Meta hat angekündigt, personalisierte Werbung bei Facebook und Instagram in Zukunft nur noch aufgrund einer Einwilligung der Nutzer auszuspielen. Werden Facebook, Instagram und Co. zukünftig etwa datenschutzkonform? Der Artikel erläutert den aktuellen Sachstand.
Der Inhalt im Überblick
Ankündigung von Meta in der EU auf Einwilligung zu setzen
Anfang August 2023 hat Meta angekündigt, die Rechtsgrundlage für das Ausspielen personalisierter Werbung ändern zu wollen:
„Today, we are announcing our intention to change the legal basis that we use to process certain data for behavioural advertising for people in the EU, EEA and Switzerland from ‘Legitimate Interests’ to ‘Consent’.”
Berief sich Meta bisher auf das berechtigte Interesse nach Art. 6 Absatz 1 Satz 1 lit. f) DSGVO, soll zukünftig auf die Einwilligung der Nutzer abgestellt werden. Mit diesem Schritt will Meta sowohl den Anforderungen der irischen Datenschutzkommission, der Datenschutz-Grundverordnung sowie der EU-Verordnung „Digital Markets Act“ (DMA) gerecht werden. In der Ankündigung findet Großbritannien keine Erwähnung, sehr zum Missfallen der ICO, die derweil immer noch über eine „angemessene Antwort“ nachdenkt.
Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit äußerte sich auf Anfrage von netzpolitik.org angesichts dieser Ankündigung von Meta eher skeptisch. Der Schritt ginge nicht weit genug und lasse vermuten, dass weiterhin Verarbeitungen ohne ausreichende Rechtsgrundlage erfolgen würden.
Woher kommt der Sinneswandel beim Datenschutz?
Zu Beginn der DSGVO im Jahr 2018 berief sich Meta (damals noch Facebook) zunächst auf die Rechtsgrundlage der Vertragserfüllung nach Art. 6 Abs. 1 Satz 1 lit. b) DSGVO. Meta war der Auffassung, dass es gegenüber seinen Nutzern vertraglich verpflichtet sei, diese zu tracken und ihnen personalisierte Werbung auszuspielen. Es soziales Netzwerk müsse individuell auf die Nutzer zugeschnitten sein.
Hiergegen legte die Datenschutzorganisation noyb Beschwerde ein. Daraufhin entschied der Europäische Datenschutzausschuss (EDSA) Ende des Jahres 2022, dass Meta mit dieser Praxis die DSGVO umgehen wollte. Folge war ein Bußgeld in Höhe von 390 Millionen Euro der für Meta zuständigen irische Aufsichtsbehörde. Die Datenverarbeitung, wozu hier auch das Ausspielen personalisierter Werbung gehörte, könne nicht auf die Rechtsgrundlage der Vertragserfüllung gestützt werden. Zudem wurde Meta von der irischen Datenschutzbehörde angewiesen, seine Datenverarbeitungsvorgänge innerhalb von 3 Monaten mit der DSGVO in Einklang zu bringen.
In der Folge argumentierte Meta, es habe ein „berechtigtes Interesse“ an der Verarbeitung von Nutzerdaten und beruft sich auf Art. 6 Abs. 1 Satz 1 lit. f) DSGVO als Rechtsgrundlage. Seitdem bietet Meta immerhin eine Opt-out-Option für seine Dienste an. Allerdings recht gut versteckt.
Doch auch diese Rechtgrundlage kann nicht überzeugen. So legt eine Entscheidung des Europäischen Gerichtshofs Anfang Juli 2023 nahe, dass die Datennutzung auch nicht auf das berechtigte Interesse gestützt werden kann. Zukünftig muss Meta seine Nutzer daher wohl um Erlaubnis fragen.
Verbot personalisierter Werbung: Norwegen reicht‘s!
Der norwegischen Datenschutzbehörde Datatilsynet ist zwischenzeitlich der Geduldsfaden gerissen: So hat diese Meta im Juli 2023 verboten, auf seinen Online-Diensten Facebook und Instagram personalisierte Werbung für norwegische Nutzer auszuspielen. Dieses Verbot greift seit Anfang August und gilt zunächst für drei Monate. Meta solle seine Dienste anpassen und weiter anhaltende Rechtsverletzungen abstellen. Begründet wird dies damit, dass vielen Nutzern gar nicht vollständig bewusst sei, welche Mengen an Daten Meta für eine umfangreiche Profilbildung nutze.
Zwar ist grundsätzlich die irische Aufsichtsbehörde für Meta zuständig, da das Unternehmen dort seinen europäischen Hauptsitz hat. Doch können nationale Behörden in Notfällen temporär eigene Maßnahmen ergreifen.
„We consider that the criteria for acting urgently in this case are fulfilled, in particular because Meta has recently received both a decision and a judgment against them to which they have not aligned themselves with. If we don’t intervene now, the data protection rights of the majority of Norwegians would be violated indefinitely.”
Da außer der Ankündigung von Meta bei dem Ausspielen von Werbung auch in Norwegen noch nichts passiert ist, wird seit dem 14. August für die Dauer des Verbots täglich eine Strafe von ca. 90.000 Euro fällig.
Meta-Plattformen bald ohne personalisierte Werbung?
Doch wie sieht die Zukunft für Meta aus, wenn auf Plattformen wie Facebook oder Instagram bald keine oder kaum noch personalisierte Werbung mehr zu finden sein wird? Unterm Strich würden Meta dadurch wohl erhebliche Werbeeinnahmen wegbrechen. Denkbar wäre daher, dass Meta zukünftig eine trackingfreie, aber kostenpflichtige Variante seiner Dienste anbietet. So wie man es bereits bei zahlreichen Online-Medien findet, sogenannte Pur-Abo-Modelle. Möglich wäre aber auch, dass eine Nutzung nur noch dann möglich ist, wenn man auch dem Tracking zustimmt. Bleibt abzuwarten, wie Meta das Erfordernis der Einwilligung im Detail datenschutzkonform umsetzen und wie sich dies auf die Nutzung der Plattformen auswirken wird.
