Rekordbußgeld: WhatsApp im Visier von Irlands Datenschützern

Die Wüste lebt! Viel anders lässt es sich nicht auf eine griffige Formel bringen, wenn die irische Datenschutzkommission DPC nun ein Rekordbußgeld gegen den zu Facebook gehörenden Messengerdienst WhatsApp verhängt.

Experten wie der rheinland-pfälzische Datenschutzbeauftragte Dieter Kugelmann hatten immer wieder moniert, dass Staaten wie Luxemburg und Irland wegen laxer Kontrollen „Steueroasen und Datenschutzwüsten“ in einem seien. Irland habe sich mit verhalten umgesetztem Datenschutz für internationale Konzerne attraktiv gemacht und dem Land damit Arbeitsplätze und hohe Steuereinnahmen gesichert. Jetzt musste WhatsApp spüren, dass diese komfortablen Rahmenbedingungen nicht ausnahmslos gelten.

Mangelnde Transparenz

Weil, um nur die wichtigsten zu nennen, Facebook und Google ihre Europazentralen in Irland eingerichtet haben, ist die Datenschutzbehörde des Landes für diese Internet-Schwergewichte federführend verantwortlich. Kugelmann wies darauf hin, dass „Standortpolitik“ nicht im Sinne der DSGVO sein kann. Anfang dieses Jahres jedenfalls hatte die irische Datenschutzbeauftragte Helen Dixon ein Bußgeld gegen WhatsApp von 50 Millionen Euro angekündigt. Begründung: Der Messengerdienst könne nur unzureichend erklären, welche Daten von Nutzern unter dem Dach von Facebook zu welchen Zwecken verarbeitet werden. Dazu zählen auch Handynummern.

Dieser Vorwurf ist nicht neu. Seit dem Kauf von WhatsApp durch Facebook im Jahr 2014 ist diese machtvolle digitale Verflechtung ein Dorn im Auge der Datenschützer. WhatsApp hatte seine Datenschutzerklärung erst überarbeitet, als das behördliche Verfahren bereits lief. Das Unternehmen soll nun seine Datenverarbeitung DSGVO-konform ändern. Bis sich die Iren in diesem Fall rührten, waren zähe Ermittlungen vorausgegangen. Immerhin erhalte die DPC nach Angaben des Datenschutzaktivisten und noyb-Gründers Max Schrems seit 2018 jedes Jahr rund zehntausend Beschwerden – eine bedeutende Geldstrafe unterblieb jedoch.

Forderung ging nicht weit genug

Doch die 50-Millionen-Ansage befriedigte die kontinentalen Amtskollegen angesichts von gegen Google (100 Millionen) und Amazon (746 Millionen) verhängten Bußgeldern keineswegs. Der European Data Protection Board in seiner Mittlerfunktion richtete deshalb eine Aufforderung zur Verhängung eines höheren Bußgelds an die Iren. Dies dürfte weiter zu Helen Dixons Unmut beigetragen haben, liefert sie sich doch gerade einen veritablen Streit mit dem deutschen Bundesdatenschutzbeauftragten Ulrich Kelber, der ihrer Behörde zu langsames Vorgehen vorwirft.

Jetzt jedoch sprangen die Iren über ihren Schatten und verhängten als bislang höchstes in ihrem Land gefordertes Bußgeld die Summe von 225 Millionen Euro gegenüber WhatsApp. Die DSGVO sieht Strafen von bis zu vier Prozent des Jahresumsatzes eines mit dem EU-Datenschutz in Konflikt geratenen Unternehmens vor. Nach Schätzungen würden 225 Millionen Euro lediglich 0,08 Prozent des Umsatzes der Facebook-Gruppe ausmachen.

WhatsApp will Rechtsmittel einlegen

Die neue Entscheidung der DPC hat bereits den Widerstand von WhatsApp geweckt. Das Unternehmen hält die Geldbuße für „völlig unverhältnismäßig“ und verweist auf die eigenen Bemühungen um Transparenz und Schutz der Privatsphäre der WhatsApp-Nutzer. Daher will es Widerspruch einlegen. Beobachter gehen von einem Rechtsstreit aus, der sich über mehrere Jahre hinziehen könnte.