Merken Sie sich Ihren Kalender vor. Europäische Freunde: Der 4. Juli könnte bald als Tag der Unabhängigkeit von Metas Überwachungskapitalismus gefeiert werden … Ein lang erwartetes Urteil des Gerichtshofs der Europäischen Union (EuGH) scheint umfassend zunichte gemacht worden zu sein Die Fähigkeit des Social-Media-Riesen, weiterhin gegen das EU-Datenschutzrecht zu verstoßen, indem er den Nutzern die freie Wahl bei der Nachverfolgung und Profilerstellung verweigert.
Das Urteil geht auf eine bahnbrechende Anordnung des Bundeskartellamts (BKartA) zurück, das jahrelang das Geschäft von Facebook untersuchte und dabei plädierte, dass eine Verletzung der Privatsphäre auch als ausbeuterischer Wettbewerbsmissbrauch behandelt werden sollte.
In seiner Anordnung vom Februar 2019 forderte das FCO Facebook (wie Meta damals noch war) auf, die Kombination von Nutzerdaten auf seinen eigenen sozialen Plattformen ohne deren Zustimmung einzustellen. Meta versuchte, die Anordnung vor den deutschen Gerichten zu blockieren – was schließlich im März 2021 zur Vorlage des sogenannten „Superprofiling“ von Meta an den EuGH führte.
Jetzt haben wir die Meinung des obersten Gerichts und, nun ja, es wird im Meta-Hauptquartier keine Feierlichkeiten auslösen, so viel ist sicher.
Der EuGH hat nicht nur zugestimmt, dass Wettbewerbsbehörden den Datenschutz in ihre kartellrechtlichen Beurteilungen einbeziehen können (was seltsam klingt, aber wirklich wichtig ist, da der Weg zu einer wirksamen Überwachung der Plattformmacht durch gemeinsames Arbeiten und nicht durch Regulierungssilos erfolgt), sondern er hat auch signalisiert, dass die Zustimmung der Schlüssel zum Erfolg ist einzige geeignete Rechtsgrundlage für die Tracking- und Profiling-gesteuerten „personalisierten“ Inhalte und verhaltensbezogenen Werbung, die Meta monetarisiert.
Hier ist der relevante Teil der Pressemitteilung:
Was den von Meta Platforms Ireland durchgeführten Verarbeitungsvorgang allgemeiner betrifft, einschließlich der Verarbeitung „nicht sensibler“ Daten, prüft das Gericht als Nächstes, ob dieser unter die in der DSGVO dargelegten Rechtfertigungsgründe fällt, die die Verarbeitung der durchgeführten Daten erlauben in Ermangelung der Einwilligung der betroffenen Person rechtmäßig erfolgen. In diesem Zusammenhang stellt es fest, dass die Notwendigkeit der Erfüllung des Vertrags, dessen Vertragspartei die betroffene Person ist, die fragliche Praxis nur dann rechtfertigen kann, wenn die Datenverarbeitung objektiv unerlässlich ist, so dass der Hauptgegenstand des Vertrags nicht erreicht werden kann wenn die betreffende Verarbeitung nicht erfolgt. Vorbehaltlich der Überprüfung durch das nationale Gericht äußert der Gerichtshof Zweifel daran, ob personalisierte Inhalte oder die konsistente und nahtlose Nutzung der eigenen Dienste der Meta-Gruppe diese Kriterien erfüllen können.
Eine Einwilligung nach EU-Datenschutzrecht bedeutet, dass Nutzern die Möglichkeit geboten werden muss, diese Art der Nachverfolgung zu verweigern, ohne auf den Zugriff auf den Kerndienst verzichten zu müssen. Und genau diese Wahl hat Meta seinen Nutzern in der Vergangenheit verwehrt. (Obwohl – Überraschung, Überraschung! – nur wenige Wochen vor dem EuGH-Urteil, zweifellos im Vorgriff auf das, was kommen würde, kündigte das Unternehmen neue Kontrollen an, mit denen Benutzer das Cross-Site-Tracking einschränken können, wenn auch mit einer gewissen Einschränkung der Funktionalität, wenn sie dies ablehnen Daher bleibt abzuwarten, ob Metas Versuch, der Entscheidung zuvorzukommen, weit genug gegangen ist.)
Im vergangenen Jahr vertrat ein Berater des EuGH eine ähnliche Auffassung zum Inhalt der Meta-Superprofiling-Verweisung. Doch während die Stellungnahme des Generalanwalts vor dem Gerichtshof nicht rechtsverbindlich war, ist dies beim heutigen Urteil der Fall Bona Fide hartes Gesetz. Und das bedeutet, dass weder Meta noch die EU-Datenschutzbehörden daran vorbeikommen können.
Letzteres ist wichtig, da die Zurückhaltung bestimmter Datenschutzbehörden, die Datenschutz-Grundverordnung (DSGVO) des Blocks energisch gegenüber regelverletzenden Technologiegiganten durchzusetzen, die sie eigentlich beaufsichtigen sollen, zu Gerüchten geführt hat, dass die Verordnung gescheitert sei – oder zumindest hoffnungslos verhindert worden sei Forum-Shopping.
Es besteht kein Zweifel daran, dass die Durchsetzung der DSGVO bei Big Tech in der Tat ein sehr mühsamer Prozess war. Eine wichtige Entscheidung der irischen Datenschutzbehörde DPA im Januar entschied schließlich gegen Metas Behauptung, sich bei der Durchführung seiner verhaltensbezogenen Werbung auf vertragliche Notwendigkeiten zu berufen. Es dauerte jedoch mehr als vier Jahre, seit die ursprüngliche Beschwerde eingereicht wurde, bis zu dieser Anordnung gelangte (gegen die Meta nun ebenfalls Berufung einlegt, sodass das Verfahren auch noch nicht abgeschlossen ist).
Dann, im März, kündigte Meta als Reaktion auf eine Einhaltungsfrist in der Anordnung der irischen Datenschutzkommission (DPC) an, dass es die Rechtsgrundlage, die es für die Verarbeitung von Daten für Anzeigen beansprucht, auf eine andere, nicht auf Einwilligung basierende Grundlage umstellen werde – bekannt als berechtigtes Interesse.
Nach Jahren der Beschwerden wegen Datenschutzmissbrauchs, behördlicher Untersuchungen und (eventueller) Durchsetzung entschied sich Meta dennoch dafür gegen Es bietet den Nutzern eine klare Ja/Nein-Wahl bei der Nachverfolgung – vermutlich in der Erwartung, dass es den Überwachungsprozess seines LI-Anspruchs für etwa weitere vier Jahre ausrollen kann (und eine Reform seines datenschutzfeindlichen Geschäftsmodells vermeiden kann).
Allerdings scheint der EuGH dieser neuesten DSGVO-Umgehungstaktik einen Strich durch die Rechnung gemacht zu haben, da die Datenschutzbehörden der EU die Anweisung des Gerichts nicht ignorieren können. Irland sollte also nicht einfach tatenlos zusehen und Meta das tun lassen, indem es sich auf eine Rechtsgrundlage aus berechtigtem Interesse beruft, die der EuGH in diesem Zusammenhang als unangemessen bezeichnet hat. Und wenn Nutzer dazu befugt sind, den Überwachungskapitalismus zu leugnen, tun sie dies in Scharen. (Siehe z. B.: Die App-Tracking-Transparenz von Apple wirkt sich auf das Anzeigengeschäft von Meta aus.)
Die Klarheit des EuGH darüber, wie die DSGVO auf werbefinanzierte Geschäftsmodelle wie das von Meta angewendet werden muss, könnte dieses Kapitel des Überwachungskapitalismus endgültig abschließen.
In seiner Pressemitteilung zum Urteil schreibt das Gericht (mit Nachdruck): „[T]Die personalisierte Werbung, mit der das soziale Online-Netzwerk Facebook seine Aktivitäten finanziert, kann die Verarbeitung der betreffenden Daten ohne Einwilligung der betroffenen Person nicht als berechtigtes Interesse von Meta Platforms Ireland rechtfertigen.“
Wir haben das irische DPC um eine Antwort auf das EuGH-Urteil gebeten und werden diesen Bericht aktualisieren, sobald wir eine Antwort erhalten.
Der EuGH hat sich auch dafür entschieden, die Notwendigkeit hervorzuheben, sicherzustellen, dass die Qualität der Einwilligung gültig ist – d Angesichts des Ungleichgewichts zwischen der Marktmacht eines marktbeherrschenden sozialen Netzwerks und seinen Nutzern stellt das Unternehmen einen unterdurchschnittlichen Dienst dar, der den Zugriff auf seine Daten verweigert, und stellt in seiner Pressemitteilung fest, dass „dies Sache des Betreibers ist, dies zu beweisen“.
Darüber hinaus hat das Gericht mit der Entscheidung des Gerichts bestätigt, dass Meta sich nicht einfach der gesetzlichen Verpflichtung entziehen kann, eine ausdrückliche Zustimmung der Benutzer zur Verarbeitung sogenannter sensibler Kategorien personenbezogener Daten (wie politische Überzeugungen, sexuelle Orientierung, Rasse oder ethnische Herkunft usw.) einzuholen Die Tatsache, dass Benutzer Webdienste besuchen oder mit ihnen interagieren, bedeutet nicht, dass sie ihre sensiblen Daten offensichtlich öffentlich gemacht haben (wodurch die Verpflichtung zur Einholung einer ausdrücklichen Einwilligung aufgehoben würde).
Dieser Teil des Urteils könnte eine neue Welle von Rechtsstreitigkeiten gegen Meta auslösen, weil das Unternehmen sensible Daten der Nutzer verarbeitet, ohne deren ausdrückliche Zustimmung einzuholen, da Facebook eindeutig Unmengen solcher Dinge verarbeitet – immer ohne explizit um Erlaubnis zu bitten.
Nochmals aus der Pressemitteilung des EuGH:
Darüber hinaus stellt das Gericht fest, dass die von Meta Platforms Ireland durchgeführte Datenverarbeitung offenbar auch besondere Kategorien von Daten betrifft, die unter anderem Aufschluss über die Rasse oder ethnische Herkunft, politische Meinungen, religiöse Überzeugungen oder sexuelle Orientierung geben können und deren Verarbeitung ist nach der DSGVO grundsätzlich verboten. Es wird Sache des nationalen Gerichts sein, festzustellen, ob einige der erhobenen Daten tatsächlich die Offenlegung dieser Informationen ermöglichen, unabhängig davon, ob diese Informationen einen Nutzer dieses sozialen Netzwerks oder eine andere natürliche Person betreffen.
Max Schrems, der Anwalt und Aktivist für Datenschutzrechte, der hinter der ursprünglichen Beschwerde gegen Metas „erzwungene Einwilligung“ stand, hat heute den „Tag der DSGVO-Krise für Meta“ ausgerufen – mit der Begründung, das Gericht habe alle „Schlupflöcher“ der Anwälte des Unternehmens geschlossen versuchte in den letzten fünf Jahren zu pressen.
In einer ausführlicheren Erklärung: noyb – Schrems gemeinnützige Organisation für Datenschutzrechte – sagte, der EuGH habe den DSGVO-Ansatz von Meta für „illegal“ erklärt.
„Noyb muss sich noch mit den Einzelheiten dieses massiven Urteils befassen. Aus der Live-Lektüre der Holding geht hervor, dass es Meta/Facebook untersagt war, für entscheidende Operationen, auf die es zur Erzielung von Gewinnen in Europa angewiesen ist, etwas anderes als die Zustimmung zu verwenden“, schrieb Schrems weiter und argumentierte, dass Meta nun „das Richtige anstreben“ müsse Zustimmung und kann seine beherrschende Stellung nicht dazu nutzen, Menschen zu zwingen, Dingen zuzustimmen, die sie nicht wollen.“
„Dies wird sich auch positiv auf die anhängigen Rechtsstreitigkeiten zwischen noyb und Meta in Irland auswirken“, fügte er hinzu – und bezog sich dabei auf die oben erwähnte Entscheidung Irlands zur Rechtsgrundlage von Meta für Anzeigen.
BEUC, die europäische Verbraucherorganisation, begrüßte das EuGH-Urteil ebenfalls und meinte, es ebne „den Weg für eine wirksamere Durchsetzung gegen marktbeherrschende digitale Plattformen“.
Meta hat seinerseits noch keine große Antwort gegeben. „Wir bewerten die Entscheidung des Gerichts und werden zu gegebener Zeit mehr zu sagen haben“, sagte ein Unternehmenssprecher.
Meta wies auch auf eine frühere Zeit hin Blogeintrag, veröffentlicht nach der Feststellung eines DSGVO-Verstoßes im Januar und aktualisiert im März, als es auf LI umgestellt wurde, wo das Unternehmen damals schrieb: „Um den Anforderungen gerecht zu werden, ändern wir ab Mittwoch, dem 5. April, die Rechtsgrundlage, die wir für die Verarbeitung bestimmter Erstanbieterdaten in Europa verwenden.“ von der „vertraglichen Notwendigkeit“ zum „berechtigten Interesse“. Die DSGVO besagt eindeutig, dass es keine Hierarchie zwischen den Rechtsgrundlagen gibt und keine davon als gültiger angesehen werden sollte als die andere.“