BfDI fordert Abschluss von WhatsApp-Verfahren
Bonn, 12. Januar 2024
Datum 12.01.2024
Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit fordert ein Jahr nachdem die irische Datenschutzaufsichtsbehörde DPC einen Beschluss in Sachen WhatsApp erlassen hat, dass die offenen Fragen des Verfahrens endlich abschließend geklärt werden.
In einer Beschwerde, die mit Geltung der DSGVO am 25. Mai 2018 gegen den Messengerdienst eingereicht wurde, wandte sich die Beschwerdeführerin dagegen, dass Nutzende die im Zuge der DSGVO-Einführung geänderten Nutzungsbedingungen und die damit verbundene Datenschutzrichtlinie akzeptieren müssen, um den Messengerdienst nutzen zu können. Dies sei eine erzwungene Einwilligung und es sei nicht klar, auf welche Rechtsgrundlage WhatsApp einzelne Verarbeitungsvorgänge stütze.
Als innerdeutsch für Telekommunikationsdienste (wozu WhatsApp zählt) zuständige Datenschutzaufsichtsbehörde hat der BfDI die Beschwerde an die für das Unternehmen mit Sitz in Dublin federführend zuständige irische Aufsichtsbehörde DPC weitergeleitet.
Nach fast vier Jahren Verfahrensgang übermittelte die DPC am 1. April 2022 den europäischen Datenschutzaufsichtsbehörden einen Beschlussentwurf. Gegen diesen Beschlussentwurf legten die deutschen sowie die finnische, französische, italienische, niederländische und die norwegische Danteschutzaufsichtsbehörden Einsprüche ein. Da über wesentliche Punkte der Einsprüche keine Einigung mit der DPC hergestellt werden konnte, wurde ein Streitbeilegungsverfahren vor dem Europäischen Datenschutzausschuss (EDSA) eingeleitet.
Auf dieses Streitbeilegungsverfahren hin verabschiedete der EDSA am 5. Dezember 2022 den verbindlichen Beschluss 5/2022 (englisches PDF-Dokument) und wies darin die DPC an, ihren Beschluss zu ändern und festzustellen, dass WhatsApp in unzulässiger Weise personenbezogene Daten seiner Nutzenden zu Zwecken der Serviceverbesserungen und der Sicherheit verarbeitet. Dem ist die DPC mit ihrem am 12. Januar 2023 erlassenen Beschluss (englisches PDF-Dokument) nachgekommen. Eine abschließende Bewertung, ob die auf den Beschluss seitens WhatsApp getroffenen Maßnahmen hinreichend sind, um den DPC-Beschluss umzusetzen und den Dienst datenschutzkonform nutzen zu können, steht derzeit aus.
Zudem gab der EDSA der DPC auf, zu untersuchen, ob WhatsApp (sensible) personenbezogene Daten für Zwecke der verhaltensbezogenen Werbung, für Marketingzwecke sowie für die Bereitstellung von Statistiken an Dritte und den Austausch von Daten mit verbundenen Unternehmen verarbeitet und ob dies im Einklang mit der DSGVO geschieht. Auch diese Untersuchungen stehen derzeit noch aus. Der BfDI setzt sich gegenüber der DPC und im EDSA für eine vollständige Klärung der offenen Fragestellungen und einen zügigen Abschluss des Verfahrens ein.