Ausgangslage
Im September vergangenen Jahres ging unter anderem der Hamburger Datenschutzbeauftragte Johannes Casper gegen Facebook, bezüglich der Weitergabe von gesammelten personenbezogenen Daten von WhatsApp an Facebook, vor. Nach dessen Ansicht genügen die durch Facebook vorgenommenen Maßnahmen zur Erhebung und Speicherung der personenbezogenen Daten deutscher WhatsApp-Nutzer nicht den Anforderungen des § 4 BDSG.
Nach dem § 4 Abs. 1 Bundesdatenschutzgesetz (BDSG) wäre für eine rechtmäßige Erhebung, Verarbeitung und/oder Nutzung der Daten entweder
- die Zustimmung des Betroffenen oder
- eine Rechtsgrundlage
erforderlich.
Nach Ansicht des Hamburger Datenschutzbeauftragten habe Facebook keine ordnungsgemäße Zustimmung der betroffenen WhatsApp-Nutzer nach § 4 Abs. 1 BDSG eingeholt. WhatsApp hatte lediglich seine Nutzer um eine Zustimmung der Weitergabe an Facebook gebeten. Nach dem „Doppeltürmodell“ genügt dies jedoch nicht. Nach diesem muss eine Einwilligung nicht nur von der übermittelnden Stelle (WhatsApp) eingeholt werden, sondern auch von der empfangenden Stelle (Facebook). Weiterhin wurde bemängelt, dass der Nutzer keine freie Einwilligung (§ 4a BDSG) über die Weiterleitung seiner Daten abgeben konnte, da dieser der Datenweitergabe nur entgehen kann, wenn das WhatsApp-Konto gelöscht wird. Zudem wurde der Nutzer nicht hinreichend über die von WhatsApp angebotene „Opt-Out“-Möglichkeit informiert, die dem Nutzer einen Datenübertragungsstopp suggerierte, diesen jedoch nicht ausführte. Ebenso war keine Rechtsgrundlage ersichtlich, die die Erhebung der Daten ohne Zustimmung der Betroffenen rechtfertigte.
Er forderte deshalb von Facebook die Löschung der unrechtmäßig erhobenen Daten sowie die Dokumentation des Löschvorgangs.
Gegen diese Verfügung des Hamburger Datenschutzbeauftragten legte Facebook Widerspruch ein und ersuchte um einstweiligen Rechtsschutz.
Vorläufige Pflicht Facebooks zur Beachtung des deutschen Datenschutzrechts
Das Verwaltungsgericht Hamburg hat nun in einem Eilverfahren mit dem Beschluss vom 25.04.2017 entschieden (Az. 13 E 5912/16), dass der Antrag des Hamburger Datenschutzbeauftragten auf Löschung und Dokumentation des Löschverfahrens der von Facebook gesammelten WhatsApp-Nutzerdaten aufgrund eines formellen Fehlers nicht sofort vollziehbar sei. Folglich müsse Facebook derzeit keine Löschung der Daten vollziehen, darf diese jedoch ohne ordnungsgemäße Einwilligung der WhatsApp-Nutzer nicht nutzen.
Datenweitergabe von WhatsApp – Ausblick
Derzeit sei nach Erklärung der Richter noch offen, ob Facebook mit dem Widerspruch gegen die Anordnung des Hamburger Datenschutzbeauftragten Erfolg haben wird. Es sei noch nicht hinreichend geklärt, ob die Anwendung des deutschen Datenschutzrechts in diesem Fall einschlägig ist und gegen die in Irland firmierte Facebook Ltd. Anwendung findet. Kommt das deutsche Datenschutzrecht jedoch zur Anwendung, wäre die Anordnung des Hamburger Datenschutzbeauftragten voraussichtlich rechtmäßig.
