Was passiert in der Welt?
Die politischen Parteien in der Europäischen Union haben sich vor den Wahlen verpflichtet, Deepfakes zu vermeiden!
Die politischen Parteien in der Europäischen Union („EU“) haben sich im April im Rahmen der EU-Verordnung über faire Wahlkampagnen darauf geeinigt, vor den Wahlen im Juni keine sogenannten „Deepfakes“ – also gefälschte Inhalte – zu produzieren, zu verwenden oder zu verbreiten. Die meisten politischen Parteien unterzeichneten bei einer Zeremonie in der Europäischen Kommission eine freiwillige Verhaltensrichtlinie, die die genannten Verpflichtungen für die Europawahlen vom 6. bis 9. Juni enthält.
Diese Verpflichtung kam zu einer Zeit, in der die Besorgnis über ausländische Einmischung durch Desinformationskampagnen und Cyberangriffe zunimmt. Videos, Fotos und Tonaufnahmen, die mit allgemein zugänglichen KI-Tools erstellt wurden, um bekannte Persönlichkeiten, darunter auch Politiker, zu imitieren, wurden in der Slowakei, im Vereinigten Königreich und in den Vereinigten Staaten verbreitet, um Wähler zu manipulieren. Auch Parteien in Frankreich und Polen nutzten diese Technologie, um andere Politiker anzugreifen.
Die Vizepräsidentin der Kommission, Věra Jourová, erklärte: „Diese Vereinbarung wird dazu beitragen, Vertrauen unter den Wählern aufzubauen und das Vertrauen in den Wahlprozess zu stärken. Wahlen sollten ein Wettstreit der Ideen sein, nicht der manipulativen Methoden wie Deepfakes mit künstlicher Intelligenz.“
Die Verpflichtung wurde von der Europäischen Kommission und dem Internationalen Institut für Demokratie und Wahlhilfe (European Commission and the International Institute for Democracy and Electoral Assistance, „International IDEA“), einer Organisation aus 35 Ländern, die sich weltweit für Demokratie einsetzen, entwickelt und vereinbart.
Die Parteien haben sich verpflichtet, keine „irreführenden Inhalte, die Audio-, Bild- oder Videomaterial verwenden und mit oder ohne künstliche Intelligenz erstellt wurden und Kandidaten, Amtsträger oder andere Wahlakteure auf falsche oder irreführende Weise verändern oder imitieren“, zu produzieren, zu verwenden oder zu verbreiten. Solche Inhalte sind nur dann zulässig, wenn sie eindeutig als solche gekennzeichnet sind.
Plattformen wie Facebook, YouTube und Tik Tok müssen im Rahmen des neuen EU-Gesetzes zur Inhaltskontrolle, dem Digital Services Act, sicherstellen, dass politische Werbung und Deepfakes eindeutig als Fälschungen gekennzeichnet werden.
Im Februar haben sich Unternehmen wie Google, Facebook-Eigentümer Meta und ChatGPT-Hersteller OpenAI darauf geeinigt, gemeinsam an der Entwicklung von Tools zur Erkennung und Kennzeichnung von Deepfakes zu arbeiten.
Zu den weiteren 14 freiwilligen Verpflichtungen in der Verordnung gehören unter anderem die Verpflichtung, keine gefälschten Konten und Bots zur Verstärkung politischer Botschaften zu verwenden und politische Werbung, einschließlich der von Social-Media-Influencern, offenzulegen. Die europäischen politischen Parteien in der EU haben sich außerdem verpflichtet, keine Inhalte zu unterstützen, die zu Gewalt aufrufen, und keine diskriminierenden Botschaften zu verbreiten.
GRC LEGAL Kommentar: Mit der Entwicklung der künstlichen Intelligenz und der zunehmenden Zahl von Unternehmen, die in diesen Sektor einsteigen wollen, lassen sich zwar viele Entwicklungen nicht leugnen, die das Leben der Menschen erleichtern, aber es ist auch eine unbestreitbare Tatsache, dass dies viele gefährliche Folgen hat. Tatsächlich sind künstliche Intelligenzen, die mithilfe von Deepfakes, einem Produkt der künstlichen Intelligenz, mittlerweile Fotos und Videos in einer Qualität produzieren können, die kaum von der Realität zu unterscheiden ist, in der Lage, die Entscheidungen und das Verhalten von Menschen zu beeinflussen. Aus diesem Grund ist es äußerst wichtig, dass die politischen Parteien in der EU im Rahmen der genannten Anwendungen, die eine manipulative Wirkung haben, freiwillig solche Verhaltensregeln verabschieden.
Insbesondere angesichts der Ankündigung des Europäischen Parlaments, dass die TikTok-App, die bisher aufgrund zahlreicher Datenverstöße in den Schlagzeilen stand, im Rahmen der Kampagnen für die Wahlen im Juni eingesetzt werden soll, kann dieser Schritt im Rahmen der Verhaltensregeln als positiv bewertet werden. (Die Details zu dieser Meldung finden Sie in der 18. Ausgabe unseres Newsletters „Was passiert in der Welt?“)
Threads X Türkei
Meta hat angekündigt, dass Threads, der Konkurrent von X, der im Juli 2023 seinen Betrieb aufgenommen hat, am 29. April für Nutzer in der Türkei geschlossen wird. Der Grund dafür ist eine Entscheidung der Wettbewerbsbehörde, die den Datenaustausch zwischen Threads und Instagram, mit dem Threads seit seiner Einführung verbunden ist, verbietet.
In der Ankündigung der Wettbewerbsbehörde heißt es: „Die Zusammenführung der Daten von Nutzern, die ein Threads-Profil erstellt haben, ohne den Nutzern eine Wahlmöglichkeit zu bieten, würde bis zum Abschluss der Untersuchung zu schwerwiegenden Schäden führen.“
Meta gibt an, dass es während der Abschaltung von Threads zu keinen Unterbrechungen bei anderen Diensten wie Facebook, Instagram und WhatsApp kommen wird und dass „Maßnahmen ergriffen werden, um die Unterbrechung für Threads-Nutzer in der Türkei so gering wie möglich zu halten“. Diese Maßnahmen umfassen Folgendes:
- Alle Threads-Nutzer in der Türkei werden vor dem 29. April in der Threads-App und auf Instagram über diese Entscheidung informiert.
- Personen, die Threads in der Türkei nutzen, können ihre Threads-Profile deaktivieren, aber nicht löschen, oder sie können ihre Profile löschen.
- Wenn eine Person sich dafür entscheidet, ihr Profil zu deaktivieren, werden die Beiträge der Nutzer und ihre Interaktionen mit den Beiträgen anderer Personen wieder sichtbar, sobald Threads in die Türkei zurückkehrt.
- Personen, deren Profile deaktiviert wurden, können ihre Beiträge jederzeit über die Funktion „Deine Daten herunterladen” herunterladen und ihre vorhandenen Inhalte behalten.
Meta erklärte, dass es der Ansicht sei, dass Threads alle gesetzlichen Anforderungen erfülle, und dass es mit der Entscheidung nicht einverstanden sei und dagegen Einspruch einlegen werde. Die einstweilige Verfügung lässt jedoch keine andere Wahl, als Threads offline zu nehmen, während „konstruktive Gespräche” mit dem Rechnungshof fortgesetzt werden, um Threads für Nutzer in der Türkei wieder verfügbar zu machen. Meta erklärte in einer Stellungnahme, dass es gegen die Entscheidung zur Schließung von Threads Berufung einlegen werde und plane, Threads so schnell wie möglich für Nutzer in der Türkei wieder verfügbar zu machen.
Threads hat seit seiner Einführung mit Problemen zu kämpfen, darunter auch, dass Profile nicht unabhängig von Instagram gelöscht werden können, aufgrund seiner Verbindung zu Instagram.
GRC LEGAL Kommentar: Die von Meta auf den Markt gebrachte Plattform Threads ist seit vielen Jahren ein Konkurrent des Branchenführers X. Seit seiner Markteinführung war Threads eine Anwendung, die bei den Behörden auf dem Radar war, da sie sowohl eine gemeinsame Verbindung mit den Instagram-Konten der Nutzer herstellte als auch die Wettbewerbsfähigkeit durch die Zusammenführung von Nutzerdaten stärkte. In diesem Sinne kann man sagen, dass der Schritt der Wettbewerbsbehörde angemessen ist, um die betreffende Anwendung erneut zu überprüfen, damit die Nutzer den Prozess nach ihrem freien Willen steuern können.
Das erste Gesetz zum Schutz der Gehirnwellen von Verbrauchern! !
Der Gouverneur von Colorado, Jared Polis, unterzeichnete im April die erste in den USA verabschiedete Maßnahme zum Schutz der Daten in den Gehirnwellen von Personen.
Die Befürworter des Gesetzesentwurfs erklärten, dies sei notwendig, da die rasanten Fortschritte in der Neurotechnologie das Scannen, Analysieren und Verkaufen von mentalen Daten zunehmend möglich und profitabel machten.
Die Abgeordnete Cathy Kipp, eine der Befürworterinnen des Gesetzes, erklärte, dass die Fortschritte im Bereich der Neurotechnologie große Hoffnungen für die Verbesserung des Lebens vieler Menschen wecken, und sagte: „Wir müssen einen klaren Rahmen schaffen, um zu verhindern, dass die persönlichen Daten der Einwohner Colorados ohne deren Zustimmung verwendet werden, und gleichzeitig die Entwicklung dieser neuen Technologien zulassen.“
Kevin Priola, ein weiterer Befürworter des Gesetzentwurfs, erklärte: „Neurotechnologie ist nicht mehr auf medizinische und akademische Bereiche beschränkt, sondern auch im Bereich der Konsumgüter tätig, wo es derzeit keine Vorschriften, Datenschutzstandards oder vergleichbare ethische Beschränkungen gibt.”
Die gemeinnützige Neurorights Foundation, die die ethische Entwicklung der Neurotechnologie fördert, erklärte, dass der von Colorado unterstützte Gesetzentwurf der erste seiner Art in den USA sei. Die Stiftung veröffentlichte einen Bericht, in dem sie die Datenschutzmaßnahmen der Neurotechnologiebranche bewertet. Die Gesetze von Colorado legen fest, dass Neurotechnologien, die in klinischen Umgebungen eingesetzt werden, bereits unter die medizinischen Datenschutzgesetze fallen, weshalb die neue Maßnahme auf Verbraucherprodukte außerhalb von Krankenhäusern abzielt.
Große Technologieunternehmen, darunter Meta und Elon Musks Neuralink, entwickeln Technologien, die Gehirnaktivitäten erfassen und anschließend potenziell kommerziell nutzen können. Die Verwendung von Gehirndaten birgt unendliches Potenzial, um Werbung besser auszurichten, die Stimmungen von Menschen zu nutzen, mehr Produkte zu verkaufen oder verlorene Gehirnfunktionen wiederherzustellen.
Die US-amerikanische Lebensmittel- und Arzneimittelbehörde FDA hat im vergangenen Jahr die Durchführung von Studien am Menschen mit den zuvor an Tieren getesteten Hirnimplantaten von Neuralink genehmigt.
Anfang dieses Monats erklärte der CEO von Neuralinks Konkurrent Synchron gegenüber Reuters, dass sein Unternehmen sich darauf vorbereite, Patienten für eine groß angelegte klinische Studie zu rekrutieren, die für die kommerzielle Zulassung seines Geräts erforderlich ist.
Auch andere Regierungen weltweit arbeiten daran, den Schutz ihrer Bürger im Bereich der Neurotechnologie zu verbessern.
GRC LEGAL Kommentar: Technologische Entwicklungen, die das Leben der Menschen erleichtern sollen, schreiten weltweit mit Hochgeschwindigkeit voran, bringen jedoch auch eine Reihe von Problemen mit sich. Die zunehmende Verbreitung der Neurotechnologie ist für die Behandlung von psychischen Störungen und Erkrankungen von großer Bedeutung, doch ist umstritten, inwieweit die mit dieser Technologie gewonnenen personenbezogenen Daten rechtlich geschützt sind. Tatsächlich steht die Verarbeitung und Speicherung der entsprechenden Daten in engem Zusammenhang mit den Grundrechten und -freiheiten und macht die Schaffung neuer Vorschriften erforderlich. In diesem Sinne ist das vom Gouverneur von Colorado unterzeichnete Gesetz als erstes Gesetz zu diesem Thema von großer Bedeutung. Denn es wird auch für andere Gesetze, die noch erlassen werden, weltweit als Vorbild dienen. Darüber hinaus kommt den Technologieunternehmen eine große Verantwortung hinsichtlich der Einhaltung der Vorschriften zu. Sie müssen alle erforderlichen Maßnahmen ergreifen, um sicherzustellen, dass die entwickelten Technologien unter Kontrolle bleiben und nicht für missbräuchliche Zwecke verwendet werden.
GhostR x World-Check
Eine Hackergruppe, die sich auf Finanzkriminalität spezialisiert hat, gab bekannt, dass sie eine geheime Datenbank mit Millionen von Datensätzen gestohlen hat, die von Unternehmen verwendet wird, um potenzielle Kunden auf Sanktionen und Verbindungen zu Finanzkriminalität zu überprüfen. Die Hacker, die sich GhostR nennen, gaben bekannt, dass sie im März 5,3 Millionen Datensätze aus der World-Check-Datenbank gestohlen haben und drohten, die Daten online zu veröffentlichen.
Infobox: World-Check ist eine Screening-Datenbank, die für „Know your customer”-Prüfungen („KYC”) verwendet wird und es Unternehmen ermöglicht, festzustellen, ob potenzielle Kunden mit Geldwäsche in Verbindung stehen oder unter staatlichen Sanktionen stehen, also hochriskante oder potenzielle Straftäter sind. World-Check gehört derzeit zur London Stock Exchange Group, nachdem diese 2021 den Finanzdatenanbieter Refinitiv für 27 Milliarden Dollar übernommen hat.
Die Hacker teilten TechCrunch mit, dass sie die Daten von einem in Singapur ansässigen Unternehmen gestohlen hätten, das Zugang zur World-Check-Datenbank habe, nannten jedoch nicht den Namen des Unternehmens. Ein Teil der gestohlenen Daten, die die Hacker TechCrunch zur Verfügung stellten, enthält Personen, gegen die erst in diesem Jahr Sanktionen verhängt wurden.
Simon Henrick, Sprecher der London Stock Exchange Group („LSEG“), die die Datenbank verwaltet, erklärte gegenüber TechCrunch: „Es handelte sich nicht um eine Sicherheitsverletzung gegenüber der LSEG/unseren Systemen. Der Vorfall betrifft einen Datensatz eines Dritten, der eine Kopie der World-Check-Datendatei enthält. Dieser wurde unrechtmäßig aus dem System des Dritten entwendet. Wir stehen in Kontakt mit dem betroffenen Dritten, um sicherzustellen, dass unsere Daten geschützt sind und die zuständigen Behörden informiert werden.” Die LSEG nannte den Namen des Drittunternehmens nicht, bestritt jedoch nicht die Menge der gestohlenen Daten.
Der von TechCrunch eingesehene Teil der gestohlenen Daten enthält Einträge zu Tausenden von Personen, darunter aktuelle und ehemalige Regierungsbeamte, Diplomaten und Führungskräfte, die als „politisch einflussreiche Personen” gelten, sowie private Unternehmen, bei denen ein höheres Risiko für Korruption oder Bestechung besteht. Auf der Liste stehen auch Personen, die der Beteiligung an organisierter Kriminalität beschuldigt werden, mutmaßliche Terroristen, Geheimdienstmitarbeiter und ein europäischer Anbieter von Spionagesoftware.
Die Daten variieren je nach Eintrag. Die Datenbank enthält Namen, Passnummern, Sozialversicherungsnummern, Online-Krypto-Kontokennungen, Bankkontonummern und vieles mehr.
Es ist jedoch bekannt, dass privat betriebene Datenbanken wie World-Check Fehler enthalten können, die völlig unschuldige Personen betreffen, die keinerlei Verbindung zu Straftaten haben, deren Daten jedoch in diesen Datenbanken gespeichert sind.
GRC LEGAL Kommentar: Der World-Check-Datenleck macht einmal mehr die Bedeutung von Datenschutz und Cybersicherheit deutlich. Angesichts der Größe des betroffenen Datensatzes und der Tatsache, dass es sich um sensible Daten handelt, müssen Unternehmen und staatliche Institutionen die notwendigen Maßnahmen zum Schutz ihrer Datenbanksysteme ergreifen und einen proaktiven Ansatz verfolgen, um das Risiko von Datenverstößen zu minimieren. Andernfalls ist es mit der sich weiterentwickelnden Technologie unvermeidlich, dass Systeme mit Millionen von Datensätzen von Hackern gestohlen werden und zu einer landesweiten Bedrohung werden.
Meta x Verhaltensbasierte Werbung
Nach der Feststellung des Gerichtshofs der Europäischen Union (Court of Justice of the European Union, „CJEU”), dass die Verarbeitung personenbezogener Daten, die Meta von Drittanbietern sammelt und mit personenbezogenen Daten verknüpft, die für verhaltensbasierte Werbung auf Facebook gesammelt werden, nicht auf einer vertraglichen Notwendigkeit oder einem berechtigten Interesse im Sinne der DSGVO beruhen kann, sahen sich viele Unternehmen mit Unsicherheit konfrontiert. Meta führte daraufhin ein „Bezahlen oder Einwilligen”-Modell ein, das von Datenschutzbehörden kritisiert wurde und die Situation noch komplizierter machte.
Während sich die aktuellen Regulierungsmaßnahmen auf Meta konzentrieren, betreffen die potenziellen Folgen eine breitere Kritik an gezielter Werbung. Da „Bezahlen oder Einwilligen”-Modelle weit verbreitet sind, könnten mehrere Unternehmen davon betroffen sein. Dies betrifft auch das Grundrecht und die Grundfreiheit, in Übereinstimmung mit den EU-Rechtsvorschriften sowie den nationalen Rechtsvorschriften und Praktiken, wie in Artikel 16 der Charta der Grundrechte der Europäischen Union festgelegt, geschäftlich tätig zu sein.
Daher müssen alle Beschränkungen verhältnismäßig und notwendig sein und tatsächlich den anerkannten Zielen des Allgemeinwohls oder dem Schutz der Rechte und Freiheiten anderer entsprechen. Mit anderen Worten: Das Grundrecht von Meta oder jedem anderen Unternehmen, unabhängig von seiner Größe, auf Ausübung seiner Geschäftstätigkeit muss gegen das allgemeine Recht auf Privatsphäre abgewogen werden.
Angemessene Gebühren – was sollte erlaubt sein?
Ein Hindernis für Datenschutzbehörden, die negativ auf das Modell „Bezahlen oder zustimmen” reagieren, ist die Erklärung des EuGH, dass „die Nutzer die Freiheit haben müssen, im Rahmen des Vertragsabschlusses bestimmte Datenverarbeitungsvorgänge, die für die Erfüllung des Vertrags nicht erforderlich sind, individuell abzulehnen, ohne vollständig auf die Nutzung des vom Betreiber des sozialen Online-Netzwerks angebotenen Dienstes verzichten zu müssen, d. h. diesen Nutzern muss, falls erforderlich, gegen eine angemessene Gebühr eine gleichwertige Alternative angeboten werden, bei der solche Datenverarbeitungsaktivitäten nicht stattfinden”.
Mit diesen Aussagen scheint der EuGH bereits bestätigt zu haben, dass die Tür für „Bezahlen oder Zustimmen”-Modelle immer offen steht und dass die Zustimmung auch dann frei gegeben werden kann, wenn der Nutzer für die Nutzung des Dienstes eine Gebühr entrichten muss.
Außerdem scheint es nicht besonders problematisch zu sein, zu behaupten, dass eine Gebühr für die Finanzierung des Dienstes „notwendig” ist. Die verbleibende Frage betrifft daher die Notwendigkeit, dass die Gebühr „angemessen” sein muss. Der EuGH hat dazu keine weiteren Erläuterungen abgegeben. Es ist jedoch wahrscheinlich, dass diese Anforderung aufgenommen wurde, um sicherzustellen, dass der Nutzer den Dienst nicht vollständig meidet, weil er aufgrund einer unangemessen hohen Gebühr keine Einwilligung erteilt. Dies wirft die recht komplexe Frage auf, wann eine Gebühr als unangemessen anzusehen ist.
Der Europäische Datenschutzausschuss („European Data Protection Board”, „EDPB”) und die Datenschutzbehörden haben gute Gründe, eine übermäßige Regulierung der Preisgestaltung für Dienste zu vermeiden. Darüber hinaus sind die Behörden oder der EDPB höchstwahrscheinlich nicht befugt, eine Entscheidung über die Preisgestaltung für einen Dienst zu treffen. Es muss ein Gleichgewicht zwischen dem Grundrecht auf unternehmerische Tätigkeit und dem Grundrecht auf Privatsphäre hergestellt werden. Tatsächlich würde eine Regulierung der Preisgestaltung von Meta eine Einschränkung des Rechts von Meta auf Ausübung seiner Geschäftstätigkeit darstellen.
Zukunftsunsicherheit
Die DSGVO ist ein komplexer Rechtsrahmen. Sowohl Unternehmen als auch Datenschutzbehörden unterscheiden sich in ihrer Auslegung der DSGVO-Anforderungen und in der Art und Weise, wie sie diese umsetzen. An dieser Stelle ist anzumerken, dass die deutschen Datenschutzbehörden vor der Entscheidung des EuGH im März 2023 eine gemeinsame Stellungnahme veröffentlicht haben, in der sie das Abonnementmodell als einen Weg zur Genehmigung von verhaltensorientierter Werbung legitimieren und sich auf bestimmte Merkmale wie Transparenz oder den Grad der Einwilligung konzentrieren, wenn es um zusätzliche Zwecke der verhaltensorientierten Werbung geht.
Die Meta-Entscheidung und die damit verbundene Unsicherheit wirken sich auf die gesamte Branche aus. Einige Datenschutzbehörden wollen die Entscheidung des EuGH und die frühere gemeinsame Stellungnahme in Deutschland nicht als einen Weg zur Einhaltung der DSGVO sehen, der die wirtschaftliche Tragfähigkeit eines Unternehmens mit einem „Bezahlen oder Einwilligen”-Modell gewährleistet.
Wenn für verhaltensbasierte Werbung, die Informationen von Dritten nutzt, nun eine Einwilligung erforderlich ist, stellt sich für viele Unternehmensgruppen mit zahlreichen Tochtergesellschaften die Frage, wie sie die Grenze zwischen zulässiger und unzulässiger verhaltensbasierter Werbung ziehen sollen. Höchstwahrscheinlich ist die Verwendung von verhaltensbasierter Werbung auf der Grundlage eines berechtigten Interesses für ein Unternehmen, das seine eigenen Daten (First-Party-Daten) zur Profilerstellung von Nutzern verwendet, weiterhin rechtmäßig.
Allerdings geben die Urteile des EuGH den Unternehmen keine eindeutige Orientierung, wann die Verarbeitung als etwas angesehen werden muss, das ohne die Zustimmung des Nutzers nicht vernünftigerweise von dem Unternehmen erwartet werden kann.
Darüber hinaus lässt sich argumentieren, dass Nutzer kostenloser Netzwerkdienste sich in der Regel bewusst sind, dass solche Dienste durch Einnahmen aus verhaltensbasierter Werbung finanziert werden. Nutzer hätten auch das Recht, solchen Verarbeitungen auf der Grundlage eines berechtigten Interesses zu widersprechen. Nach den jüngsten Entwicklungen könnten Nutzer nun vor der Wahl stehen, ihre Zustimmung zu erteilen, für die Dienste zu bezahlen oder die Nutzung solcher Dienste einzustellen. Dies wirft die Frage auf, ob es nicht besser und wirksamer wäre, solche auf berechtigten Interessen basierenden Vorgänge zuzulassen, aber strengere Anforderungen an die Information und Sichtbarkeit der Wahlmöglichkeiten für die Nutzer zu stellen, anstatt berechtigte Interessen abzulehnen und Unternehmen so zu zwingen, für kostenlose Dienste zu bezahlen.
Die jüngsten Entwicklungen werden wahrscheinlich Diskussionen über die Wirksamkeit des Mechanismus der einzigen zuständigen Behörde und Fragen zur Notwendigkeit einer Reform aufwerfen. Schließlich ging diese jüngste Entscheidung nicht von der irischen Datenschutzkommission, der obersten Datenschutzbehörde von Meta, aus, sondern von einem Eilantrag der norwegischen Datenschutzbehörde an den EDPB.
Was kommt als Nächstes?
Gemäß Artikel 64 der DSGVO haben die Datenschutzbehörden Norwegens, der Niederlande und des deutschen Bundeslandes Hamburg den EDPB um eine Stellungnahme zu Fragen wie der Rechtmäßigkeit des „Bezahlen oder Einwilligen”-Modells und der Frage gebeten, ob das Unternehmen gezwungen werden kann, seine Dienste kostenlos anzubieten, wenn das Modell nicht rechtmäßig ist.
Normalerweise nimmt der EDPB innerhalb von acht Wochen mit einfacher Mehrheit Stellung. Angesichts der Komplexität des Themas kann diese Frist jedoch um sechs Wochen verlängert werden. Die Fragen, mit denen sich der EDPB befassen muss, könnten nicht nur Meta, sondern auch viele andere Unternehmen im Europäischen Wirtschaftsraum („European Economic Area”, „EEA”) betreffen.
Die grundlegenden und komplexen Fragen betreffen die Notwendigkeit einer „angemessenen Vergütung” und die Herstellung eines Gleichgewichts zwischen dem Grundrecht auf Ausübung einer wirtschaftlichen Tätigkeit und dem Recht auf Privatsphäre und Datenschutz. Der EDPB wurde die Befugnis übertragen, viele wichtige Fragen im Zusammenhang mit der DSGVO zu behandeln, und es erscheint angemessen, dass er sich zur Auslegung des Gesetzes äußert. Es ist jedoch auch angebracht zu fragen, ob der EDPB innerhalb seines Verfahrensrahmens über die erforderlichen Mittel verfügt, um sich zu Fragen zu äußern, die mit einer erheblichen Änderung des Gesetzes für den gesamten EWR vergleichbar sind.
GRC LEGAL Kommentar: Meta, das aufgrund rechtswidriger Verarbeitung personenbezogener Daten immer wieder in die Schlagzeilen gerät, steht diesmal mit seinem in den letzten Monaten eingeführten „Bezahlen oder Zustimmen”-Modell für werbefreie Abonnements im Rampenlicht. Die entsprechenden Aktivitäten zeigen in rechtlicher Hinsicht, dass ein Gleichgewicht zwischen dem Grundrecht der Unternehmen auf Ausübung ihrer Geschäftstätigkeit und dem Schutz der Grundrechte und -freiheiten des Einzelnen hergestellt werden muss. Tatsächlich erzielen Unternehmen insbesondere durch Profiling-Aktivitäten hohe Einnahmen und sichern so ihre Existenz. In diesem Zusammenhang ist es von großer Bedeutung, dass die Datenschutzbehörden Entscheidungen in Bezug auf rechtswidrige Praktiken treffen und den betroffenen Unternehmen entsprechende Leitlinien an die Hand geben. Auch wenn rechtliche Entwicklungen für kleine und mittlere Unternehmen eine Markteintrittsbarriere darstellen können, ist es unerlässlich, dass die Datenschutzbehörden durch neue Vorschriften Maßnahmen gegen diese Praktiken ergreifen, die die Privatsphäre von Personen erheblich beeinträchtigen.