Am 27. Oktober 2023 hat die Europäische Datenschutzbehörde (EDSA) Meta verboten, personalisierte Werbung ohne Einwilligung bei Facebook und Instagram zu nutzen. Die EDSA hat die irische Datenschutzbehörde (DPC) angewiesen, das Verbot personalisierter Werbung ohne Einwilligung gegenüber Meta innerhalb von 2 Wochen durchzusetzen.
Letztendlich ist dieses Verbot personalisierter Werbung “nur” eine behördliche Entscheidung, die grundsätzlich gerichtlich angreifbar ist und dennoch hat nun erstmals eine europäischen Aufsichtsbehörde Maßnahmen erlassen, die für den gesamten DSGVO-Geltungsbereich wirken: ein Verbot der Verarbeitung personenbezogener Daten für verhaltensbezogene Werbung auf der Rechtsgrundlage von Verträgen und berechtigten Interessen.
Rechtsgrundlage: Vertrag, berechtigte Interessen oder Einwilligung?
Hintergrund ist, dass Meta die personalisierte Werbung auf seinen Plattformen Facebook und Instagram ohne ausreichende Informationen der Nutzer:innen und ohne deren Einwilligung ausführt. Meta stützt sich bei der Datenverarbeitung auf die Rechtsgrundlagen des Art. 6 lit. b DSGVO (Erforderlichkeit zur Erfüllung eines Vertrages) und lit. f (Vorliegen eines berechtigten Interesses für die Verarbeitung).
Seit 2022 sind Entscheidungen des EuGH, der DPC, und der norwegischen Datenschutzbehörde ergangen, die in vergleichbaren Fällen nur die Rechtsgrundlage einer Einwilligung iSv Art. 6 lit. a DSGVO als wirksam betrachten.
Das Verbot tritt eine Woche nach der Benachrichtigung von Meta durch die irische Datenschutzbehörde in Kraft. Die irische Behörde hat Meta bereits am 31. Oktober über diese Entscheidung informiert.
Wie reagiert Meta?
So hat Meta am 30. Oktober mitgeteilt, den Nutzern in der EU, im EWR und in der Schweiz die Möglichkeit zu geben, eine monatliche Abonnementgebühr zu zahlen, um Facebook und Instagram ohne Werbung zu nutzen. Alternativ können sie diese Dienste weiterhin kostenlos nutzen, während sie Werbung sehen, die für sie relevant ist.
Zu den Anforderungen an Abonnement-Modelle auf Websites hat im März 2023 die Datenschutzkonferenz (DSK) bereits einen Beschluss veröffentlicht. Die von der DSK festgelegten Anforderungen werden von den deutschen Aufsichtsbehörden bei nationalen Anbietern durchgesetzt und umgesetzt. Dazu gehören die genaue Festlegung bei der Zustimmung, Transparenz und der Verzicht auf irreführende Gestaltungsmittel.
Zur Zeit prüft die irische Datenschutzbehörde derzeit gemeinsam mit anderen Datenschutzbehörden die Vorschläge von Meta und es wird spannend, ob die IE DPA zu ähnlichen Ergebnissen wir die DSK kommt und Meta einen Weg gefunden hat, um dem Verbot personalisierter Werbung ohne Einwilligung wirksam abzuhelfen.
