Über Marktmacht zur Datenmacht - Ist eine Machtbeschränkung möglich?

Was bisher geschah

2014 wurde der Instant-Messenger-Dienst WhatsApp von Facebook Inc. übernommen. Facebook Inc. sagte bei der Übernahme von WhatsApp zu, dass der Dienst unabhängig von Facebook bleiben und Nutzerprofile von WhatsApp und Facebook nicht abgeglichen werden. Bereits mit der Datenschutzerklärung v. 25.8.2016 ließ sich WhatsApp aber von seinen Nutzer*innen das Recht einräumen, regelmäßig Telefonnummern von Kontakten im Adressbuch des Nutzers an Facebook weiterzugeben. Nach Angaben von WhatsApp dienen seitdem die Telefonnummern - auch von Personen, die WhatsApp nicht nutzen - sowie weitere Daten wie die Nutzungsdauer dem Mutterkonzern Facebook u.a. der Personalisierung von Werbung.

Die aktuelle Änderung der Nutzungs- und Datenschutzbestimmungen kündigte WhatsApp zum 8.2.2021 an und fragt seit Beginn 2021 die Zustimmungen der Nutzer*innen in der App ab. Gleichzeitig verspricht das Unternehmen, dass sich entgegen der Angaben in den Bestimmungen für Nutzer*innen in der EU nichts ändern werde. Hier fände weiterhin kein Datentransfer für Werbezwecke statt, so WhatsApp via Twitter. Am 15.1.2021 gab das Unternehmen in einem Blogpost bekannt, dass "die neuen Optionen für die Kommunikation mit Unternehmen am 15. Mai verfügbar werden". Die Frist für die Nutzer*innen zur Zustimmung wurde dadurch effektiv auf den 15.5.2021 verlängert. Nachdem dieses Datum nun verstrichen ist, bleibt für Nutzer*innen, die ihre Zustimmung nicht erteilt haben, völlig unklar, ob, wie lange oder ggf. mit welchen Einschränkungen der Dienst zukünftig von ihnen genutzt werden kann. Bisher ist nicht bekannt, dass Accounts auf Grund fehlender Zustimmung gelöscht worden sind.

Es wäre somit nicht das erste Mal, dass das amerikanische Unternehmen ein Versprechen nicht einhält. Die Nutzung von WhatsApp ist kostenlos, aber der Facebook-Konzern hat für die Übernahme eine hohe Summe gezahlt. Entsprechend wird wie bei allen Facebook-Diensten die Strategie verfolgt, mit den Daten der Nutzer*innen Geld zu verdienen. Selbst wenn zu diesen Zwecken keine Kommunikationsinhalte verwendet werden sollten, so reichen Kommunikationsmetadaten - wie, wer, mit wem, wie lange, wann genau, wie oft und auf welche Art kommuniziert hat - aus, um detaillierte Kommunikations- und Beziehungsprofile zu erstellen.

Deutsche und europäische Datenschutzaufsicht

Durch die veränderten Bestimmungen von WhatsApp sollen Verarbeitungen von personenbezogenen Nutzerdaten legitimiert werden. Insofern ist zunächst an die nationalen und europäischen Datenschutzaufsichtsbehörden zu denken, wenn es um die Frage geht, wer effektiv gegen WhatsApp und Facebook vorgehen könnte.

Als WhatsApp 2016 die Nutzungsbedingungen änderte, um Datenweitergaben an Facebook Inc. zu legitimeren, ging der Hamburgische Datenschutzbeauftragte Prof. Dr. Johannes Caspar mit Erfolg dagegen vor. Er erließ eine sofort vollziehbare Anordnung, mit der Facebook untersagt wurde, die personenbezogenen Daten deutscher WhatsApp-Nutzer*innen zu erheben und zu speichern, soweit und solange keine den gesetzlichen Datenschutzvorschriften entsprechende Einwilligung vorliege. Facebook reichte Klage gegen diese Verfügung ein. Letztlich wurde die Verfügung durch das OVG Hamburg (ZD 2018, 230) in zweiter Instanz als rechtmäßig bestätigt.

Ab dem 25.5.2018 führte die Anwendbarkeit der DS-GVO zu einem Wechsel der zuständigen Aufsichtsbehörde für den amerikanischen Facebook-Konzern. Die Zuständigkeit in Europa richtet sich bei internationalen Konzernen nach der europäischen Hauptniederlassung. Dies ist die Facebook Ireland Ltd., sodass seitdem die irische Aufsichtsbehörde (DPC) die federführende Aufsichtsbehörde für Facebook ist. Unmittelbar nach dem Zuständigkeitswechsel informierte WhatsApp die Nutzer*innen in seinen Datenschutzrichtlinien darüber, dass WhatsApp derzeit nur wenige Informationskategorien mit den Facebook-Unternehmen teile. Ob und in welchem Umfang seit Mai 2018 bereits Daten von deutschen Personen von WhatsApp an Facebook weitergegeben werden, ist nicht bekannt. Es hätte bereits an dieser Stelle die Möglichkeit gegeben, eine Warnung gem. Art. 58 Abs. 2 lit. a DS-GVO auszusprechen, wovon die federführende irische Aufsichtsbehörde DPC keinen Gebrauch gemacht hat.

Gegen die aktuellen Änderungen der Nutzungs- und Datenschutzbestimmungen ist der Hamburgische Datenschutzbeauftragte nun erneut im Wege einer sofortigen Anordnung tätig geworden, da die irische Aufsichtsbehörde weiterhin untätig geblieben ist. Es wurde Facebook Ireland Ltd. für die Dauer von drei Monaten untersagt, personenbezogene Daten von WhatsApp-Nutzer*innen mit Wohnsitz in Deutschland an die Facebook Ireland Ltd. zu übertragen. Gleichzeitig wird ein sog. Dringlichkeitsverfahren gem. Art. 66 Abs. 2 DS-GVO eingeleitet, um eine endgültige Entscheidung des EDSA herbeizuführen.

Verbraucherzentrale

Gegen die Änderungen der Nutzungsbedingungen von WhatsApp im Jahr 2016 ist zudem die Verbraucherzentrale Bundesverband (vzbv) vorgegangen. Diese hat offiziell eine Abmahnung gegen WhatsApp ausgesprochen mit der Begründung, dass die Nutzerinformationen ohne eine rechtmäßige Einwilligung mit dem Mutterkonzern Facebook geteilt werden. Der vzbv hatte WhatsApp eine Frist gesetzt, eine Unterlassungserklärung abzugeben und die angeprangerten Verstöße zu korrigieren. Da WhatsApp auf die Abmahnung nicht reagiert hat, reichte der vzbv beim LG Berlin Klage gegen WhatsApp ein. Am 29.10.2019 war in diesem Rechtsstreit ein Termin zur mündlichen Verhandlung anberaumt, aber eine Entscheidung des LG Berlin ist bisher nicht bekannt.

Bundeskartellamt

Der Austausch von Nutzerdaten verschiedener Dienste des Facebook-Konzerns ist auch dem BKartA ein Dorn im Auge. Dieses hat mit B. v. 6.2.2019 den Facebook-Unternehmen Facebook Inc., Facebook Ireland Ltd. und der Facebook Germany GmbH untersagt, Nutzerdaten weiterhin aus den verschiedenen Diensten WhatsApp, Oculus, Masquerade und Instagram des Konzerns sowie von weiten Teilen des Internets, z.B. von Seiten, auf denen Facebooks Like- und Share-Buttons eingebaut sind, zu umfassenden Profilen zusammenzufügen (Az. B6-22/16). Der Konzern benötige für diese Datenverarbeitungen eine wirksame Einwilligung der Nutzer*innen. Auch gegen diesen Beschluss hat Facebook Klage eingereicht, sodass er noch nicht rechtskräftig ist. Der BGH (MMR 2021, 48) hat allerdings im einstweiligen Rechtsschutzverfahren entschieden, dass das BKartA seine Untersagung gegenüber Facebook vorerst durchsetzen darf, bis eine Entscheidung in der Hauptsache vorliegt.

Europäischer und nationaler Gesetzgeber

Instant-Messenger-Dienste dienen wie Telefongespräche, SMS-Nachrichten oder E-Mails der Individualkommunikation zwischen zwei oder mehr Personen. Dennoch gelten sie rechtlich aktuell noch nicht als TK-Dienste, deren Vertraulichkeit durch das Fernmeldegeheimnis gem. Art. 10 GG einen besonderen grundrechtlichen Schutz erfährt. In der EU wurde dieses Regelungsdefizit durch den europäischen Kodex für die elektronische Kommunikation (EKEK) beseitigt. Im Kodex wird klargestellt, dass sog. interpersonelle Kommunikationsdienste, zu denen laut Erwägungsgrund 17 EKEK Messenger-Dienste zählen, elektronische Kommunikationsdienste sind. Die nationale Umsetzung des EKEK erfolgt zunächst durch die Aufnahme der Begriffsdefinition in § 3 Nr. 24 TKG in der Fassung des am 22.4.2021 beschlossenen Telekommunikationsmodernisierungsgesetzes. Das am 20.5.2021 vom Bundestag beschlossene Telekommunikations-Telemedien-Datenschutz-Gesetz (TTDSG) führt auf Grund dieser Einordnung dazu, dass nunmehr für Messenger-Dienste strengere Datenschutzvorschriften in Bezug auf Kommunikationsinhalte und Kommunikationsmetadaten gelten.

Medien

Seit Beginn des Jahres wird den Änderungen der Nutzungs- und Datenschutzbestimmungen von WhatsApp große mediale Aufmerksamkeit geschenkt. Es gibt wohl keinen Beitrag, der sich positiv äußert, auch wenn unterschiedliche Kritikpunkte aufgegriffen werden. Es ist aber wohl unbestritten, dass die intensive Berichterstattung dazu geführt hat, dass die Nutzer*innen von WhatsApp den Inhalt des Pop-Up-Fensters zur Zustimmung deutlich bewusster und aufmerksamer gelesen haben, als dies ansonsten der Fall gewesen wäre.

Last but not least - die Nutzer*innen

WhatsApp hatte ursprünglich die Änderungen der Nutzungs- und Datenschutzbestimmungen, wie bereits dargelegt, für Anfang Februar 2021 geplant. Bereits Mitte Januar wurde eine deutliche Fristverlängerung bis zum 15.5.2021 durch WhatsApp mitgeteilt, da es massiven Widerspruch in der Community gab. Die Nutzer*innen verweigerten offensichtlich nicht nur die Zustimmung, sondern sie meldeten sich bei anderen Instant-Messenger-Diensten an - auch wenn nicht zwangsläufig gleichzeitig bei WhatsApp ab. Anscheinend werden andere Messenger-Dienste als Alternative wahrgenommen und Vorbereitungen getroffen, sollte WhatsApp seine Drohung wahr werden lassen, Accounts von Zustimmungsverweigerern zu löschen. WhatsApp hat zwar infolge dieser Reaktionen der Nutzer*innen die Änderungen der Nutzungs- und Datenschutzbestimmungen nicht zurückgenommen, aber die Nutzer*innen haben mit der Fristverlängerung und dem bisher noch nicht erfolgten Nutzungsbeschränkungen immerhin Etappensiege erzielt.

Ein Hoffnungsschimmer?

Vorausgesetzt Nutzer*innen möchten auf WhatsApp nicht verzichten, scheint es aus ihrer Perspektive ein Kampf von David gegen Goliath zu sein. Die verschiedenen parallelen Maßnahmen gegen WhatsApp und Facebook zeigen aber deutlich, dass mehrere Akteure über Mittel verfügen, die Marktmacht des Facebook-Konzerns zu begrenzen. Sofern alle an einem Strang ziehen, besteht Hoffnung, dass sich Facebook dem Druck beugen und die Nutzungs- und Datenschutzbestimmungen zurücknehmen wird. Dabei sollte nicht außer Acht gelassen werden, dass nicht nur in Deutschland, sondern auch in anderen Ländern außerhalb Europas gegen das verbraucher- und datenschutzunfreundliche Agieren von Facebook aufbegehrt wird.

In Brasilien forderten am 7.5.2021 die brasilianische Datenschutzbehörde ANPD, die nationale Verbraucherschutzbehörde Senacon, die Bundesstaatsanwaltschaft und die Wettbewerbsaufsichtsbehörde Cade in einer konzertierten Aktion WhatsApp und dessen Konzernmutter Facebook Inc. auf, die Einführung seiner neuen Datenschutzrichtlinien zu verschieben und den Dienst weiterhin ohne Einschränkungen für Nutzer*innen bereitzustellen, die die neue Richtlinie nicht akzeptieren. Die indische Regierung hat dem Messenger-Dienst ein Ultimatum gestellt, die Änderungen der Nutzungsbedingungen bis zum 25.5.2021 zurückzunehmen und hierzu Stellung zu nehmen. Sollte die Reaktion von WhatsApp nicht angemessen ausfallen, behalten sich die Behörden weitere Schritte vor. Es ist nicht auszuschließen, dass in weiteren Ländern aktuell Maßnahmen gegen WhatsApp ergriffen werden.

Zurzeit ist noch offen, wie dieser Machtkampf zwischen dem Facebook-Konzern und den verschiedenen Akteuren, die mit Gegenmaßnahmen reagieren, ausgeht. Aber allein die Tatsache, dass aus verschiedenen Richtungen und mit unterschiedlichen Mitteln auf den Facebook-Konzern eingewirkt wird, kann viel-leicht ausreichen, um eine ausreichende Anzahl von Nutzer*innen zu mobilisieren, die Zustimmung zu verweigern. Denn das Vertrauen seiner Nutzer*innen müsste Facebook mit seinen wiederholt nicht eingehaltenen Versprechungen längst verspielt haben.