Die Facebook Ireland Ltd. darf die personenbezogenen Daten deutscher WhatsApp-Nutzer vorerst nicht auf der Grundlage der bisher abgeforderten Einwilligung erheben und speichern. Damit wird die vorausgegangene Entscheidung des VG Hamburg bestätigt, das einen Eilantrag von Facebook gegen eine sofort vollziehbare Untersagungsverfügung des Hamburgischen Beauftragten für Datenschutz und Informationssicherheit abgelehnt hatte.

Der Sachverhalt:
Die in Dublin ansässige Antragstellerin ist im Facebook-Konzern für die Verarbeitung personenbezogener Daten der Facebook-Nutzer in Europa zuständig. Im Jahr 2014 hatte Facebook Inc. die in den USA ansässige WhatsApp Inc., die innerhalb der Europäischen Union nicht über eine physische Präsenz verfügt, übernommen. WhatsApp Inc. operiert aber weiterhin als eigenständiger Dienst unabhängig vom Netzwerk Facebook.

Im August 2016 gab WhatsApp Inc. eine Aktualisierung seiner Nutzungsbedingungen und Datenschutzrichtlinien bekannt. Die Antragstellerin beabsichtigte, aufgrund der Aktualisierung bestimmte WhatsApp-Daten für bestimmte Zwecke ("Network/Security", "Business Intelligence Analytik" und "Facebook Ads/Product") zu erheben. Die WhatsApp-Nutzer  wurden beim Aufruf von WhatsApp über die Aktualisierungen informiert und um Zustimmung gebeten. Dabei bestand auch die Möglichkeit für Bestandskunden die Entscheidung über die Zustimmung bis zu 30 Tagen zurückzustellen, nach Ablauf der 30 Tage musste der Nutzer sich aber entscheiden, ob er den aktualisierten WhatsApp-Bedingungen zustimmen oder den Dienst nicht weiter nutzen wollte.

Aus Anlass der geänderten Nutzungsbedingungen bat die Antragsgegnerin die Antragstellerin im September 2016 um die Beantwortung verschiedener Fragen zu Art und Umfang des geplanten Datenaustausches. Die Antragstellerin reagierte auf diese Anfrage durch Übersendung eines Informationsdokuments für die irische Datenschutzbehörde, in dem Einzelheiten über das Update dargestellt wurden. Kurz darauf erließ die Antragsgegnerin eine Anordnung, mit der der Antragstellerin u.a. untersagt wurde, die personenbezogenen Daten deutscher WhatsApp-Nutzer zu  erheben und zu speichern, soweit und solange eine gegenüber der Antragstellerin durch den jeweiligen Betroffenen erteilte und den Anforderungen des § 4a BDSG entsprechende Einwilligung nicht vorliegt. Die Antragsgegnerin ordnete die sofortige Vollziehung dieser Anordnung an.

Das VG hat den Antrag auf Wiederherstellung der aufschiebenden Wirkung des Widerspruchs abgelehnt. Die hiergegen gerichtete Beschwerde der Antragstellerin blieb vor dem OVG erfolglos.

Die Gründe:
Das VG hat es zu Recht abgelehnt, die aufschiebende Wirkung des Widerspruchs der Antragstellerin gegen die im  Beschwerdeverfahren allein noch streitgegenständliche verfügten Untersagung, die personenbezogenen Daten deutscher WhatsApp-Nutzer zu erheben und zu speichern, soweit und solange eine gegenüber der Antragstellerin durch den jeweiligen Betroffenen erteilte und den Anforderungen des § 4a BDSG entsprechende Einwilligung nicht vorliegt, wiederherzustellen.

Es ist offen, ob die beanstandete Untersagungsverfügung rechtmäßig ist. Offen ist insbesondere, ob deutsches Datenschutzrecht zur Anwendung gelangt und - wenn ja - ob der Datenschutzbeauftragte gegen Facebook mit Sitz in Irland vorgehen darf. In diesem Fall erweist sich die beanstandete Untersagung allerdings nicht als offensichtlich rechtswidrig. Denn die seit August 2016 abgeforderte Zustimmung der WhatsApp-Nutzer zu den neuen Nutzungsbedingungen und Datenschutzrichtlinien entspricht voraussichtlich nicht den deutschen Datenschutzvorschriften. Die vor diesem Hintergrund vorzunehmende Interessenabwägung führt infolgedessen zu einem Überwiegen der Interessen deutscher WhatsApp-Nutzer am Schutz ihrer personenbezogenen Daten.

Linkhinweis:

• Der Volltext des Urteils ist erhältlich auf dem Justizportal Hamburg.
• Um direkt zu dem Volltext zu kommen, klicken Sie bitte hier (pdf).