Was passiert in der Welt?
Während sich der Bereich Datenschutz in unserem Land rasant entwickelt, bleiben weltweite Innovationen weiterhin im Fokus der Datenschutzbehörde („Behörde“).
Anhand von Beispielen, mit denen wir bereits mehrfach konfrontiert wurden, können wir beobachten, dass die Behörde mit den Entwicklungen auf der weltweiten Agenda Schritt hält, insbesondere mit den Bestimmungen der Europäischen Datenschutz-Grundverordnung (General Data Protection Regulation, „GDPR“), und versucht, den Anforderungen der sich schnell verändernden Welt des Datenschutzes gerecht zu werden.
GRC LEGAL verfolgt die weltweiten Entwicklungen aufmerksam und informiert Sie in diesem Beitrag über die aktuellen Ereignisse.
Die folgenden Nachrichten stammen aus den Monaten Oktober und November 2023.
Gesetzentwurf zur Online-Sicherheit im Vereinigten Königreich
Der Gesetzentwurf, der das Vereinigte Königreich zum „sichersten Ort der Welt für Online-Aktivitäten“ machen soll, wurde nach der Zustimmung des Königs in Kraft gesetzt. Sein Inhalt ist jedoch umstritten, insbesondere aufgrund seiner möglichen Auswirkungen auf verschlüsselte Nachrichten.
Der seit Jahren in Arbeit befindliche Gesetzentwurf sah neue Verpflichtungen für Technologieunternehmen hinsichtlich der Gestaltung, des Betriebs und der Verwaltung/Kontrolle ihrer Plattformen vor. Zu den spezifischen Schadensfaktoren, die der Gesetzentwurf angehen wollte, gehörten der Zugang Minderjähriger zu Online-Pornografie, „anonyme Trolle”, betrügerische Werbung, die nicht einvernehmliche Weitergabe privater Deepfakes, die Verbreitung von Material über sexuellen Missbrauch von Kindern und terroristische Inhalte.
Obwohl das Gesetz nun in Kraft getreten ist, wird nicht erwartet, dass Online-Plattformen alle Verpflichtungen im Rahmen des Online-Sicherheitsgesetzes sofort erfüllen. Die britische Telekommunikationsaufsichtsbehörde Ofcom, die für die Umsetzung des Gesetzes verantwortlich ist, plant, die Durchführungsbestimmungen in drei Phasen zu veröffentlichen:
Die erste Phase umfasst die Frage, wie Plattformen auf illegale Inhalte wie Terrorismus und Material über sexuellen Missbrauch von Kindern reagieren sollen. In einer am 9. November veröffentlichten ergänzenden Stellungnahme mit Vorschlägen zur Umsetzung dieser Verpflichtungen wird erneut deutlich, dass die Online-Sicherheit von Kindern im Vordergrund steht.
Die zweite und dritte Phase umfassen die Verpflichtungen der Plattformen, die Sicherheit von Kindern zu gewährleisten und Minderjährigen den Zugang zu Pornografie zu verwehren, sowie Transparenzberichte zu erstellen, betrügerische Werbung zu verhindern und den Nutzern „Empowerment-Tools” zur Verfügung zu stellen, mit denen sie mehr Kontrolle über die ihnen angezeigten Inhalte haben. Weitere Konsultationen zu anderen Verpflichtungen im Zusammenhang mit der Sicherheit von Kindern werden im kommenden Frühjahr stattfinden. Ofcom erklärte, dass es bis Ende nächsten Jahres eine Liste der „kategorisierten Dienste” veröffentlichen will, bei denen es sich um große oder risikoreiche Plattformen handelt, die Verpflichtungen wie die Erstellung von Transparenzberichten unterliegen.
Bei Verstößen gegen das Gesetz drohen den betroffenen Unternehmen Geldstrafen in Höhe von bis zu 18 Millionen Pfund (etwa 22 Millionen Dollar) oder 10 % ihres weltweiten Jahresumsatzes (je nachdem, welcher Betrag höher ist), während den Unternehmensinhabern Freiheitsstrafen drohen können.
Die britische Innenministerin Suella Braverman erklärte zum Online-Sicherheitsgesetz: „Die strengsten Schutzbestimmungen des Online-Sicherheitsgesetzes richten sich an Kinder. Social-Media-Unternehmen werden für den schrecklichen sexuellen Missbrauch von Kindern auf ihren Plattformen zur Verantwortung gezogen, und unsere Kinder werden sicherer sein.“ „Wir sind entschlossen, den sexuellen Missbrauch von Kindern zu bekämpfen, wo immer er auch stattfindet. Dieses Gesetz ist ein großer Schritt nach vorne.“
Das Online-Sicherheitsgesetz sorgt für Diskussionen!
Das Gesetz wurde von Befürwortern der Kindersicherheit begrüßt, war jedoch auch Gegenstand kontroverser Diskussionen mit verschiedenen Gegnern, von verschlüsselten Messaging-Anwendungen bis hin zur Wikimedia Foundation. Messaging-Apps wie WhatsApp und Signal haben gegen eine Bestimmung protestiert, die es Ofcom erlaubt, von Technologieunternehmen die Identifizierung von „öffentlich oder privat übermittelten“ Inhalten zu verlangen, die sexuellen Missbrauch von Kindern zeigen, und die ihrer Meinung nach die End-to-End-Verschlüsselungsfähigkeiten der Unternehmen fatal beeinträchtigt. Die Dienstleister haben erklärt, dass sie lieber aus dem Vereinigten Königreich wegziehen würden, als sich an diese Vorschriften zu halten.
Die Wikimedia Foundation erklärte unterdessen, dass die strengen Verpflichtungen des Gesetzentwurfs zum Schutz von Kindern vor unangemessenen Inhalten für einen Dienst wie Wikipedia, der sich dafür entschieden hat, nur ein Minimum an Daten über seine Nutzer zu sammeln, problematisch sein könnten.
Kommentar von GRC LEGAL
Mit diesem seit langem in Vorbereitung befindlichen Gesetz hat das Vereinigte Königreich einen wichtigen Schritt für die Sicherheit von Kindern in Online-Anwendungen im aktuellen Technologiezeitalter getan. Bei der Umsetzung solcher Gesetze geht es zwar darum, Kinder vor Online-Risiken zu schützen und böswillige Inhalte zu beschränken, aber andererseits muss im Hinblick auf die Privatsphäre ein sensibles Gleichgewicht zwischen Anwendungen und Kommunikationsmitteln gefunden werden, bei denen eine gewisse Vertraulichkeit erwartet wird.
Die Bedeutung einer sicheren Umgebung für Nutzer auf Online-Plattformen ist zwar äußerst wichtig, insbesondere für die Aufdeckung und Bekämpfung von Straftaten, die online begangen werden und sich gegen Kinder richten, doch muss bei der Umsetzung dieser Schutzmaßnahmen auch die Wahrung grundlegender Rechte wie der Schutz personenbezogener Daten gewährleistet sein. Es kann jedoch gesagt werden, dass das Gesetz mit den damit verbundenen strengen Sanktionen darauf abzielt, Sicherheitsbedenken auszuräumen, und es bleibt abzuwarten, wie sich die Anwendung angesichts der zu erwartenden neuen Leitlinien gestalten wird.
Meta x Werbefreies Abonnement
Meta wird ab November in Europa, dem Europäischen Wirtschaftsraum und der Schweiz eine werbefreie Abonnementversion von Instagram und Facebook anbieten.
Dieser Schritt von Meta ist das Ergebnis jahrelanger Datenschutzklagen, Sanktionen und Gerichtsentscheidungen in Europa. Diese Klagen führten dazu, dass Meta nun keine berechtigten Interessen mehr geltend machen kann, um Nutzer für gezielte Werbung zu verfolgen und zu profilieren. Obwohl Meta derzeit entgegen dem Urteil ohne rechtliche Grundlage arbeitet, kündigte das Unternehmen an, dass es im Sommer auf ein System umsteigen wird, das auf der Zustimmung der Nutzer basiert.
Gemäß dem regionalen Datenschutzgesetz war die einzige Grundlage, die Meta noch hatte, um für gezielte Werbung zu tracken und Profile zu erstellen, die ausdrückliche Zustimmung der Nutzer. Es ist zu erwarten, dass die Einholung der Zustimmung durch das Angebot des Werbegiganten „Zahlt uns oder lasst euch weiter tracken” Datenschutzbefürworter verärgern wird. Denn das neue Modell von Meta bietet die Wahl zwischen „Zahlt Geld oder zahlt mit eurer Privatsphäre”.
Laut einem Blogbeitrag von Meta ist für Facebook- und Instagram-Konten eine werbefreie Abonnementgebühr von 9,99 € pro Monat für das Web und 12,99 € pro Monat für iOS oder Android geplant. Außerdem wird angegeben, dass ab März 2024 für jedes im Konto-Center aufgeführte Konto eine zusätzliche Gebühr von 6 € pro Monat für das Web und 8 € pro Monat für iOS oder Android erhoben wird. Daher können die Kosten für die Nutzung eines werbefreien Abonnements bei Meta für diejenigen, die mehrere Konten in den sozialen Netzwerken von Meta haben, schnell steigen. Selbst für Nutzer, die nur ein einziges Facebook- oder Instagram-Konto haben, beläuft sich die Gebühr für ein werbefreies Abonnement auf über 120 € für die Webnutzung und über 155 € für die mobile Nutzung.
Der Schritt von Meta basiert auf einer Entscheidung des Europäischen Gerichtshofs, wonach für einen gleichwertigen Dienst (d. h. ohne Tracking und Profiling) eine „angemessene Gebühr” erhoben werden darf, wenn dies „notwendig” ist. Daher wird erwartet, dass auch der neue Schritt von Meta unter den Gesichtspunkten „Notwendigkeit” und „angemessene Gebühr” bewertet wird.
Die irische Datenschutzkommission (Ireland Data Protection Commission, „DPC”) ist die Hauptregulierungsbehörde für die Europäische Datenschutz-Grundverordnung (General Data Protection Regulation, „GDPR”) in der Europäischen Union. „Meta hat der DPC am 27. Juli mitgeteilt, dass es beabsichtigt, ein alternatives, auf Zustimmung basierendes Modell einzuführen, das den Nutzern die Wahl zwischen einer werbefinanzierten Plattformversion und einer kostenpflichtigen Abonnementversion bietet, bei der sie keiner gezielten Werbung ausgesetzt sind.” Das Zustimmungsmodell von Meta war ursprünglich für Februar 2024 vorgesehen, wurde jedoch auf Anweisung der DPC auf November 2023 vorverlegt. Da die DPC den rechtlichen Grundlagen, auf denen Meta die Datenverarbeitung stützt, nicht vertraut, forderte sie angesichts der bisherigen Erkenntnisse, dass die Änderungen so schnell wie möglich auf den Plattformen umgesetzt werden.
In Absprache mit anderen Aufsichtsbehörden in Europa führt die DPC eine detaillierte regulatorische Bewertung des von Meta vorgeschlagenen zustimmungsbasierten Modells für Facebook und Instagram als federführende Aufsichtsbehörde durch. Die Bewertung wird voraussichtlich in Kürze abgeschlossen sein. Auch die norwegische Datenschutzbehörde hat Bedenken hinsichtlich dieses Abonnements geäußert und Zweifel an der Gültigkeit der auf diese Weise eingeholten Einwilligung geäußert.
Meta muss nicht nur die DSGVO einhalten, sondern auch die Bestimmungen des EU-Gesetzes über digitale Dienste (EU Digital Services Act, „DSA“) und des Gesetzes über digitale Märkte (Digital Markets Act, „DMA“) beachten, die die Bedingungen für gezielte Werbung auf großen Plattformen festlegen und Beschränkungen für die Verwendung personenbezogener Daten zu Werbezwecken vorsehen.
Daher wird erwartet, dass nicht nur die Datenschutzbehörden, sondern auch die Europäische Kommission, die die entsprechenden Prozesse überwacht, an der Entscheidung über die Gültigkeit des Abonnement- oder Tracking-Angebots von Meta beteiligt sein wird.
Meta steht hinsichtlich seines Ansatzes zum DSA im Fokus der Kommission. Das Exekutivorgan der Europäischen Union hat Meta kürzlich um weitere Informationen zu seinem Ansatz in Bezug auf Bedrohungen durch Inhalte im Zusammenhang mit dem Krieg zwischen Israel und der Hamas sowie zur Wahlsicherheit gebeten. Es bleibt jedoch abzuwarten, ob die EU das Tracking-Angebot von Meta ebenso genau prüfen wird.
Meta argumentiert in seinem Blogbeitrag, dass es „den Anforderungen der europäischen Regulierungsbehörden gerecht wird und es allen Menschen in Europa, dem Europäischen Wirtschaftsraum und der Schweiz weiterhin ermöglicht, seine Dienste zu nutzen“, indem es den Menschen die Wahl lässt, für ihre Privatsphäre zu bezahlen oder sich überwachen zu lassen.
Die Tatsache, dass das Abonnement nur für Personen ab 18 Jahren angeboten wird, wirft Fragen darüber auf, wie dies mit den Bestimmungen der DSA und DMA vereinbar ist, wonach Daten von Kindern nicht für gezielte Werbung verarbeitet werden dürfen. Meta äußert sich zu diesem Thema wie folgt: „In diesem sich entwickelnden regulatorischen Umfeld suchen wir weiterhin nach Möglichkeiten, wie wir jungen Menschen eine nützliche und verantwortungsvolle Werbeerfahrung bieten können.”
Kommentar von GRC LEGAL
Meta, das weltweit beliebte Social-Media-Plattformen unter einem Dach vereint und häufig wegen der Profilerstellung seiner Nutzer in die Schlagzeilen gerät, wurde durch eine Entscheidung der Europäischen Datenschutzbehörde (European Data Protection Board, „EDPB“) daran gehindert, ohne Einwilligung gezielte Werbung zu betreiben. Meta versucht zwar, diese Hürde durch das Angebot einer kostenpflichtigen Abonnementoption zu überwinden, doch dieser Schritt von Meta zerstört die Erwartungen der Nutzer, die keine Abonnementgebühren zahlen wollen, in Bezug auf den Datenschutz vollständig.
Insbesondere angesichts der weltweiten Wirtschaftskrisen ist es nicht nur unangemessen, dass Nutzer für alle ihre Konten bei Meta, einschließlich zusätzlicher Konten, bezahlen müssen, sondern es wird sie auch dazu veranlassen, die kostenlose Version zu nutzen, sodass es nicht gerechtfertigt erscheint, davon auszugehen, dass die Nutzer gezielte Werbung und Profilerstellung freiwillig akzeptieren. Auch wenn diese Praxis von Meta von der Kommission als GDPR-konform eingestuft wird, ist es offensichtlich, dass sie im Hinblick auf DSA und DMA auf Hindernisse stoßen wird. Auch wenn diese beiden Gesetze Meta in Bezug auf gezielte Werbung Verpflichtungen auferlegen, würde die Einführung eines kostenpflichtigen Abonnements einen rechtlich zulässigen Verstoß gegen den Datenschutz darstellen und könnte sich in Zukunft zu einem noch viel problematischeren Punkt entwickeln.
Der Data Act: „Datengesetz”
Der Data Act („Datengesetz”) wurde im November vom Europäischen Parlament mit großer Mehrheit in einer Plenarabstimmung, die den letzten Schritt des Gesetzgebungsverfahrens darstellte, offiziell verabschiedet.
Mit der Veröffentlichung des Textes im Amtsblatt beginnt eine 20-monatige Übergangsfrist. Die von der Europäischen Kommission im Februar 2022 vorgeschlagene Verordnung ist Teil des Datenstrategiepakets der Europäischen Union und wird die letzte zu verabschiedende Verordnung sein.
Die Verordnung zielt darauf ab, einen Binnenmarkt für Daten zu schaffen, und konzentriert sich neben dem bereits geltenden Datenverwaltungsgesetz („Data Governance Act“) darauf, die freiwillige Weitergabe von Daten durch Einzelpersonen und Unternehmen zu erleichtern und die Bedingungen für die Nutzung bestimmter Daten des öffentlichen Sektors zu harmonisieren. Laut europäischen Statistiken werden 80 % der Industriedaten nie genutzt. Es wird erwartet, dass das Datenrecht mehr Daten zur Wiederverwendung bereitstellt und bis 2028 ein zusätzliches Bruttoinlandsprodukt von 270 Milliarden Euro generiert.
Dem Vorschlag zufolge soll das Datenrecht „sicherstellen, dass die Nutzer eines Produkts oder einer Dienstleistung in der Europäischen Union rechtzeitig Zugang zu den durch die Nutzung dieses Produkts oder dieser Dienstleistung generierten Daten erhalten und diese Daten nutzen können, einschließlich der Weitergabe an Dritte ihrer Wahl“. Kurz gesagt, es schafft neue Anforderungen, um zu klären, wer die Daten von verbundenen Produkten und damit verbundenen Dienstleistungen nutzen und darauf zugreifen darf.
Kommentar von GRC LEGAL
Das Datenschutzgesetz wird zu erheblichen Änderungen im Bereich der Datenverwaltung in der Europäischen Union führen und scheint auf eine Standardisierung in diesem Bereich abzuzielen. Wenn es gelingt, einen einheitlichen Markt für Daten in Europa zu schaffen, könnten die derzeitigen Unstimmigkeiten zwischen den Datenverwaltungsvorschriften und -standards der verschiedenen Länder verringert und ein einheitlicheres Umfeld für Unternehmen geschaffen werden.
Darüber hinaus ist es eine vielversprechende Entwicklung, dass die Nutzer die Kontrolle über den Zugriff auf die durch die Nutzung eines Produkts oder einer Dienstleistung erzeugten Daten und deren Weitergabe an Dritte ihrer Wahl erhalten, wodurch die Datennutzung transparenter und benutzerfreundlicher wird. Bei innovativen Rechtsvorschriften, die die freiwillige Weitergabe von Daten unterstützen und erleichtern, darf jedoch nicht übersehen werden, dass der Schutz der Privatsphäre eines der wichtigsten Aspekte ist, die es zu beachten gilt. Um die Auswirkungen des Datenschutzgesetzes vollständig beurteilen zu können, ist es ratsam, die Übergangsphase abzuwarten.
YouTube x Werbeblocker
Datenschützer behaupten, dass die Werbeblocker-Beschränkungen von YouTube gegen die Online-Datenschutzgesetze der Europäischen Union verstoßen.
Während YouTube seine Werbeblocker-Beschränkungen verschärft, argumentieren Datenschützer in der Europäischen Union, dass diese Beschränkungen durch offizielle Vorschriften der Regierungen gestoppt werden könnten. Der Datenschutzexperte Alexander Hanff reichte im Oktober eine Beschwerde bei der irischen Datenschutzkommission (Irish Data Protection Commission, „DPC“) ein. In seiner Beschwerde argumentierte Hanff, dass das Werbeblocker-Erkennungssystem von YouTube die Privatsphäre verletze und gegen EU-Recht verstoße.
Der Kampf gegen Werbeblocker ist nichts Neues, aber die weltweiten Bemühungen von YouTube, Werbeblocker zu unterbinden, haben das Thema erneut in den Fokus gerückt. Laut der New York Times können Websites wie YouTube Werbeblocker erkennen, indem sie einen JavaScript-Code herunterladen, der überprüft, ob sich etwas auf der Seite geändert hat, oder indem sie feststellen, ob die für das Laden einer Anzeige erforderlichen Elemente blockiert sind.
YouTube hat im Juni mit kleinen Einschränkungen für Werbeblocker zu Testzwecken begonnen und anschließend in einer Erklärung gegenüber The Verge bestätigt, dass das Unternehmen seine Bemühungen verstärkt hat. Das bedeutet, dass immer mehr Nutzer, die Werbeblocker verwenden, keine Videos mehr auf der Plattform ansehen können. In diesem Fall zeigt YouTube anstelle des Videos eine Aufforderung an, in der die Nutzer dazu aufgefordert werden, Werbung auf YouTube zuzulassen oder YouTube Premium zu abonnieren. In einem von Wired veröffentlichten Bericht wird darauf hingewiesen, dass Nutzer nach einem Werbeblocker suchen, der nicht von den YouTube-Einschränkungen betroffen ist, und dass Werbeblocker in Rekordzahlen heruntergeladen und entfernt werden. YouTube argumentiert hingegen, dass Werbeblocker gegen die Nutzungsbedingungen der Plattform verstoßen und Content-Ersteller daran hindern, Einnahmen aus Werbung zu erzielen.
Hanff wandte sich erstmals 2016 wegen der Verwendung von Tools zur Erkennung von Werbeblockern an die Europäische Kommission („Kommission“). Die Kommission bestätigte daraufhin, dass Skripte, die zur Erkennung von Werbeblockern verwendet werden, unter Artikel 5.3 der ePrivacy-Richtlinie fallen, wonach vor dem Speichern oder Abrufen von Informationen auf dem Gerät eines Nutzers dessen Einwilligung eingeholt werden muss, ähnlich wie bei Cookies auf Websites.
Die Kommission erklärte damals: „Artikel 5.3 beschränkt sich nicht auf bestimmte Arten von Informationen oder Technologien wie Cookies. Artikel 5.3 gilt auch für die Speicherung von Skripten auf den Endgeräten der Nutzer durch Websites, um festzustellen, ob die Nutzer Werbeblocker installiert haben und verwenden.“ Dies scheint jedoch keinen wesentlichen Einfluss darauf zu haben, wie Websites Adblocker erkennen. Die Europäische Kommission schien ihre Haltung im Jahr 2017 zu ändern, als sie in ihrem Reformvorschlag zum Datenschutzgesetz festlegte, dass Website-Anbieter ohne Zustimmung des Nutzers überprüfen dürfen, ob dieser einen Adblocker verwendet.
Hanff ist nicht der einzige, der sich gegen die Werbeblocker-Beschränkung von YouTube ausspricht. Der deutsche Digitalrechtsaktivist und Europaabgeordnete Patrick Breyer schreibt auf Mastodon: „YouTube will uns mit einer Anti-Adblocker-Mauer zu Überwachungswerbung und Tracking zwingen.“ Breyer gibt außerdem an, die Europäische Kommission gefragt zu haben, ob Adblocker-Erkennungssysteme im Rahmen der ePrivacy-Richtlinie legal sind.
YouTube-Sprecher Christopher Lawton reagierte auf die Kritik von Hanff und Breyer mit derselben Erklärung, die er bereits letzten Monat gegenüber The Verge abgegeben hatte, und erklärte, YouTube habe eine weltweite Initiative gestartet, um Werbeblocker zu unterbinden. Lawton fügte hinzu, das Unternehmen werde „bei allen Fragen oder Anfragen der DPC uneingeschränkt kooperieren”.
Sollte die Europäische Kommission zu dem Schluss kommen, dass das Werbeblocker-Erkennungssystem von YouTube gegen die ePrivacy-Richtlinie der EU verstößt, könnte sie der Plattform eine Geldstrafe auferlegen und sie zwingen, die Funktion zu ändern. Wie die Kommission auf Hanffs Herausforderung reagieren wird, ist zum jetzigen Zeitpunkt unklar, aber wahrscheinlich wird es für Nutzer in den Vereinigten Staaten keine Änderungen am derzeitigen System geben.
Derzeit gibt Hanff nicht nach. „Ich kämpfe seit fast zwanzig Jahren für einen stärkeren Schutz der Privatsphäre und der Datenschutzrechte“, sagt er. „Wenn YouTube weiterhin glaubt, dass es erfolgreich sein kann, Spyware auf unseren Geräten zu installieren, werde ich versuchen, das Unternehmen zu Fall zu bringen.“
Kommentar von GRC LEGAL
Werbung führt dazu, dass viele Internetnutzer Überwachungswerbung und Profiling ausgesetzt sind, macht aber gleichzeitig einen erheblichen Teil der Einnahmen vieler Social-Media-Plattformen wie YouTube aus. Dieser Interessenkonflikt zieht die Aufmerksamkeit von Datenschutzexperten auf sich.
Nachdem die Kommission bestätigt hat, dass Skripte, die zum Erkennen von Werbeblockern verwendet werden, der vorherigen Zustimmung der Nutzer unterliegen (ePrivacy-Richtlinie Artikel 5.3), ist es spannend, wie YouTube zu dieser Praxis stehen wird.
Sollte die Verwendung der Skripte unverändert fortgesetzt werden, ist es offensichtlich, dass YouTube aufgrund eines Verstoßes gegen die ePrivacy-Richtlinie mit einer Geldstrafe belegt werden könnte, die abschreckend wirken müsste. Selbst wenn innerhalb der Grenzen der Europäischen Union bestimmte Maßnahmen ergriffen werden, besteht dennoch die Gefahr, dass für Nutzer in Ländern außerhalb des Geltungsbereichs, wie beispielsweise den Vereinigten Staaten, keine Änderungen am System vorgenommen werden.