Die Facebook-eigene Messaging-Plattform WhatsApp wird innerhalb eines Monats nach einer verbindlichen Entscheidung des Datenschutzausschusses des Blocks von der Höhe einer Geldbuße der irischen Datenschutzbehörde wegen eines mutmaßlichen Verstoßes gegen den EU-Datenschutzrahmen erfahren.
Den zeitlichen Rahmen für die lang erwartete Entscheidung hat der Europäische Datenschutzausschuss (EDSA), die Aufsichtsbehörde aller EU-Datenschutzbehörden, am Mittwoch (28. Juli) verbindlich festgelegt.
Die Entscheidung befasst sich mit den Einwänden einer Reihe von EU-Datenschutzwächtern gegen einen Entscheidungsentwurf des irischen Datenschutzbeauftragten (DPC), der zuständigen Aufsichtsbehörde, da Whatsapp seinen europäischen Hauptsitz in Irland hat.
Das DPC hat den Messaging-Dienst wegen eines mutmaßlichen Verstoßes gegen die DSGVO untersucht, insbesondere wegen Behauptungen, es habe keine klaren Informationen darüber gegeben, welche Daten an Facebook, die Muttergesellschaft des Diensteanbieters, weitergegeben wurden.
Mehrere Verbraucherorganisationen haben kürzlich eine separate Beschwerde gegen WhatsApp eingereicht, in der sie der Messaging-Plattform vorwerfen, die Nutzer wiederholt aufgefordert zu haben, ihre neue Datenschutzrichtlinie zu akzeptieren, ohne deren Auswirkungen auf die Verarbeitung personenbezogener Daten klar zu erläutern.
„Wir begrüßen die Bekanntgabe seiner Entscheidung durch den EDPB und hoffen, dass dies zu schnellen Maßnahmen der irischen Behörde gegen WhatsApp wegen Nichteinhaltung der Datenschutzvorschriften führt“, sagte Maryant Fernández Pérez, Senior Digital Policy Officer bei der Europäischen Verbraucherorganisation (BEUC).
Ein WhatsApp-Sprecher erklärte, dass sie “weiterhin mit dem IDPC zusammenarbeiten und dessen endgültige Entscheidung abwarten”.
Das DPC hat nun einen Monat Zeit, um seine Entscheidung abzuschließen, deren Entwurf im Dezember 2020 gemäß einem DSGVO-Verfahren, das wiederholt wegen Verzögerungen kritisiert wurde, EU-weit vorgelegt wurde. Die Untersuchung wurde bereits durch eine Verfahrensbeschwerde von WhatsApp verzögert.
Auf eine Antwort auf den Entwurf konnten sich die EU-Datenschutzbehörden nicht einigen. Es wurden mehrere Einwände gegen die Art der Verstöße, den personenbezogenen Charakter der betroffenen Daten und die „Angemessenheit der vorgesehenen Korrekturmaßnahmen“ erhoben.
Der DPC wiederum stimmte diesen Einwänden nicht zu und verwies den Fall an die Kammer, die den Beschwerden stattgab und sie für „sachlich und begründet“ hielt.
„Die von der irischen Datenschutzbehörde vorgeschlagene WhatsApp-Geldstrafe wäre bei weitem die höchste gewesen, die die Regulierungsbehörde jemals verhängt hat. Aber es scheint, dass die Strafe nach Ansicht anderer EU-Datenschutzbehörden immer noch zu gering war“, sagte Robert Bateman, Analyst und Forschungsdirektor bei GRC World Forums, gegenüber EURACTIV.
Bateman sieht die Entscheidung als “einen weiteren Schlag” für die irische Behörde, die von ihren Kollegen mehrmals scharf für das langsame Tempo ihrer Ermittlungen kritisiert wurde. Im Mai stimmten die Abgeordneten für eine Resolution, in der die Einleitung eines Vertragsverletzungsverfahrens gegen Irland wegen Nichtdurchsetzung der DSGVO gefordert wurde.
Nach der DSGVO können Bußgelder bis zu 4% des Jahresumsatzes der Unternehmen betragen. Im November letzten Jahres wurde berichtet, dass WhatsApp 77,5 Millionen Euro in Erwartung einer möglichen Geldstrafe und für alle damit verbundenen Maßnahmen bereitstellt.
Das DPC hat nur eine weitere Geldbuße wegen eines Verstoßes gegen die DSGVO gegen ein US-amerikanisches Technologieunternehmen, Twitter, verhängt, deren Wert ebenfalls nach dem Widerstand anderer EU-Regulierungsbehörden angehoben werden musste.
„Dieser Vorfall bedeutet, dass Irland mehr denn je unter Druck steht, seine Haltung gegenüber den großen Technologieunternehmen, die innerhalb seiner Grenzen angesiedelt sind, zu härten“, fügte Bateman hinzu.
[Edited by Josie Le Blond]