Mit einer Verwaltungsanordnung hat Hamburgs Datenschutz- und Informationsfreiheitsbeauftragter Prof. Dr. Johannes Caspar Facebook untersagt, Daten deutscher WhatsApp-Nutzer zu speichern und diese zwischen WhatsApp und Facebook auszutauschen. Gegen diese Anordnung wurde vom Social Network-Riesen beim Verwaltungsgericht Hamburg nun ein Antrag auf Aussetzung der sofortigen Vollziehbarkeit gestellt.
Anordnung gegen Massendatenabgleich zwischen WhatsApp und Facebook
Obwohl Facebook und WhatsApp zwei selbstständige Unternehmen sind, die die Nutzerdaten auf Grundlage ihrer eigenen Nutzungs- und Datenschutzbedingungen verarbeiten, kam es entgegen der vorherigen öffentlichen Zusicherung zu einem Datenabgleich zwischen den Riesenkonzernen. Lediglich auf die Nachrichteninhalte bei WhatsApp würde Facebook aufgrund der sogenannten Ende-zu-Ende-Verschlüsselung keinen Zugriff haben.
Ein solcher Datenaustausch ist jedoch nur dann zulässig, wenn beim liefernden und beim empfangenden Unternehmen eine entsprechende Rechtsgrundlage vorliegt. Jedoch hat Facebook weder die wirksame Einwilligung der betroffenen WhatsApp-Nutzer eingeholt, noch ist eine gesetzliche Grundlage für den Datenempfang vorhanden. Die deutsche Datenschutzbehörde hält das deutsche Datenschutzrecht für anwendbar, insbesondere nachdem der Europäische Gerichtshof (EuGH) in einem Urteil bekräftigte, dass nationales Datenschutzrecht anwendbar ist, wenn ein Unternehmen im Zusammenhang mit einer nationalen Niederlassung Daten verarbeitet (EuGH, Urteil v. 28.07.2016, C-191/15). Diese Niederlassung des sozialen Netzwerks befindet sich in Hamburg, von dort wird das deutschsprachige Werbegeschäft betrieben. Durch die Ende September ergangene Anordnung sollen die Daten von ca. 35 Millionen deutschen WhatsApp-Nutzern geschützt werden.
Facebook setzt sich zur Wehr
Im 81-seitigen Eilantrag vor dem Verwaltungsgericht Hamburg argumentiert Facebook unter anderem damit, dass sich deutsches Recht trotz des EuGH-Urteils nicht auf den vorliegenden Sachverhalt anwenden lasse, da es darum gehe, die Vorteile der Übernahme von WhatsApp zu Gunsten anderer Dienste der Facebook-Familie und ihrer Nutzer umzusetzen. Außerdem befänden sich die europäischen Firmenzentralen beider Unternehmen in Irland, sodass auch für deutsche Nutzer das irische Recht Anwendung finde.
Caspar hingegen betont, dass es die Entscheidung des einzelnen Nutzers sein müsse, ob eine Verbindung zwischen dem WhatsApp Konto und Facebook hergestellt werden soll. Ein Massenaustausch ohne die Einwilligung des Nutzers sei aus Datenschutzgründen nicht hinzunehmen.
Es bleibt abzuwarten, ob das Verwaltungsgericht Hamburg das deutsche oder irische Recht für anwendbar hält. Bereits in der Vergangenheit sind deutsche Datenschützer beim Vorgehen gegen Facebook gescheitert, da deutsche Verwaltungsgerichte das irische Recht für anwendbar hielten, weil die konkrete Datenverarbeitung in Irland stattfindet. Caspar sieht sich aber durch das Urteil des EuGH bekräftigt und hofft auf eine Entscheidung des Verwaltungsgerichts Hamburg zugunsten des deutschen Datenschutzrechts und damit zugunsten der 35 Millionen WhatsApp Nutzer.
SLS/bk