Facebook: Nutzerdaten von WhatsApp dürfen nicht verarbeitet werden

Per Verwaltungsanordnung hat jetzt Johannes Caspar, der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit, Facebook verboten, Daten von WhatsApp-Nutzern zu erheben und zu speichern, war Ende August durch Veränderungen bei den Geschäftsbedingungen und den Datenschutzrichtlinen bei WhatsApp eigentlich geplant worden war. Facebook muss außerdem bereits durch WhatsApp an Facebook übermittelte Daten löschen.

Begründet wurde die Anordnung seitens Caspar damit, dass Facebook und WhatsApp selbstständige Unternehmen seien, die die Daten ihrer jeweiligen Nutzer auf Grundlage ihrer eigenen Nutzungs- und Datenschutzbedingungen verarbeiten. Sie hätten nach dem Kauf von WhatsApp durch Facebook vor zwei Jahren „öffentlich zugesichert, dass die Daten der Nutzer nicht miteinander ausgetauscht werden. Dass dies nun doch geschieht, ist nicht nur eine Irreführung der Nutzer und der Öffentlichkeit, sondern stellt auch einen Verstoß gegen das nationale Datenschutzrecht dar“, so Caspar in einer Pressemitteilung.

Johannes Caspar, der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (Bild: HmbBfDI/Thomas-Krenz)

Auch das Vorhaben, dass ein Widerspruch dagegen nicht möglich ist, ist wohl nicht mit deutschem Recht vereinbar: Wer die geänderten Nutzungsbedingungen nicht akzeptiert, kann den Dienst nicht mehr benutzen. In den neuen AGB heißt es: „Du stellst uns regelmäßig die Telefonnummern von WhatsApp-Nutzern und deinen sonstigen Kontakten in deinem Mobiltelefon-Adressbuch zur Verfügung. Du bestätigst, dass du autorisiert bist, uns solche Telefonnummern zur Verfügung zu stellen, (…)„. Begründet wird das damit, dass so „relevantere Werbung“ für die Nutzer angezeigt werden könne.

Ein Austausch von Daten in der jetzt geplanten Form ist laut Caspar aber nur dann zulässig, wenn sowohl auf Seiten des Unternehmens, das die Daten liefert – in dem Fall WhatsApp – als auch beim Empfänger – in dem Fall Facebook – eine Rechtsgrundlage für den Datenaustausch vorliegt. „Facebook hat allerdings weder eine wirksame Einwilligung von den Nutzern von WhatsApp eingeholt, noch ist eine gesetzliche Grundlage für den Datenempfang vorhanden“, heißt es in der Pressemitteilung weiter.

Kontaktdaten von Millionen von Personen, die bisher weder etwas mit Facebook noch mit WhatsApp zu tun hatten, aus den Adressbüchern der Nutzer zu WhatsApp hochzuladen, hält Caspar mit dem Datenschutz nicht vereinbar. Diese „gigantische Menge von Daten“ habe Facebook zwar eigenen Aussagen zufolge noch nicht erhoben.

Facebook-Chef Zuckerberg brach mit dem Datenabgleich ein vor zwei Jahren gegebenes Versprechen. (Bild: Facebook)

Die Antwort von Facebook auf eine Anfrage von Caspar, „dass dies lediglich zur Zeit noch nicht erfolgt sei, gibt jedoch Anlass zur Sorge, dass das Ausmaß des Datenverstoßes noch massivere Auswirkungen nach sich ziehen wird.“

Wegen der geplanten Zusammenführung der Daten hatte bereits der Verbraucherzentrale Bundesverband (vzbv) Facebook abgemahnt. So wie jetzt auch Caspar kritisierten die Verbraucherschützer darüber hinaus, dass auch die Nummern von lediglich im Telefonbuch der WhatsApp-Kunden gespeicherten Verbrauchern an die gesamte Facebook-Unternehmensgruppe übermittelt werden sollen.

Das Vorhaben von Facebook hatte zuvor auch schon die EU auf den Plan gerufen. Wettbewerbskommissarin Margrethe Vestager hatte angekündigt prüfen zu wollen, ob aufgrund der Veränderungen bei den Geschäftsbedingungen das Fusionskontrollverfahren neu aufgerollt werden muss.

WhatsApp führte den deutschen Markt für Messenger-Apps im Sommer 2016 mit einem Anteil von 63 Prozent an (Bild: Bitkom)

WhatsApp hatte erst im Mai WhatsApp im Streit um einen anderen Datenschutzaspekt eine Schlappe in Kauf nehmen müssen. Damals hatte das Kammergericht Berlin entschieden, dass es nicht ausreicht, Nutzungsbedingungen und Datenschutzhinweise auf Englisch anzubieten. Sie müssen für deutsche Nutzer auf der Internetseite auch in Deutsch vorgehalten werden. Klaus Müller, Vorstand der klagenden Verbraucherzentrale Bundesverband (vzbv), bezeichnete das in einem Kommentar zu dem Urteil als ein “wichtiges Signal an andere international handelnde Unternehmen.“

Caspar begründet die Zuständigkeit seiner Behörde in seiner Pressemitteilung mit Verwies auf ein Urteil des EuGH vom Juli. Darin wurde bestätigt, dass nationales Datenschutzrecht anwendbar ist, wenn ein Unternehmen im Zusammenhang mit einer nationalen Niederlassung Daten verarbeitet. „Dies tut Facebook in Deutschland durch seine Niederlassung in Hamburg, die das deutschsprachige Werbegeschäft betreibt“, so Caspar. Facebook beruft sich aber regelmäßig auf den Sitz in Irland und möchte für sich das dort geltende, Recht in Anspruch nehmen. Beobachter und Experten gehen daher davon aus, dass auch in dem Fall Facebook wieder alle Rechtsmittel ausschöpfen wird.

[Mit Material von Peter Marwan, silicon.de]

Tipp: Wie gut kennen Sie Soziale Netzwerke? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.