Metas WhatsApp muss 5,5 Millionen Euro Strafe für GDPR-Verstöße zahlen

Die Datenschutzkommission Irlands („DPC“) hat am Donnerstag WhatsApp Ireland, das zu Meta gehört, mit 5,5 Millionen Euro (6 Millionen US-Dollar) für Verstöße gegen die Datenschutz-Grundverordnung (GDPR) der EU in Bezug auf seinen Dienst im Land belegt.

Neben der Geldstrafe hat die DPC von Irland dem sozialen Medienriesen eine Frist von sechs Monaten gesetzt, um seine Datenverarbeitungsoperationen mit den GDPR-Vorschriften in Einklang zu bringen oder mit weiteren Maßnahmen zu rechnen.

Die jüngste Geldstrafe der DPC ist ein schwerer Schlag für Meta, da das Unternehmen kürzlich von derselben Behörde mit 390 Millionen Euro bestraft wurde, als festgestellt wurde, dass seine anderen Tochtergesellschaften, Instagram und Facebook, gegen die GDPR-Vorschriften verstoßen hatten.

Was WhatsApp betrifft, so ist die Entscheidung der DPC das Ergebnis einer Untersuchung zu einer Beschwerde, die am 25. Mai 2018 von einem deutschen Betroffenen über den WhatsApp-Dienst eingereicht wurde.

Der Beschwerdeführer stellte die neuen Regeln von WhatsApp in Frage, die von den Nutzern verlangten, die neuen „Vertrags“-Bedingungen zu akzeptieren, um auf ihre Dienste zugreifen zu können, als die GDPR 2018 in Kraft trat.

Laut den aktualisierten Nutzungsbedingungen der Plattform mussten Nutzer, die nach der Einführung der GDPR weiterhin Zugang zu ihrem WhatsApp-Dienst haben wollten, die aktualisierten Nutzungsbedingungen wählen. Wenn sie die Bedingungen ablehnten, wären ihre Dienste nicht zugänglich.

Mit anderen Worten, WhatsApp zwang die Nutzer effektiv, der Datenverarbeitung zuzustimmen, wenn sie die Dienste weiterhin nutzen wollten, was der Beschwerdeführer als Verstoß gegen die GDPR ansah. Der Beschwerdeführer war der Meinung, dass die Nutzer eine Wahl darüber haben sollten, welche Daten verarbeitet werden.

Nach einer umfassenden Untersuchung durch die DPC stellte die Aufsichtsbehörde fest, dass WhatsApp „gegen seine Verpflichtungen in Bezug auf Transparenz“ verstoßen hat, da es nicht genügend Klarheit darüber bot, wie die Datenverarbeitung erfolgt und zu welchen Zwecken dies geschieht.

Die DPC stellte fest, dass WhatsApp Ireland tatsächlich nicht auf die Zustimmung der Nutzer als rechtliche Grundlage für die Verarbeitung ihrer personenbezogenen Daten angewiesen war.

WhatsApp Ireland ist „nicht berechtigt, sich auf die vertragliche Rechtsgrundlage zu berufen, um eine rechtliche Grundlage für die Verarbeitung personenbezogener Daten zu den Zwecken der Dienstverbesserung und Sicherheit zu bieten“, fügte sie hinzu und erklärte, dass die rechtliche Grundlage für die Datenverarbeitung des Dienstes gegen EU-Recht verstößt.

Die endgültige Entscheidung über die Geldstrafe, die von der DPC am 12. Januar 2023 verabschiedet wurde, folgt den drei bindenden Entscheidungen des Datenschutzregulators der EU, des Europäischen Datenschutzausschusses (EDPB), Anfang Dezember.

Neben der Geldstrafe hat der EDPB auch angeordnet, dass die DPC eine neue Untersuchung zu Folgendem durchführt:

„Die Verarbeitungsoperationen von WhatsApp IE in seinem Dienst, um festzustellen, ob es besondere Kategorien personenbezogener Daten verarbeitet (Artikel 9 GDPR), Daten zu Zwecken der Verhaltenswerbung, zu Marketingzwecken sowie zur Bereitstellung von Kennzahlen an Dritte und zum Austausch von Daten mit verbundenen Unternehmen zu Zwecken der Dienstverbesserung verarbeitet und um festzustellen, ob es die relevanten Verpflichtungen gemäß der GDPR einhält.“

Als Reaktion auf die Entscheidung der DPC vom Donnerstag erklärte Meta, dass sie gegen die Entscheidung Berufung einlegen und versuchen werde, sie aufzuheben.

„Wir sind fest davon überzeugt, dass die Art und Weise, wie der Dienst betrieben wird, sowohl technisch als auch rechtlich konform ist. Wir stützen uns auf die vertragliche Notwendigkeit zur Verbesserung des Dienstes und zu Sicherheitszwecken, da wir glauben, dass es eine grundlegende Verantwortung ist, unseren Dienst sicher zu betreiben und ein innovatives Produkt anzubieten“, sagte ein WhatsApp-Sprecher.

„Wir sind mit der Entscheidung nicht einverstanden und beabsichtigen, Berufung einzulegen.“