzbehörde gilt nur für Benutzer in Norwegen.“
Habe nach einer Antwort gefragt Nach der Verbotsanordnung schickte Meta eine kurze Erklärung (unten), in der es versucht, dem Kernproblem auszuweichen, indem es andeutet, dass es immer noch eine „Debatte“ darüber gibt, ob es sich bei seinem Geschäft mit verhaltensbezogenen Anzeigen auf berechtigte Interessen berufen kann – obwohl das Urteil des EuGH erst vor einigen Wochen ergangen ist vor, dass LI keine gültige Rechtsgrundlage für sein Anzeigengeschäft sei. (In seiner Erklärung wird das EuGH-Urteil überhaupt nicht erwähnt.)
Hier ist die vollständige Meta-Erklärung:
Die Debatte um die Rechtsgrundlagen wird schon seit Längerem geführt und die Unternehmen sind in diesem Bereich nach wie vor mit mangelnder Regulierungssicherheit konfrontiert. Wir arbeiten weiterhin konstruktiv mit der irischen DPC, unserer führenden Regulierungsbehörde in der EU, hinsichtlich der Einhaltung ihrer Entscheidung zusammen. Wir werden die Entscheidung der norwegischen Datenschutzbehörde prüfen und haben keine unmittelbaren Auswirkungen auf unsere Dienste
Der Technologieriese hat nicht bestätigt, ob er gegen die Anordnung Berufung einlegen wird.
Es antwortete auch nicht auf Fragen, die wir ihm stellten, um seine Behauptung einer „laufenden Debatte“ zu einem Punkt zu begründen, den der EuGH kürzlich geklärt hat. Es wurde auch nicht bestätigt, ob die Art und Weise, wie Facebook und Instagram in Norwegen betrieben werden, geändert wird.
Seit Meta zu einem Anspruch von LI übergegangen ist, Benutzerdaten für verhaltensbezogene Werbung zu verarbeiten, muss es EU-Benutzern die Möglichkeit bieten, dieser Verarbeitung zu widersprechen – was eine Voraussetzung für die Berufung auf die Rechtsgrundlage ist. Dies bedeutet, dass es bereits eine Möglichkeit gibt, Benutzern eine Version seines Dienstes anzubieten, die nicht auf Tracking und Profiling für die Anzeigenausrichtung angewiesen ist. Daher könnte diese weniger aufdringliche Form der Anzeigenausrichtung pauschal auf alle Nutzer in Norwegen angewendet werden. Es ist jedoch nicht klar, ob das Unternehmen dies auf dem Markt einführen wird. (Oder tatsächlich Änderungen an der Art und Weise vornehmen, wie Facebook und Instagram in Norwegen betrieben werden.)
Wenn Meta die Umsetzung der Verbotsanordnung der DPA verzögert, riskiert es für die nächsten drei Monate tägliche Geldstrafen – die sich auf mehrere Millionen Dollar an Strafen summieren könnten.
Möglicherweise noch besorgniserregender für Meta ist die Tatsache, dass die norwegische Behörde gewarnt hat, dass sie versuchen könnte, die Angelegenheit an den Europäischen Datenschutzausschuss (EDPB) zu verweisen – etwa indem sie ihn auffordert, eine verbindliche Entscheidung zu treffen, um die Verbotsanordnung über die ersten drei hinaus zu verlängern Monatliche Gültigkeitsdauer.
Eine solche Anordnung des EDSA könnte dazu führen, dass Meta seine einwilligungslose Verhaltenswerbung in der gesamten EU einstellt. Allerdings könnte es sein, dass der Vorstand das irische DPC dazu ermutigen möchte, in seiner Eigenschaft als leitender Datenaufsichtsbeamter für Meta den Staffelstab zu übernehmen. Es bleibt also abzuwarten, ob wir eine schnelle Reaktion der europäischen Datenschutzbehörden auf die Verabschiedung dieses neuesten EuGH sehen werden Entscheidung oder ein anderes langsames Brennen – wobei Meta von neuen Verzögerungen bei der Durchsetzung profitieren wird.
Wir haben uns an die irische Datenschutzbehörde gewandt und gefragt, ob sie im Hinblick auf Metas Abhängigkeit von LI für verhaltensbezogene Anzeigen im Lichte des EuGH-Urteils Maßnahmen ergreifen wird, und werden diesen Bericht mit etwaigen Antworten aktualisieren.
In der Zwischenzeit unterliegen EU-Nutzer von Facebook und Instagram weiterhin standardmäßig der Nachverfolgung und Profilerstellung durch Meta, ohne dass im Vorfeld die Möglichkeit besteht, die Überwachung zu verweigern – auch wenn das jüngste EuGH-Urteil darauf hindeutet, dass die Einwilligung wahrscheinlich die einzig brauchbare Grundlage dafür ist betreibt seine verhaltensbasierte Werbung legal in der Region.
„Meta, das Unternehmen hinter Facebook und Instagram, verfügt über riesige Mengen an Daten über Norweger, darunter auch sensible Daten. Viele Norweger verbringen viel Zeit auf diesen Plattformen, und daher können Tracking und Profiling genutzt werden, um ein detailliertes Bild des Privatlebens, der Persönlichkeit und der Interessen dieser Menschen zu zeichnen. „Viele Menschen interagieren mit Inhalten, die sich beispielsweise auf Gesundheit, Politik und sexuelle Orientierung beziehen, und es besteht auch die Gefahr, dass diese indirekt für gezieltes Marketing an sie genutzt werden“, warnte die norwegische Datenschutzbehörde DPA.
Datenschutzbedenken im Zusammenhang mit Threads, dem neuesten sozialen Netzwerk von Meta, das auch Benutzeraktivitäten verfolgt, einschließlich der Erfassung sensibler Informationen wie Finanz- und Gesundheitsdaten, erklären auch, warum der Dienst nicht in der EU eingeführt wurde.