Vor drei Tagen entschied das Verwaltungsgericht Hamburg, dass WhatsApp die Adressbuchdaten deutscher nutzer nicht ohne datenschutzkonforme Einwilligung an die Muttergesellschaft Facebook weitergeben darf. Eine vorläufiger Sieg des Hamburgischen Beauftragten für den Datenschutz, Professor Dr. Johannes Caspar.
DER HINTERGRUND
Nochmals kurz zusammengefasst, sind Facebook und WhatsApp selbstständige Unternehmen, die die Daten ihrer jeweiligen Nutzer auf Grundlage ihrer eigenen Nutzungs- und Datenschutzbedingungen verarbeiten. Nach dem Kauf von WhatsApp durch Facebook 2014 hatten die Unternehmen öffentlich zugesichert, dass die Daten der Nutzer nicht ohne deren wirksame Einwilligung ausgetauscht werden würden. Durch Einführung neuer Nutzungsbedingungen im August letzten Jahres teilte WhatsApp den Nutzerndann aber mit, dass ihre Daten nun auch an Facebook übermittelt würden. Eine Wahl haben die Nutzer hier jedoch nicht. Der Hamburgische Datenschutzbeauftragte hatte daher umgehend den Datenaustausch im Anordnungsweg untersagt und den Sofortvollzug angeordnet. Andernfalls hätte die Gefahr bestanden, dass der Datenaustausch durchgeführt wird, solange Facebook Rechtsmittel zur Verfügung stehen.
FACEBOOK WEHRTE SICH VERGEBENS
Facebook hate daraufhin gegen die Anordnung im vorläufigen Rechtsschutzverfahren das Verwaltungsgericht angerufen, mit dem Ziel, die sofortige Vollziehung aufheben zu lassen. Diesen Antrag hat das Gericht nun aber zurückgewiesen und inhaltlich klargestellt, dass es für den geplanten Datenaustausch keine rechtliche Grundlage sieht. Facebook kann sich nicht auf die Wahrung eigener Geschäftszwecke berufen, da der vollständige Datenaustausch weder zum Zweck der Netzsicherheit oder der Unternehmensanalyse noch zur Werbeoptimierung erforderlich ist. Ferner stellt das Gericht klar, dass keine wirksamen Einwilligungen der WhatsApp-Nutzer für einen Datenaustausch mit Facebook vorliegen. Im Ergebnis nimmt das Verwaltungsgericht im Rahmen des einstweiligen Rechtsschutzverfahren eine klare Abwägung vor: Danach werden die Interessen der ca. 35 Millionen deutschen WhatsApp-Nutzer höher gewichtet als das wirtschaftliche Interesse von Facebook an einer Aussetzung der sofortigen Vollziehbarkeit. Die Frage nach der Anwendbarkeit des nationalen Rechts lässt das Gericht dabei teilweise offen, denn selbst für den Fall, dass nur irisches Recht anwendbar sein sollte, müsse EU-Datenschutzrecht befolgt werden. Facebook sei daher ohnedies verpflichtet, ein rechtmäßiges Einwilligungsverfahren einzuführen.
CASPAR VORERST ZUFRIEDEN
Prof. Dr. Caspar zeigt sich derweil zufrieden: „Nach diesem Beschluss wird es einen Massenabgleich der Daten inländischer Nutzerinnen und Nutzer zwischen WhatsApp und Facebook auch weiterhin nicht geben. Das ist eine gute Nachricht für die vielen Millionen Menschen, die täglich den Messenger-Dienst von WhatsApp in Deutschland nutzen. Sie sind nicht schutzlos. Das Gericht hat für eine im vorläufigen Rechtsschutzverfahren deutliche Weise herausgearbeitet, dass der geplante Datenaustausch dem nationalen Datenschutzrecht widerspricht. Die Entscheidung hat erhebliche Ausstrahlungswirkung auch in Richtung EU. Denn hier gilt ja bereits heute mit der EU-Datenschutzrichtlinie – und ab Mai 2018 mit der Datenschutzgrundverordnung erst recht – ein vergleichbares Datenschutzniveau. Damit wird auch der Kritik vieler meiner Kollegen aus den anderen Mitgliedstaaten an dem geplanten Datenaustausch Rechnung getragen. Einen Massenabgleich von Daten gegen den Willen Betroffener wird und darf es in der EU nicht geben. Ein ordnungsgemäßes und transparentes Einwilligungsverfahren, das die Rechte aller Betroffenen respektiert, ist der einzig gangbare Weg. Diese Linie werden wir auch im weiteren Verlauf des Verfahrens konsequent verfolgen.“
Gegen die Entscheidung des Verwaltungsgerichts kann Beschwerde an das Hamburgische Oberverwaltungsgericht eingelegt werden, womit bei Facebook eigentlich auch zu rechnen sein dürfte.