Datenweitergabe von WhatsApp an Facebook Ireland: Volltext der Verfügung des Hamburgischen Beauftragten für den Datenschutz

Am 27.9.2016 gab der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) bekannt, dass man Facebook ab sofort den “Massendatenabgleich” mit WhatsApp verboten habe. Die Weitergabe von Nutzerdaten des Messengers, der seit 2014 zum Facebook-Konzern gehört, hatte Facebook bekanntermaßen zunächst selbst ausgeschlossen, nun aber im August 2016 mittels einer AGB-Änderung möglich zu machen versucht. WhatsApp-Nutzern wurde dabei nur “Widerspruchsrecht” hinsichtlich der Nutzung der Account-Daten durch Facebook eingeräumt. Unter anderem dies veranlasste die Hamburger Datenschützer zum Tätigwerden in Form der Verwaltungsverfügung, die mir aufgrund meiner Anfrage nach dem Hamburgischen Transparenzgesetz nun im Volltext vorliegt.

Der HmbBfDI moniert in der für sofort vollziehbar erklärten Verfügung vor allem diesen Punkt: Der beabsichtigte oder bereits begonnene Datenaustausch zwischen den beteiligten Unternehmen ist nur dann zulässig, wenn bei beiden beteiligten Unternehmen eine Rechtsgrundlage hierfür vorliegt. Eine wirksame Einwilligung jedoch fehle, da lediglich eine Art  “eingeschränktes Opt-Out” realisiert und den Nutzern per AGB-Änderung untergeschoben wurde.Wer wiederum den geänderten AGB nicht zustimmt, soll WhatsApp nicht mehr nutzen können.

 

Der obige Text legt zwar nahe, dass es möglich ist, der Weitergabe von Account-Daten an Facebook vollständig zu widersprechen. Dies ist jedoch wohl gar nicht der Fall. Die Auswahl betraf nur die Möglichkeit, die erweiterte Nutzung durch Facebook für Werbezwecke auszuschalten.

Aufgrund der Rechtsprechung des EuGH ist Maßstab für das Handeln Facebooks (auch) das deutsche Datenschutzrecht, denn Facebook betreibt seine deutsche Niederlassung in Hamburg. Dieser Aspekt ist es auch, der ausgerechnet den Hamburger (Landes-)Datenschutzbeauftragten nach dessen Ansicht zuständig für die Verfügung gegen Facebook Ireland werden lässt. Die Entscheidung der Datenschutzbehörde gibt Facebook auf, es ab sofort zu unterlassen, Daten von deutschen WhatsApp-Nutzern zu erheben und zu speichern und bereits gespeicherte Daten zu löschen. Der Entscheidungsteil der Verfügung lautet:

 

1. Der Facebook Ireland Ltd. wird untersagt, die personenbezogenen Daten deutscher WhatsApp-Nutzer zu erheben und zu speichern, soweit und solange eine gegenüber der Facebook Ireland Ltd. durch den jeweiligen Betroffenen erteilte und den Anforderungen des §4a BDSG entsprechende Einwilligung nicht vorliegt.

2. Sollten in Ziffer 1 genannte Daten durch die Faebook Irleand Ltd. ohne eine solche Einwilligung bereits erhoben und gespeichert worden sein, sind diese Daten in einer den Anforderungen des § 3 Abs. 4 Nr. 5 BDSG entsprechenden Weise zu löschen.

3. Die Facebook Ireland Ltd. wird verpflichtet, die zur Umsetzung der unter Ziffer 1 und 2 genannten Verpflichtungen erforderlichen technischen und organisatorischen Maßnahmen sowie die hierfür zu erteilenden Weisungen gegenüber ihren Auftragsverarbeitern, insbesondere der Facebook Inc. zu dokumentieren und die Dokumentation dem Hamburgischen Beauftragten für den Datenschutz und Informationsfreiheit nach Ablauf spätestens einer woche nach Bestandskraft des Bescheides vorzulegen.

4. Die sofortige Vollziehung dieser Anordnung wird angeordnet.

Im Begründungsteil setzt sich die Verfügung recht ausführlich mit möglichen Rechtsgrundlagen für die Erhebung und Speicherung der Daten deutscher WhatsApp-Nutzer auseinander (Einwilligung, § 28 Abs. 3, § 28 Abs. 1 Nr. 2 BDSG). Eine Einwilligung gegenüber Facebook fehle schon deshalb, weil Erklärungen der Nutzer von WhatsApp ohnehin nur gegenüber WhatsApp abgegeben werden und inhaltlich auch nicht ausreichend sind.

Zum Volltext der Verfügung.

Widerspruch und Antrag auf Wiederherstellung der aufschiebenden Wirkung

Facebook hat Widerspruch gegen die Verfügung eingelegt. Allerdings hatte die Datenschutzbehörde die sofortige Vollziehung angeordnet, was zur Folge hat, dass der Widerspruch zunächst keine aufschiebende Wirkung hat. Um diese Herzustellen, ist ein (Eil-)antrag nach § 80 Abs. 5 VwGO (i.V.m. § 6 Abs. 3 AG-VwGO HH) notwendig, mithilfe dessen erst einmal die aufschiebende Wirkung des Widerspruchs wieder hergestellt würde. Wie u.a. Heise Online berichtet, hat Facebook diesen am 19.10.2016 bei dem Hamburgischen Verwaltungsgericht eingereicht und will sich bis zur Entscheidung des Gerichts an die Verfügung halten. Vermutlich ist dies aber nur der Auftakt eines Gangs durch die Instanzen, das ULD hat ja vorgemacht, wie’s geht. Die causa “Facebook-Fanpages” liegt derzeit beim EuGH.

Nicht nur die Hamburger Datenschutzbehörde, auch der Verbraucherzentrale Bundesverband (VZBV) gehen gegen Facebook wegen der in den geänderten AGB enthaltenen Ermächtigung zur Datenweitergabe vor. Erwartungsgemäß hat Facebook auf eine Abmahnung des VZBV  jedoch keine Unterlassungs- und Verpflichtungserklärung hinsichtlich der Verwendung der monierten AGB-Klausel abgegeben, so dass nächster Schritt der Verbraucherschützer hier nun eine Klage vor dem Landgericht wäre.

Zum Vorgehen der Hamburger Datenschutzbehörde gegen Google siehe auch folgender Beitrag:
Untersagung von „Datenverschnitt“: Volltext der Verfügung des Hamburgischen Landesdatenschutzbeauftragten „HmbBfDI“ gegen Google liegt vor