Kategorie: Social Media
9. Juni 2022
Im Januar dieses Jahres hatte die EU-Komission zusammen mit dem Netzwerk für Verbraucherschutz (CPC) gegen WhatsApp eine Forderung erhoben.
In dieser war nach Aufklärung hinsichtlich der Nutzungsbedingungen sowie der Datenschutzregeln von 2021 verlangt worden. Denn WhatsApp hatte Anfang des vergangenen Jahres von seinen Nutzern gefordert, dass diese den neuen Datenschutzerklärung zustimmen sollen, um den Dienst auch weiterhin nutzen zu können. Unter den Nutzern waren diese Regelungen stark umstritten und führten zu einem großen Nutzerzuwachs bei alternativen Messengern wie beispielsweise Signal.
Kritisch bei der neuen Datenschutzerklärung wurde vor allem die mögliche Datenweitergabe von WhatsApp an Facebook beäugt. WhatsApp verneinte zwar die Weitergabe und sprach von einem Missverständnis, jedoch wurde in der überarbeiteten Datenschutzerklärung explizit die Weitergabe von Daten an Facebook genannt.
Die bisherigen Erläuterungen von WhatsApp, der Tochterfirma des US-Konzerns Meta (früher Facebook), reichen der EU-Kommission nun nicht mehr aus.
Die EU-Kommission hat WhatsApp eine Frist von einem Monat gesetzt, in welcher das Unternehmen den Verbraucherschutzbehörden nachweisen soll, dass seine Praktiken den Vorgaben des EU-Verbraucherschutzrechts entsprechen. Justizkommissar Didier Reynders erklärte: „WhatsApp muss sicherstellen, dass die Nutzer verstehen, was sie akzeptieren und wie ihre personenbezogenen Daten für kommerzielle Zwecke verwendet werden, vornehmlich um Geschäftspartnern Dienstleistungen anzubieten. Ich wiederhole, dass ich von WhatsApp erwarte, dass es die EU-Vorschriften, die die Verbraucher und ihre Grundrechte schützen, vollständig einhält.„
WhatsApp solle unter anderem darlegen, auf welche Weise das Unternehmen mit den Daten seiner Nutzer Geld verdiene. Ebenfalls will die Kommission wissen, wie WhatsApp bei künftigen Updates seiner Nutzungsbedingungen, den Nutzern vermitteln wird, welche Auswirkungen die Updates für die Verbraucher haben. Nur auf dieser Basis könne eine freie Entscheidung über die weitere Nutzung des Dienstes möglich sein. Des Weiteren wird die unverständliche Formulierung der aktuellen Nutzungsbedingungen von der EU-Kommission moniert. Die Verbraucher sind so nicht in der Lage, nachvollziehen zu können, was mit den gespeicherten Daten passiert. Zudem soll der Dienst explizit darauf hinweisen, wenn mit den erhobenen Daten durch kommerzielle Nutzung Einnahmen erzielt werden.
Es bleibt abzuwarten, ob WhatsApp der Forderung der EU-Kommission innerhalb der einmonatigen Frist nachkommen wird.
29. April 2022
Verbraucherschutzverbände können gegen Verletzungen des Schutzes personenbezogener Daten stellvertretend für einzelne Nutzer klagen. Demnach müssen sich Facebook und perspektivisch auch andere Digitalkonzerne nun in der Zukunft Verbandsklagen stellen. Nach Ansicht der Richter ist eine solche Klageunabhängig von einer Verletzung eines subjektiven Rechts einer bestimmten Person und ohne entsprechenden Auftrag zulässig. Dies hat der Europäische Gerichtshof (EuGH) am 28.04.2022 entschieden.
Hintergrund der Entscheidung
Der EuGH entscheidet auf Vorlage des deutschen Bundesgerichtshofes (BGH) hin. In dem Verfahren zwischen dem Bundesverband der Verbraucherzentralen (vzbv) und dem Konzern Meta geht es darum, ob ein potenzieller Datenschutzverstoß des Betreibers eines sozialen Netzwerks auch wettbewerbsrechtliche Unterlassungsansprüche begründet und dementsprechend von Verbraucherschutzverbänden durch eine Klage vor den Zivilgerichten verfolgt werden kann.
Der Rechtsstreit dreht sich um das von Facebook betriebene App-Zentrum, über das kostenlos Online-Spiele von Drittanbietern von Facebook bereitgestellt werden. Der Nutzer erteilt hier mit dem Button „Sofort spielen“ den Anbietern der Spiele seine Einwilligung, viele persönliche Daten zu verarbeiten und auszuwerten. Nach Ansicht des Verbraucherverbands werde diese Einwilligung nicht auf Grundlage einer verständlichen und präzisen Information über die Datenverarbeitungen eingeholt. Der Verbraucherverband sieht deshalb keine wirksame Einwilligung in die Datenverarbeitung. Er sieht in diesem Vorgehen zudem einen wettbewerblichen Verstoß.
Der BGH hatte grundsätzlich keine Zweifel daran, dass ein Vorgehen mittels wettbewerbsrechtlicher Unterlassungsansprüche begründet sein könnte. Zweifel meldete der BGH an der Zulässigkeit der Geltendmachung durch den Verband an. Schließlich seien die Aufsichtsbehörden dafür zuständig, die Einhaltung der Europäischen Datenschutz-Grundverordnung (DGSVO) zu überprüfen.
Inhalt der Entscheidung
Der EuGH stellt nun fest, dass die DSGVO einer nationalen Regelung nicht entgegensteht, nach der ein Verband zur Wahrung von Verbraucherinteressen gegen den mutmaßlichen Datenschutzverletzer eine Art Sammelklage erheben kann. Er urteilte, dass ein Verband zur Wahrung von Verbraucher:inneninteressen wie der vzbv unter den Begriff einer im Sinne der DSGVO klagebefugten Einrichtung falle, da er ein im öffentlichen Interesse liegendes Ziel verfolge. Ein Auftrag betroffener Nutzerinnen oder Nutzer sei hierfür nicht erforderlich. Es reiche aus, wenn die Rechte „identifizierbarer natürlicher Personen“ betroffen und nach Überzeugung des Verbands verletzt sind. Nach dem Urteil des EuGH kann nun der BGH entscheiden und wird der Klage sehr wahrscheinlich in gewissem Umfang stattgeben.
Jedenfalls öffnet das Urteil des EuGH nun weiteren Verbandsklagen Tür und Tor, denen sich die Digitalkonzerne werden stellen müssen. Das bietet eine Chance für eine effektivere Durchsetzung der DSGVO.
7. April 2022
Während der 103. Sitzung der Datenschutzkonferenz (DSK) stellte eine eigens eingerichtete Taskforce ihr Gutachten zur datenschutzrechtlichen Konformität des Betriebs von Facebook– Fanpages vor. Die DSK hatte diese Taskforce anlässlich eines Urteils des EuGH vom 05. Juni 2018 (C-210/16 „Wirtschaftsakademie“) eingerichtet. Der EuGH hatte festgestellt, dass der Betreiber einer Fanpage auf Facebook und Facebook gemeinsam Verantwortliche iSd Art. 26 DSGVO sind. Ausreichend für die gemeinsame Verantwortlichkeit war es, dass der Betreiber der Fanpage Kriterien festlegen kann, nach denen Facebook eine anonymisierte Statistik erstellt und somit „(…) an der Entscheidung über die Zwecke und Mittel der Verarbeitung der personenbezogenen Daten der Besucher seiner Fanpage beteiligt ist.“ (EuGH, Urteil v. 05.06.2018, C-210/16, Rn. 39)
Die Taskforce untersuchte in ihrem Gutachten, ob die Verwendung der sog. Insights durch die Betreiber von Fanpages vor dem Hintergrund der gemeinsamen Verantwortlichkeit nach Art. 26 DSGVO rechtmäßig ist. Insights sind von Facebook gesammelte Statistiken, mit denen das Nutzerverhalten auf Fanpages dokumentiert werden kann.
Es wurde festgestellt, dass Facebook keine ausreichenden Informationen zur Verfügung stelle, um bewerten zu können, ob die Datenverarbeitung im Zusammenhang mit Insights datenschutzkonform erfolge. Der Betreiber einer Fanpage müsse als gemeinsam mit Facebook Verantwortlicher eine für die Datenverarbeitung erforderliche Rechtsgrundlage nachweisen können.
Als Rechtsgrundlage komme weder die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO noch ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO in Betracht. Aufgrund der unzureichenden Informationslage stünden den Betreibern nicht die Informationen zur Verfügung, derer es für eine wirksame Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO bedarf. Aus dem gleichen Grund könne ebenfalls keine Interessenabwägung erfolgen, die für die Begründung eines berechtigten Interesses nach Art. 6 Abs. 1 lit. f DSGVO erforderlich sei. Außerdem sei es den Betreibern einer Fanpage demnach auch nicht möglich ihren Informationspflichten nach Art. 13 DSGVO nachzukommen.
Reaktion auf das Kurzgutachten
Als Reaktion auf dieses Gutachten hat die DSK beschlossen, dass alle den Datenschutzbeauftragten des Bundes und der Länder unterstehende Bundes- und Landesbehörden ihre Facebook-Fanpages auf datenschutzrechtliche Konformität überprüfen und ggf. abstellen sollten. Aufgrund ihrer Vorbildfunktion sollten zunächst die Facebook – Fanpages öffentlicher Stellen kontrolliert werden.
Daraufhin informierten u.a. die Datenschutzbeauftragten der Länder Bremen und Brandenburg die ihnen unterstehenden öffentlichen Behörden über die nun zu ergreifende Maßnahmen.
16. März 2022
Die irische Datenschutzkommission (DPC) hat am 15.03.2022 eine Pressemitteilung veröffentlicht, in der sie mitteilte, dem Konzern Meta Platforms (ehem. Facebook) ein Bußgeld von 17 Mio. EUR auferlegt zu haben. Grund dafür seien insgesamt zwölf Datenschutzverstöße zwischen Juni und Dezember 2018. In diesen Fällen habe es keine angemessenen technischen und organisatorischen Maßnahmen gegeben, um Daten von EU-Nutzern zu schützen. Konkret habe Meta Platforms gegen Art. 5 Abs. 2 und Art. 24 Abs. 1 DSGVO verstoßen.
Da die Datenverarbeitung von Meta Platforms eine (EU-) grenzüberschreitende ist, waren die anderen europäischen Datenschutzbehörden ebenfalls in diese Entscheidung involviert. Meta Platforms hat seinen Hauptsitz in Dublin (Irland), deshalb ist die irische Datenschutzbehörde gem. Art. 56 DSGVO ‚federführend‘. Dies bedeutet, dass sie hauptzuständiger, zentraler Ansprechpartner in dieser Angelegenheit ist und das Verfahren leitet.
Meta Platforms bzw. Facebook stand in der Vergangenheit für seinen Umgang mit Daten wiederholt in der Kritik. Erst kürzlich hatte Facebook verkündet, die automatische Gesichtserkennung auf ihrer Plattform abzuschaffen. Die irische Datenschutzbehörde hatte zudem gegen die Facebook-Tochter WhatsApp erst im September 2021 ein Rekord-Bußgeld in Höhe von 225 Mio. EUR erlassen. Grund dafür war u.a. die Weitergabe von Nutzerdaten an andere Facebook-Unternehmen.
3. März 2022
Das Verwaltungsgericht (VG) Köln hat am 01.03.2022 zwei Eilanträgen der Google Ireland Ltd (Az. 6 L 1277/21) und Meta Platforms Ireland Limited (Az. 6 L 1354/21) teilweise stattgegeben. Google und Meta wandten sich darin gegen Neuregelungen des Netzwerkdurchsetzungsgesetzes (NetzDG), insbesondere im Hinblick auf Meldepflichten der sozialen Netzwerke an das Bundeskriminalamt (BKA).
Konkret müssen Google und Meta vorerst §3a NetzDG nicht befolgen. Bei dieser sog. Netz-DG-Beschwerde müssen soziale Netzwerke ihnen gemeldete rechtswidrige Inhalte im Hinblick auf konkrete Hinweise für Straftatbestände prüfen und diese Angaben dann an das BKA melden, falls Anhaltspunkte vorliegen. Dieser Paragraph stellt jedoch einen Verstoß gegen das unionsrechtliche Herkunftslandprinzip aus der Richtlinie über den elektronischen Geschäftsverkehr (ECRL) dar. Danach ist für einen Anbieter elektronischer Dienste das Recht seines Sitzstaates maßgebend. In beiden Fällen ist das Irland und nicht Deutschland.
Daneben wurde auch der neue §4a NetzDG angegriffen. Darin wird das Bundesamt für Justiz zur für die Überwachung der Einhaltung der Vorschriften des NetzDG bestimmt. Die Behörde ist nach Auffassung des VG jedoch nicht unabhängig genug, da es dem Bundesjustizministerium unterstellt und weisungsgebunden ist.
Die jeweiligen Beschlüsse wirken nur zwischen den Verfahrensbeteiligten (Antragsgegner ist jeweils die Bundesrepublik Deutschland), die zudem die Möglichkeit der Beschwerde haben. Außerdem sind beim VG Köln weitere Eilanträge, u.a. von Twitter und TikTok, zu diesem Themenkomplex anhängig.
21. Januar 2022
In einem Interview gegenüber dem Handelsblatt äußerte sich der Bundesdatenschutzbeauftragte Ulrich Kelber erneut zur Nutzung von Sozialen Netzwerken durch die öffentliche Verwaltung – dabei geht es vor allem um Facebook, Instagram, Tiktok und Clubhouse. Technische Überprüfungen dieser Netzwerke und deren Nutzung auf den Geräten der Bundesbehörden und ihrer Mitarbeiterinnen und Mitarbeiter, die Kelber derzeit gemeinsam mit dem BSI durchführe, wiesen auf „datenschutzrechtliche Probleme“ hin. Ein finales Ergebnis gäbe es derzeit jedoch noch nicht.
Im Zusammenhang mit den Äußerungen gegenüber dem Handelsblatt kritisierte Kelber darüber hinaus auch den Betrieb sog. Facebook-Fanpages durch die Bundesbehörden. Aufgrund der „unklaren geteilten datenschutzrechtlichen Verantwortung zwischen Facebook und dem Betreiber der Seite“ könne die Fanpage „nach wie vor nicht rechtskonform betrieben werden“. Bereits letztes Jahr hatte der Bundesdatenschutzbeauftragte daher die Bundesregierung und die obersten Bundesbehörden aufgefordert, den Betrieb dieser Fanpages bis Ende 2021 einzustellen – bislang noch ohne Erfolg. Kelber betonte aber auch, dass er durch die Aufforderung nicht „zwingend die Abschaltung von Facebook-Fanseiten“ erreichen, sondern lediglich eine „datenschutzkonforme Kommunikation zwischen der Bundesregierung und der Bürgerinnen und Bürgern“ ermöglichen wolle. Ziel sei es daher, dass Facebook den Betrieb aller Fanpages an europäische Datenschutzvorgaben anpasse. Laut Kelber haben hierzu erneut Gespräche mit der Bundesregierung und Facebook stattgefunden.
3. Januar 2022
Der größte Medienkonzern Portugals, Impresa, wurde über die Neujahrstage Opfer eines Ransomware-Angriffs. Betroffen sind die Kanäle des landesweit größten Fernsehsenders SIC, sowie Portugals Wochenzeitung Expresso. Konkret handel es sich dabei um die Webseiten und Streaming-Services, das Fernsehprogramm von SIC funktioniert ungestört. Auch einige Accounts auf sozialen Medien sind von dem Angriff nicht betroffen, sodass Impresa momentan über den Facebook-Account von Expresso kommuniziert. Der Twitter-Account von Expresso scheint hingegen ebenfalls betroffen zu sein.
Laut The Record steckt hinter dem Angriff eine Gruppe namens „Lapsus$“. Zwischenzeitlich seien von der Gruppe auch Nachrichten und Lösegeldforderungen auf den Seiten von Impresa veröffentlicht worden. Die Gruppe selbst äußerte sich, sie habe kurzzeitig Zugriff auf den AWS-Account von Impresa gehabt. Bei dem Angriff wurde außerdem von der E-Mail-Adresse der Zeitschrift Expresso aus, eine Nachricht an Abonnentinnen und Abonnenten verschickt, in der es u.a. hieß, der Präsident Portugals sei seinem Amt enthoben worden. Diese Nachricht wurde in sozialen Medien bereits als Falschmeldung gekennzeichnet.
Bei diesem Vorfall handelt es sich um einen der größten IT-Sicherheitsvorfälle in der Geschichte Portugals. Um welche Ransomware es sich handelt, ist bisher nicht bekannt.
Die „Lapsus$“-Gruppe hatte erst Mitte Dezember das Gesundheitsministerium Brasiliens angegriffen. Bei diesem Angriff erbeuteten sie nach eigenen Aussagen 50 Terrabyte Daten. Durch den Ausfall der Seiten des Gesundheitsministeriums war für Brasilianer u.a. zeitweise kein Zugriff mehr auf ihre digitalen Impfzertifikate möglich.
7. Dezember 2021
Verbraucherschutzverbände sind bei Datenschutzverstößen im Internet dazu berechtigt, Klage zu erheben, sofern das nationale Recht diese Klagebefugnis regelt. Dies geht aus einer Empfehlung des Generalanwalts Richard de la Tour hervor. Nach dessen Ansicht sind Verbraucherschutzverbände auch dann klagebefugt, wenn ein konkreter Auftrag der Betroffenen nicht existiere.
Vorausgegangen war ein Fall vor dem Bundesgerichtshof, in welchem der Bundesverband der Verbraucherzentralen gegen Facebook (jetzt Meta) klagte. Aufgrund der Unsicherheiten der Vereinbarkeit von nationalen Regelungen der Klagebefugnis mit EU-Recht setzte der BGH das Verfahren aus und stellte eine Vorabentscheidungsanfrage an den EuGH. Insbesondere war fraglich, ob Verbraucherschutzverbände ohne Auftrag von betroffenen Personen beziehungsweise unabhängig von der Verletzung konkreter Rechte Einzelner klagebefugt sind.
In seiner Empfehlung schlägt der Generalanwalt nun vor, die Datenschutz-Grundverordnung so auszulegen, dass diese den nationalen Regelungen nicht entgegensteht, sofern die betreffende Verbandsklage auf die Wahrung der aus der DSGVO erwachsenen Rechte der Betroffenen gerichtet ist. Grundlage der Ansicht des Generalanwalts des EuGH war ein ähnlich gelagertes Urteil des EuGH im Hinblick auf die Richtlinie 95/464/EG, dem Vorgängermodell zur DSGVO. Auch diese stand nationalen Regelungen, welche die Klagebefugnis von Verbänden regelten, nicht entgegen. Laut de la Tour komme die Wahrung der Kollektivinteressen der Verbraucher durch Verbände dem Ziel der Datenschutz-Grundverordnung, ein hohes Schutzniveau für personenbezogene Daten zu schaffen, besonders entgegen.
Der Facebook-Konzern Meta kündigte an, das Unternehmen würde die Stellungnahme des Generalanwalts analysieren.
30. November 2021
Der Verein des österreichischen Juristen und Datenschützers Maximilian Schrems noyb (none of your business) hat die irische Datenschutzkommission (DPC) bei der österreichischen Wirtschafts- und Korruptionsstaatsanwaltschaft angezeigt. Dabei wirft man der Behörde intransparentes Verhalten vor. In dem Verfahren bei der irischen Behörde geht es um die Einhaltung der europäischen Datenschutz-Grundverordnung (DSGVO) durch Facebook.
Non-Disclosure-Agreement vorgelegt
Zuvor hatte die Behörde noyb aufgefordert, innerhalb eines Arbeitstages eine Verschwiegenheitsvereinbarung (Non-Disclosure-Agreement, NDA) zu unterzeichnen. Ohne eine solche Geheimhaltungsvereinbarung zugunsten der DPC und Facebook würde die DPC die Rechte der Beschwerdeführerin noyb in einem laufenden Verfahren aussetzen.
Hintergrund
Maximilian Schrems führte in der Vergangenheit schon einige erfolgreiche Verfahren gegen den Social-Media Konzern. In dem eigentlichen Rechtsstreit (wir berichteten) geht es unter anderem um die Frage, ob Nutzer:innen tatsächlich eine Einwilligung oder einen Vertrag mit Facebook schließen, da Facebook als angebliche „Leistung“ Werbung anbiete. Laut Schrems wären damit die Vorschriften, die vorgeben, wie eine eindeutige Zustimmung aussehen müsse (und auch jederzeit widerrufen werden könne), hinfällig. Dies sei eine rechtswidrige Umgehung der DSGVO.
Fehlende Rechtsgrundlage und Verzögerungen
Die DPC lässt sich mit diesem und anderen Verfahren gegen Techkonzerne nach Einschätzung von Schrems zu viel Zeit. Auch der deutsche Bundesdatenschutzbeauftragte Ulrich Kelber hatte seiner irischen Kollegin Helen Dixon vorgeworfen, die Verfahren zu verschleppen und ihr Zögern mit „falschen Aussagen“ zu verschleiern.
Aufgrund Facebooks Hauptsitz in Irland wurde die Beschwerde an die irische Datenschutzkommission weitergeleitet. Nach über drei Jahren erließ sie schließlich einen Entscheidungsentwurf. Nachdem noyb diese Entscheidung veröffentlicht hatte, forderte die DPC noyb auf, die Entscheidung der Datenschutzbehörde sowie noyb’s eigene Stellungnahmen zu löschen. Dies geschah ohne die Nennung einer Rechtsgrundlage, so der Datenschutzverein. Darüber hinaus sei die DPC außerhalb Irlands nicht zuständig. Aufgrund des Kooperationsmechanismus der DSGVO müssten die Dokumente über die österreichische Datenschutzbehörde zugestellt werden und unterlägen somit dem geltenden österreichischen Recht (§ 17 AVG). Wie die österreichische Datenschutzbehörde bestätigte, unterliegen derartige Verfahrensdokumente nicht der Geheimhaltung. Zum anderen gebe es auch nach irischem Recht keine gesetzliche Verpflichtung für die Parteien, Dokumente vertraulich zu behandeln, so noyb.
Maximilian Schrems: „Die irische Behörde hat die Verpflichtung uns zu hören, aber sie hat uns nun praktisch erpresst: Prozessrechte wurden davon abhängig gemacht, dass wir eine Verschwiegenheitsvereinbarung zu Gunsten der Behörde und Facebook unterzeichnen.“
Zeichen stehen auf Konfrontation
Für die Adventszeit hatte Schrems öffentliche Lesungen aus Dokumenten von Facebook und der irischen Datenschutzbehörde angekündigt. Inzwischen meldete sich auch der Datenschützer Johnny Ryan vom Irish Council for Civil Liberties zu Wort. Auch er habe in seiner Beschwerde gegen Google eine Verschwiegenheitserklärung von der irischen Behörde vorgelegt bekommen.
Die irische Behörde reagierte bisher nicht öffentlich auf die Vorwürfe.
3. November 2021
Der kürzlich in Meta umbenannte Internetkonzern Facebook stellt nach über zehn Jahren die Automatische Gesichtserkennung auf dem sozialen Medium ein.
In einem Blogeintrag auf der Website von Meta verkündete Jerome Pesenti, Vize-Chef der Abteilung für Künstliche Intelligenz, die Beendigung des Projekts der automatischen Gesichtserkennung. Seit 2010 identifiziert diese automatisch die auf den Fotos der Usern abgebildeten Personen. Dadurch wird eine Verknüpfung von Gesicht und Konto möglich gemacht. Laut Pesenti ergebe die Einstellung des Tools Nachteile, wie zum Beispiel Einschränkungen der Nutzbarkeit durch blinde User. Starke gesellschaftliche Kritik sowie eine unklare Gesetzeslage über den Einsatz der Technologie hätten jedoch zu der Abschaffung der automatischen Gesichtserkennung geführt.
Zudem kündigte Pesenti an, die zur automatischen Gesichtserkennung erhobenen Daten der User zu löschen. Dies betrifft rund eine Milliarde Nutzerdaten.
Bereits im Februar dieses Jahres unterlag Facebook einer Sammelklage, in welcher es um die Funktion der automatischen Gesichtserkennung ging, und wurde zu einer Zahlung von 650 Millionen US-Dollar verurteilt.
Wann die Software abgeschaltet wird und die erhobenen Daten gelöscht werden, ist jedoch noch unklar.
