BfDI will Klärung des WhatsApp-Verfahrens

Am 12.01.2024 nimmt der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) erneut Stellung zum Messengerdienst WhatsApp. Der BfDI will in diesem Zusammenhang die Klärung des bereits 2018 eingeleiteten WhatsApp-Verfahrens. Vor einem Jahr hat die irische Datenschutzaufsichtsbehörde (DPC) hierzu einen Beschluss erlassen. Nach fast sechs Jahren gibt es jedoch weiterhin offenen Fragen, die einer Klärung bedürfen.

Was bisher geschah:

Die Beschwerde

Im Zuge der Einführung der Datenschutzgrundverordnung (DSGVO) bekamen WhatsApp-Nutzer die Meldung, dass sie den geänderten Nutzungsbedingungen zustimmen müssen oder anderenfalls den Dienst nicht weiterverwenden könnten. Schon am 25.05.2018 wurde hierüber eine Beschwerde gegen WhatsApp eingereicht. Hierin wurde dem Messengerdienst das Erzwingen einer Einwilligung unterstellt. Die Alternative zwischen Einwilligung und Nichtnutzung sei nämlich keine echte freie Wahlmöglichkeit. Auch sei nicht ersichtlich auf welcher Rechtsgrundlage die verschiedenen Datenverarbeitungen beruhen würden. Der BfDI hatte als zuständige Datenschutzaufsichtsbehörde die Beschwerde an die federführend zuständige irische DPC weitergeleitet.

Der Verfahrensgang mit Beschlussentwurf

Das Verfahren vor der irischen Datenschutzaufsichtsbehörde zog sich über fast vier Jahre. Am 1.04.2022 schickt die DPC dann endlich einen Beschlussentwurf an die europäischen Datenschutzaufsichtsbehörden. Dieser stieß jedoch auf Widerspruch von Deutschland, Finnland, Frankreich, Italien, den Niederlanden und Norwegen. Diese legten gegen den Beschlussentwurf Einspruch ein.

Das Streitbeilegungsverfahren

Da über bedeutende Aspekte der Einsprüche kein Einvernehmen erzielt werden konnte, wurde ein Streitbeilegungsverfahren vor dem Europäischen Datenschutzausschuss (EDSA) eingeleitet. Im Rahmen dieses Verfahrens erließ der EDSA am 5.12.2022 einen verbindlichen Beschluss 5/2022. Darin bestätigte der EDSA die Ansicht der Einspruchseinleger und stellte fest, dass WhatsApp rechtswidrig personenbezogene Daten verarbeitet hat. Die DPC wurde angewiesen, ihren Beschluss entsprechend anzupassen. Einen entsprechend abgeänderten Beschluss hat die DPC vor etwas mehr als einem Jahr am 12.01.2023 erlassen.

Forderung des BfDI: Die ausstehende Bewertung

Was nun noch fehlt ist eine abschließende Bewertung, ob die von WhatsApp in Folge des Beschlusses der DPC ergriffenen Maßnahmen ausreichen, um den Dienst datenschutzkonform zu gestalten. Darüber hinaus hat der EDSA die DPC beauftragt, zu prüfen, ob das Telekommunikationsunternehmen personenbezogene Daten für Marketing und Statistik an Dritte weitergibt oder Daten für verbundene Unternehmen verarbeitet. Im Anschluss soll die DPC kontrollieren, ob dies datenschutzkonform geschieht. Auch diese Untersuchungen sind noch nicht abgeschlossen. In einer Pressemitteilung vom 12.01.2024 setzt sich der BfDI für eine umfassende und schnelle Bearbeitung der offenen Punkte ein.

Fazit

Es ist verständlich, dass der BfDI eine vollständige Klärung der offenen Fragen des WhatsApp-Verfahrens will und sich für einen zügigen Abschluss des Verfahrens einsetzt. Die Komplexität des Falls verdeutlicht die Herausforderungen im Umgang mit Datenschutz bei global agierenden Plattformen wie WhatsApp. Die Forderung nach transparenten Datenschutzpraktiken und einer klaren Rechtsgrundlage für Datenverarbeitungsvorgänge bleibt bestehen. Ob die Forderung des BfDI dem Verfahren neuen Schwung verleihen wird, bleibt abzuwarten.