Der Werbekonzern Meta will seine Nutzer:innen in der EU künftig um ihre Einwilligung fragen, bevor er ihre Daten sammelt und personalisierte Werbung einblendet. Das hat das Unternehmen, zu dem Facebook, Instagram und WhatsApp gehören, gestern angekündigt. Damit geht vorerst eine jahrelange Auseinandersetzung zu Ende, die dem Konzern Schlappen vor Gerichten und millionenschwere Geldbußen eingebrockt hat.
Seit die Datenschutzgrundverordnung (DSGVO) 2018 wirksam geworden ist, ringt Meta mit europäischen Aufsichtsbehörden, Gerichten und Datenschützer:innen um deren Auslegung. Dabei lotete der Konzern mit kreativen Methoden aus, unter welchen Bedingungen und auf welcher rechtlichen Grundlage er Nutzer:innendaten sammeln und verarbeiten darf.
Juristische Taschenspielertricks
Die DSGVO sieht eine Reihe möglicher Rechtsgrundlagen vor, auf deren Basis Unternehmen die personenbezogenen Daten ihrer Nutzer:innen verwenden dürfen. Erfüllt ein Unternehmen keine dieser Anforderungen, darf es solche Daten weder sammeln noch verarbeiten. Für Websites ist es beispielsweise gängige Praxis, die Zustimmung der Nutzer:innen über ein Cookie-Banner abzufragen. Meta sträubte sich jedoch lange dagegen, eine informierte und freiwillige Einwilligung einzuholen.
Als Grundlage für sein Geschäft mit Nutzer:innendaten wählte Meta nach Inkrafttreten der DSGVO zunächst die Klausel zur „vertraglichen Notwendigkeit“. Der Konzern argumentierte damals, seine Nutzer:innen zu tracken und ihnen personalisierte Werbung auszuspielen sei seine vertragliche Pflicht gegenüber diesen. Es sei „höchst ungewöhnlich“ für ein soziales Netzwerk, nicht auf individuelle Nutzer:innen zugeschnitten zu sein. Dadurch sah Meta sich im Recht, ohne Zustimmung seiner Nutzer:innen deren Daten zu sammeln.
Die Datenschutzorganisation noyb – kurz für: none of your business – legte kurz darauf Beschwerde gegen diese Praxis ein. Über vier Jahre später entschied der Europäische Datenschutzausschuss (EDSA), dass Meta mit dieser Praxis die DSGVO umgehen wollte. Dieser Auslegung musste sich die zuständige irische Datenschutzbehörde beugen und verhängte eine Geldbuße von 390 Millionen Euro gegen den Konzern.
Machtwort des Europäischen Gerichtshofs
Seine Nutzer:innen fragte der Konzern allerdings weiterhin nicht offen danach, ob sie der Verarbeitung ihrer Daten zustimmen. Stattdessen argumentierte er fortan, er habe ein „begründetes Interesse“ an der Verarbeitung von Nutzer:innendaten. Seitdem bietet Meta immerhin eine Opt-out-Option für seine Dienste an, welche jedoch gut versteckt und unnötig kompliziert ist.
Doch auch diese Auslegung der DSGVO ist rechtswidrig, wie der Europäische Gerichtshof (EuGH) vor Kurzem urteilte. Das Gericht befasste sich bei der Gelegenheit gleich mit allen sechs Rechtsgrundlagen, um klarzustellen, dass Meta Nutzer:innendaten ausschließlich mit deren Zustimmung via Opt-in sammeln darf.
Meta möchte weiter unsere Daten sammeln
Offenbar hat das jüngste Urteil dazu beigetragen, Meta zum Einlenken zu bewegen. Laut dem Wall Street Journal wird es jedoch bis Ende Oktober dauern, bevor der Konzern die Änderungen umsetzt.
Indes kündigte Meta die Änderungen nur für „bestimmte Daten und verhaltensbezogene Werbung“ an. Noyb stellt daher in Frage, wie rechtskonform die künftige Umsetzung der DSGVO durch Meta ausfallen wird. Der Datenschützer und Gründer von noyb, Max Schrems, schreibt: „Wir werden sehen, ob Meta die Zustimmungspflicht tatsächlich die gesamte Nutzung personenbezogener Daten für Werbung anwenden wird. Bislang ist von ‚hoch personalisierter‘ oder ‚verhaltensorientierter‘ Werbung die Rede, und es ist unklar, was das bedeutet“. Der österreichische Jurist gibt sich weiter kampfeslustig: „Wir werden natürlich weiter dagegen vorgehen, wenn Meta das Gesetz nicht vollständig einhält“, kündigt Schrems an.
Problem sind nicht nur juristische Taschenspiel-Tricks, sondern die ERHEBUNG und ein Abfließen der Daten.
Natürlich wird Verhalten verändert bei dem personalisierten Anzeigen von Informationen und eben für diese Erhebung eben die Legitimation erhoben, bestimmte private Daten zu benötigen.
Doch es bedeutet leider nicht direkt das diese Daten nicht erhoben werden weil die Personalisierung nicht verwendet wird oder Werbung angezeigt wird. Der Abfluss von Verhalten zur Avatar-Erstellung, also jenes Ebenbild das möglich Synchron mit den Gedanken und dem eigenen Verhalten der Betrachter*innen ist, dient ja eben dazu bestimmte Inhalte anzupassen um entweder neue Informationen zu bekommen, oder ein gewünschtes Verhalten zu focieren, oder eine Änderung an zu stoßen.
Selbst wenn man selbst nicht beeinflusst wird, könnte es passieren das irgendwo auf der Welt, bei einem Menschen der in etwa so ist wie die Anwender*in, deren Verhalten genauer und besser beeinflusst werden kann weil der Algorithmus bei dir, von dir lernen konnten und du in der selben Zielgruppe bist.
Problem. A/B-Test, also ein optimieren des Modells, ist nicht unbedingt „personalisierte Werbung oder Inhalte“, sondern die Daten können auch so abfließen wenn jemand damit einverstanden ist. Ein Aufgeklärter Konsenz bei der Einstimmung ist leider eine Illusion. Damit unser nächstes Streitthema.