Facebook: Irische Aufsichtsbehörde unterstützte Tricks zur DSGVO-Umgehung

Verbraucherrechte gefährden Geschäftsmodell

Wie die irische Datenaufsicht zu Facebooks Einwilligungsverfahren steht, ist kein Geheimnis. Vor knapp zwei Monaten erklärte die Behörde die Praxis offiziell für legitim. Der Konzern hatte sie 2018 als Reaktion auf die Datenschutz-Grundverordnung eingeführt. Die nämlich sieht strenge Regeln für das Verarbeiten von Nutzerdaten vor. Betroffene müssen klar und verständlich über Art, Zweck und Umfang aufgeklärt werden und aktiv ihre Zustimmung erteilen. Aber warum sollten sie das tun?

Angst vorm mündigen Verbraucher

Bei Facebook befürchtete man, dass das „Nein“ einer großen Zahl von Usern das eigene Geschäftsmodell gefährden könne. Der Konzern forschte nach einer Alternative und wurde fündig. Das Ergebnis: Die in der DSGVO vorgesehene freiwillige Einwilligung in die Nutzung sensibler Daten suchen Facebook-User vergebens. Stattdessen ist die Verarbeitung dieser Informationen Bestandteil der allgemeinen Geschäftsbedingungen, die von allen Account-Inhabern akzeptiert werden müssen. Eine Vorgehensweise, in der Datenschützer schlicht ein Aushebeln der DSGVO sehen.

Datennutzung als Vertragsbestandteil

Von der Data Protection Commission allerdings wurde die Praxis nicht nur gebilligt. Sie könnte sogar mit ihren Experten entwickelt worden sein. Das zumindest glaubt Datenschutz-Aktivist Max Schrems, der bereits 2018 Beschwerde gegen Facebooks Vorgehen eingelegt hat. Er verweist darauf, dass Vertreter des sozialen Mediums und der DPC zehnmal im Vorfeld der DSGVO-Einführung zu Gesprächen zusammengetroffen seien. Seine Theorie: In diesem Rahmen könne die Idee entstanden sein, die ungeliebte Einwilligung zur Datennutzung zu einer grundsätzlichen Voraussetzung für die Facebook-Nutzung zu machen. Opt-out unmöglich.

DPC für Facebook-Modell als „Leitlinie“

Von Schrems veröffentlichte interne Dokumente zeigen außerdem, dass die irische Behörde auch im Europäischen Datenschutz-Ausschuss für diesen Ansatz warb. Sie schlug demnach vor, ihn in die Leitlinien zur Verarbeitung personenbezogener Daten zu übernehmen. Eine ideale Lösung auch für andere soziale Netzwerke: Indem man die Einwilligungsklausel in die Geschäftsbedingungen verschiebt, ist für Nutzer kein "Nein" mehr möglich. Die wirtschaftliche Grundlage der Plattformen durch die Verarbeitung von Userdaten wäre gesichert.

Scharfe Kritik europäischer Datenschutz-Beauftragter

Dem von Schrems vorgelegten Papier sind allerdings auch die teils harschen Reaktionen auf den Vorstoß der DPC zu entnehmen. Die Methode untergrabe das System und den Geist der DSGVO, heißt es da beispielsweise. Und: „Das steht im Widerspruch zu allem, woran wir glauben (sorry, aber so ist es).“ Weil die überwiegende Mehrheit der EU-Vertreter das Einwilligungsmodell rigoros ablehnte, verschwand der Vorschlag der DPC schließlich aus den Leitlinien. An der Rechtsauffassung der Kommission änderte das offenbar nichts. In ihrer Funktion als Aufsichtsorgan für die europäische Facebook-Zentrale kam die Behörde vor wenigen Wochen zu dem Schluss, dass Verschiebung der Einwilligung in die AGB nicht zu beanstanden sei. Ein Bußgeld von 36 Millionen Euro wurde lediglich deshalb verhängt, weil der Konzern die Änderung des Prozederes nicht transparent gemacht habe.

Fazit

Vertreter der Data Protection Commission verwahren sich gegen Vorwürfe, Facebooks Interessen vertreten zu haben. Die umstrittene Einwilligungspraxis sei weder gemeinsam entwickelt noch vorab gebilligt worden. Zutreffend sei zwar, dass die DPC im EU-Verbund der Datenschutz-Behörden zunächst einen ähnlich lautenden Leitlinien-Entwurf eingebracht habe. Mangels Akzeptanz habe man dann aber eine neue Version vorgelegt, die die Position der Mehrheit abbildete. Das von Schrems veröffentlichte Arbeitspapier zeige also lediglich die Bandbreite verschiedener Meinungen im Europäischen Datenschutz-Ausschuss.