Facebook wird der Datenabgleich mit WhatsApp verboten

Die rund 35 Millionen WhatsApp-Anwender in Deutschland müssten selbst entscheiden können, ob sie eine Verbindung ihres Kontos mit Facebook wünschen, erklärte Hamburgs Datenschutzbeauftragter Johannes Caspar. «Dazu muss Facebook sie vorab um Erlaubnis fragen. Dies ist nicht geschehen.»

Hintergrund: WhatsApp hatte im August angekündigt, künftig die Telefonnummer des Nutzers an Facebook weiterzugegeben. Außerdem sollen mit der Konzernmutter Informationen darüber geteilt werden, wie häufig der Kurzmitteilungsdienst genutzt wird. WhatsApp-Mitglieder konnten zumindest der Verwendung ihrer Daten für die Personalisierung von Facebook-Werbung und Freunde-Vorschläge widersprechen. Die Telefonnummer wird allerdings in jedem Fall mit Facebook geteilt, wenn man die App weiternutzen will.

Facebook und WhatsApp seien selbstständige Unternehmen, die die Daten ihrer Nutzer auf Grundlage ihrer Nutzungs- und Datenschutzbedingungen verarbeiten. Nach dem Erwerb von WhatsApp durch Facebook vor zwei Jahren hätten sie zugesichert, dass Daten der Nutzer nicht miteinander ausgetauscht würden. «Dass dies nun doch geschieht, ist nicht nur eine Irreführung der Nutzer und der Öffentlichkeit, sondern stellt auch einen Verstoß gegen das nationale Datenschutzrecht dar», begründete die Datenschutzbehörde die Verwaltungsanordnung.

UPDATE: Caspar untersagt Facebook die Speicherung der WhatsApp-Daten «ab sofort». Sie sei sofort vollziehbar. Befolgt Facebook die Anordnung nicht, kann die Behörde Bußgelder verhängen. Caspar sagte der Deutschen Presse-Agentur, er suche derzeit mit anderen Datenschutzbeauftragten in Europa einen Schulterschluss, um die Datenübertragung von WhatsApp an Facebook zu unterbinden. «Facebook weht aber auch in den USA der Wind ins Gesicht.»

Facebook kann gegen die Anordnung einen Widerspruch einlegen, der nach Auskunft der Behörde allerdings keine aufschiebende Wirkung hat. Zudem könne Facebook beim Verwaltungsgericht einen Antrag auf Wiederherstellung der aufschiebenden Wirkung des Widerspruches stellen. Darüber entscheide dann das Gericht. Der Rechtstreit könne notfalls bis zum EuGH geführt werden.

In dem Streit wird die Frage entscheidend sein, ob der Hamburger Datenschützer überhaupt zuständig ist. Er argumentiert, Facebook verarbeite Daten in der Hamburger Niederlassung, weil dort das deutschsprachige Werbegeschäft betrieben werde. Deshalb sei nationales Datenschutzrecht anwendbar, wie auch der Europäische Gerichtshof im Juli bestätigt habe.

Facebook erklärte stets, das europäische Geschäft werde von Irland aus betrieben und deswegen seien die dortigen Datenschützer zuständig. Das Online-Netzwerk entgegnete Caspar am Dienstag: «Facebook befolgt das EU-Datenschutzrecht.» Man sei offen dafür, mit dem Hamburger Datenschützer zu arbeiten, um seine Fragen zu beantworten und Sorgen zu zerstreuen.

Kein Konzernprivileg

Michael Kamps, Rechtsanwalt bei der Kanzlei CMS in Deutschland, kommentiert: "Aus Sicht des deutschen und europäischen Datenschutzrechts kommt die Anordnung der Hamburger Aufsichtsbehörde wenig überraschend. Denn auch die Übermittlung von personenbezogenen Daten zwischen verbundenen Unternehmen bedarf einer datenschutzrechtlichen Rechtfertigung – ein "Konzernprivileg" kennt das hiesige Datenschutzrecht nicht. Aus Sicht der Aufsichtsbehörde basiert die bislang offensichtlich nur geplante Übermittlung von WhatsApp-Daten weder auf einer gesetzlichen Grundlage noch auf einer Einwilligung der betroffenen WhatsApp-Nutzer. Es bleibt abzuwarten, ob Facebook die Anordnung gerichtlich überprüfen lässt."

Der Kölner IT-Anwalt Christian Solmecke betonte am Dienstag, er sehe in dem Vorgehen von Facebook und WhatsApp einen klaren Verstoß gegen deutsche Datenschutzgesetze. Der Nutzer müsse ausdrücklich der Übertragung der Daten zustimmen. «Ein voreingestelltes Häkchen in den AGB ist rechtswidrig. Zudem muss der Nutzer genau über den Umfang und die Nutzung der Daten informiert werden.»

Der Hamburger Datenschutzbeauftragte hatte in der Vergangenheit bereits mehrfach versucht, gegen Facebook vorzugehen. Zuletzt wollte er durchsetzen, dass Facebook auch Anmeldungen unter einem Pseudonym zulässt, scheiterte aber vor dem Verwaltungsgericht Hamburg. Das Gericht hatte Caspar an die Niederlassung von Facebook in Irland verwiesen, die das soziale Netzwerk in Europa betreibt.

Diesmal adressierte er seine Anordnung direkt an Facebook in Irland. Er sieht eine veränderte Rechtslage im Vergleich zu dem Pseudonym-Fall durch das EuGH-Urteil.

mit Material dpa / rs