Wenn es um Privatsphäre-Alpträume geht, ist Pinterest wahrscheinlich nicht die erste soziale App, die einem in den Sinn kommt. Der Einsatz von Tracking-Anzeigen durch die Visual Discovery Engine ist jedoch Gegenstand der jüngsten Beschwerde einer europäischen gemeinnützigen Organisation für Datenschutzrechte noybdie dem Unternehmen einen Verstoß gegen die Datenschutz-Grundverordnung (DSGVO) vorwirft, indem es die Zustimmung der Nutzer zur Nachverfolgung und Profilierung für Werbezwecke nicht eingeholt hat.
Die DSGVO sieht Strafen von bis zu 4 % des weltweiten Jahresumsatzes für bestätigte Verstöße vor, sodass solche Beschwerden zu erheblichen Sanktionen für Technologiegiganten führen können.
Während Pinterest im Allgemeinen unter dem Radar geflogen ist, ist im Hinblick auf Fragen des Online-Datenschutzes – insbesondere im Vergleich zu anderen Mainstream-Werbefinanzierten sozialen Diensten (wie Facebook) – daran zu erinnern, dass das Tracking und Profiling des Unternehmens im tragischen Fall von in den Mittelpunkt gerückt wurde der Selbstmord der britischen Schülerin Molly Russell im Jahr 2017. Mehrere Apps, darunter Pinterest, posteten in ihren sozialen Feeds Inhalte, die Selbstmord befürworten.
Ein britischer Gerichtsmediziner stellte in einem Bericht „Prevention of Future Deaths“ aus dem Jahr 2022 fest, dass „negative Auswirkungen von Online-Inhalten“ ein Faktor für ihren Tod waren. Dies war das Ergebnis der umfassenden Verfolgung und Profilierung von Nutzern durch die werbefinanzierten Plattformen.
In der von noyb unterstützten Beschwerde gegen Pinterest, die bei der französischen Datenschutzbehörde eingereicht wurde, wird der Plattform außerdem vorgeworfen, einer DSGVO-Datenzugriffsanfrage nicht nachgekommen zu sein. Es wurden keine Angaben zu den Kategorien der Daten des Beschwerdeführers gemacht, die an Dritte weitergegeben wurden.
Die DSGVO verlangt nicht nur, dass Unternehmen über eine gültige Rechtsgrundlage für die Verarbeitung personenbezogener Daten verfügen, sondern gewährt Einzelpersonen in der EU auch eine Reihe von Zugriffsrechten, beispielsweise die Möglichkeit, eine Kopie ihrer Daten anzufordern.
„Geheime Verfolgung“
Pinterest beruft sich auf eine Rechtsgrundlage für die Verarbeitung personenbezogener Daten für die Anzeigenausrichtung, die als berechtigtes Interesse (LI) bezeichnet wird. noyb argumentiert jedoch, dass diese Verwendung nicht mit der DSGVO vereinbar sei.
Es verweist auf ein Urteil des obersten Gerichts der EU vom Juli 2023, das dem Facebook-Eigentümer Meta die Möglichkeit verweigerte, sein eigenes Geschäft mit Überwachungsanzeigen über LI* zu betreiben – und behauptete, Pinterest müsse daher die Zustimmung der Europäer einholen, um sein eigenes Geschäft mit „personalisierten Anzeigen“ zu betreiben.
Derzeit verfolgt Pinterest, das regional rund 130 Millionen Nutzer hat, standardmäßig alle, um Anzeigen zu „personalisieren“.
Jeder Pinterest-Nutzer in Europa, der nicht auf diese Weise verfolgt und profiliert werden möchte, muss den aktiven Schritt unternehmen, der Verarbeitung zu widersprechen (die DSGVO verlangt, dass Nutzern die Möglichkeit gegeben wird, der Verarbeitung zu widersprechen, wenn LI die Rechtsgrundlage ist). als bejahend gefragt zu werden, ob sie damit einverstanden sind, dass ihre Informationen auf diese Weise verwendet werden, wie noyb der Meinung ist, dass dies hier der Fall sein sollte.
„Pinterest verfolgt heimlich europäische Nutzer, ohne sie um ihre Zustimmung zu bitten“, sagte Kleanthi Sardeli, Datenschutzanwältin bei noyb, in einer Stellungnahme zu der Beschwerde. „Dadurch kann die Social-Media-Plattform unrechtmäßig von den persönlichen Daten der Menschen profitieren, ohne dass sie es jemals erfahren.“
„Es scheint, dass Pinterest ein Urteil des Europäischen Gerichtshofs (EuGH) aktiv ignoriert, um seine Gewinne zu maximieren. Der EuGH stellte klar, dass personalisierte Werbung nicht auf berechtigten Interessen beruhen kann“, fügte Sardeli hinzu.
Problem beim Datenzugriff
Die Beschwerde von noyb gegen Pinterest wurde im Namen eines namentlich nicht genannten Nutzers eingereicht, der angeblich nicht bemerkt hatte, dass die Plattform sie ohne Zustimmung verfolgte.
Sie entdeckte das Tracking von Pinterest erst, als sie sich die Einstellungen für „Datenschutz und Daten“ ansah – dort stellte sie fest, dass „personalisierte Werbung“ standardmäßig aktiviert war. Sie stellte außerdem fest, dass die Plattform Informationen von „besuchten Websites“ und anderen Dritten für die Anzeige von Anzeigen nutzt und zu diesem Zweck ihre Aktivitäten auf der Website verfolgt. Kurz gesagt, Pinterest ist im Geschäft mit Überwachungsanzeigen tätig.
„Diese Praxis ist seit der Einführung der DSGVO im Jahr 2018 eindeutig rechtswidrig“, schrieb noyb in einer Pressemitteilung. „In seinem Urteil im Fall C252/21 Bundeskartellamt Im Jahr 2023 stellte der Gerichtshof der Europäischen Union (EuGH) erneut fest, dass personalisierte Werbung nicht auf ein berechtigtes Interesse gemäß Artikel 6 Absatz 1 Buchstabe f DSGVO gestützt werden kann.“
Der Beschwerdeführer hat außerdem einen Antrag auf Datenzugriff bei Pinterest gestellt. Laut Noyb enthielt die Kopie ihrer Daten, die sie erhalten hatte, jedoch keine Informationen über die Empfänger ihrer Daten.
„Selbst nach zwei weiteren Anfragen hat Pinterest keine Angaben zu den Datenkategorien gemacht, die an Dritte weitergegeben wurden“, hieß es und fügte hinzu: „Mit anderen Worten: Pinterest hat auf die Zugriffsanfrage gemäß Artikel 15 Absatz 1 nicht angemessen reagiert.“ (c) DSGVO.“
In der Beschwerde wird Pinterest dazu aufgefordert, alle für Anzeigen verarbeiteten Daten zu löschen und die Nutzer darüber zu informieren. Das Unternehmen sollte auch dem Datenzugriffsantrag des Beschwerdeführers nachkommen. Darüber hinaus drängt noyb auf eine Strafe in einer Höhe, die als Abschreckung für künftige Verstöße gegen die DSGVO dienen würde.
Pinterest wurde mit der Bitte um eine Antwort auf die Beschwerde kontaktiert.
Obwohl noyb diesen Fall in Frankreich eingereicht hat, wo die Regulierungsbehörde (CNIL) einen guten Ruf für die Durchsetzung von Datenschutzbeschwerden hat – auch im Zusammenhang mit der Frage der Einwilligung – ist es möglich, dass der Fall an die irische Datenschutzkommission weitergeleitet wird, da Pinterest über eine regionale Datenschutzbehörde verfügt Hauptsitz in Dublin. (Und aufgrund des „One-Stop-Shop“-Mechanismus der DSGVO zur Straffung der Überwachung von Beschwerden, die sich über EU-Grenzen erstrecken.)
Noyb teilte Tech jedoch mit, dass es die Beschwerde gegen das in den USA ansässige Unternehmen von Pinterest eingereicht habe und wies darauf hin, dass in der Datenschutzrichtlinie des Unternehmens sowohl Pinterest Europe als auch Pinterest, Inc (d. h. das US-Unternehmen) als gemeinsame Datenverantwortliche für die Verarbeitung genannt seien.
„Die CNIL ist daher die zuständige Behörde und sollte die Beschwerde nicht an Irland weiterleiten“, schlug es vor. „Aber wir wissen natürlich nicht, ob sie das überhaupt tun werden.“
* Meta hat seinerseits inzwischen auf eine einwilligungsbasierte Rechtsgrundlage für seine Tracking-Anzeigen umgestellt. Dabei handelt es sich jedoch um eine Version der „Einwilligung“, die Benutzer dazu zwingt, sich zu entscheiden, ob sie für ein werbefreies Abonnement bezahlen oder ihre Tracking-Anzeigen für den kostenlosen Zugang zu seinen Diensten akzeptieren möchten – auch dies ist nun Gegenstand von Datenschutz-, Verbraucherschutz- und Wettbewerbsbeschwerden. Aber das ist eine ganz andere Geschichte.