Christina Etteldorf

Irland: 225 Mio. EUR DS-GVO-Strafe gegen WhatsAppdurch irische Aufsicht angekündigt


ZD-Aktuell 2021, 05452   Mit Mitteilung v. 2.9.2021 hat die irische Datenschutzbehörde (Data Protection Commission – DPC) eine Entscheidung in demlangwierigen Verfahren gegen WhatsApp angekündigt, das bereitsim Dezember 2018 von der DPC eingeleitet worden war. Wegen verschiedenenVerstößen gegen die DS-GVO soll der Messaging-Dienst einBußgeld von 225 Mio. EUR zahlen. Damit ist nun das Endeeines Verfahrens in Sicht, das sich auch und vor allem um den Datenaustauschzwischen WhatsApp und dem Mutterkonzern Facebook dreht und nicht nurdie irische Aufsicht, sondern nationale Datenschutzbehörden inganz Europa sowie den Europäischen Datenschutzausschuss (EDSA) nachhaltig beschäftigt hat.

?

In ihrer PM spricht die DPC vor allem die Verletzung von Transparenzverpflichtungen in Bezugauf die Bereitstellung von Informationen für Nutzer*innen undNichtnutzer*innen des WhatsApp-Dienstes sowie den Datenaustausch zwischenWhatsApp und anderen Facebook-Unternehmen an. Trotz der Ankündigung des Facebook-Konzerns bei Übernahme von WhatsApp 2014, dass kein Datenaustausch zwischen den Unternehmen erfolgenwerde, war ein solcher doch in den vergangenen Jahren mehr und mehroffensichtlich geworden.

In verschiedenen Bestimmungen seiner FAQ und Privatsphäre-Richtliniehatte WhatsApp auch übereinen solchen Austausch zu verschiedenen Zwecken und in verschiedenemUmfang informiert. Die Änderung der Nutzungsbedingungen im Mai2021, mit deren Akzeptieren die Nutzer*innen gleichzeitig einer Nutzungihrer Daten durch Facebook zustimmensollten, hatte schließlich auch den Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit(HmbBfDI) alarmiert. Der HmbBfDI erließ ein vorübergehendes Verbot der Weiterverarbeitungvon WhatsApp-Nutzerdaten durch Facebook im Dringlichkeitsverfahren und erwirkte gleichzeitig eine verbindlicheDringlichkeitsentscheidung des EDSA. Hintergrund ist dabei vor allem, dass der HmbBfDI wie andere mitgliedstaatliche Behörden zwarzuständig, aber nicht federführende Aufsicht und daher i. R. d.Kooperations- und Kohärenzmechanismen der DS-GVO auf eine finaleEntscheidung der DPC angewiesenist. In seiner verbindlichen Dringlichkeitsentscheidung v. 12.7.2021 kam der EDSA im Wesentlichen zu dem Ergebnis,dass Verstöße gegen die DS-GVO in Bezug auf einen Datenaustauschzwischen Facebook und WhatsApp zwar sehr wahrscheinlich, abernicht mit Sicherheit im Dringlichkeitsverfahren festzustellen seien,sodass die DPC lediglich zuintensiveren Untersuchungen aufgefordert wurde.

Die nun angekündigte Entscheidung der DPC selbst ist zwar noch nicht veröffentlicht.Sie folgt aber einem Entscheidungsentwurf, den die DPC im Kohärenzverfahren an die anderennationalen Datenschutzbehörden weitergeleitet hatte und der Gegenstandeines verbindlichen Beschlusses des EDSA v. 28.7.2021 war. In dieser Entscheidung hatte der EDSA wiederum eine Reihe von begründetenBedenken der nationalen Aufsichtsbehörden gegen den irischenEntscheidungsentwurf aufgegriffen und u. a. eine Verpflichtungder DPC festgestellt, Verstößegegen die Informationspflichten aus Art. 13 Abs. 1 DS-GVO zu sanktionieren,und zudem Vorgaben in Bezug auf die Bemessung eines angemessenen Bußgeldsgemacht. Insbesondere wurde der DPC aufgegeben, dass sich die festgestellten zusätzlichen Verstößegegen die Art. 5 Abs. 1 lit. a (Rechtmäßigkeit, Verarbeitungnach Treu und Glauben, Transparenz), Art. 13 Abs. 1 lit. d (Informationen über die Datenverarbeitung auf Basis berechtigterInteressen) und Art. 13 Abs. 2 lit. e DS-GVO (Information über die Empfängerder Daten) in der Höhe des Bußgelds widerspiegeln.

Ein Einblick in die nun final festgestellten Verstößeund die Bemessung der Bußgeldhöhe, bleibt bis zu einer Veröffentlichungder Entscheidung vorbehalten. Neben der Verhängung einer Geldbußehat die DPC aber auch angekündigt,dass WhatsApp angewiesen wird,durch eine Reihe von Abhilfemaßnahmen – die wohl auchden Datenaustausch mit Facebook betreffen werden – Verarbeitungsprozesse in Einklang mitden Vorschriften zu bringen.

 

Ass. iur. Christina Etteldorf ist Wissenschaftliche Mitarbeiterinam Institut für Europäisches Medienrecht e. V. (EMR), Saarbrücken/Brüssel.