Hamburgs Datenschutzbeauftragter Johannes Caspar will die Weitergabe von WhatsApp-Daten an Facebook-Nutzer nicht hinnehmen. Per Verwaltungsanordnung verbot er dem sozialen Netzwerk, Daten deutscher WhatsApp-Nutzer zu erheben und zu speichern. Es fehlten Rechtsgrundlage sowie Einwilligungen der Nutzer, erklärte Caspar am Dienstag. Erst vergangene Woche hatte der Verbraucherzentrale Bundesverband WhatsApp deswegen abgemahnt. Facebook (NASDAQ:FB) kündigte an, die Entscheidung anzufechten.
WhatsApp gehört seit rund zwei Jahren zu Facebook. Ende August hatte der Messengerdienst neue Regeln für Nutzer bekanntgegeben: Demnach wird unter anderem die Handynummer an Facebook weitergegeben - unabhängig davon, ob der jeweilige Nutzer auch in dem sozialen Netzwerk aktiv ist. Außerdem werden alle im Telefonbuch des WhatsApp-Nutzers gespeicherten Nummern an den US-Internetkonzern weitergereicht.
Bei der Übernahme hatten beide Firmen noch versichert, keine Nutzerdaten miteinander zu teilen, wie Caspar erklärte. Dass dies nun doch geschehe, sei "nicht nur eine Irreführung der Nutzer und der Öffentlichkeit, sondern stellt auch einen Vorstoß gegen das nationale Datenschutzrecht dar". Eventuell bereits übermittelte Nutzerdaten müsse Facebook umgehend wieder löschen.
Ein Datenaustausch sei nur erlaubt, wenn eine gesetzliche Grundlage dafür vorliege und Facebook eine "wirksame Einwilligung" der WhatsApp-Nutzer eingeholt habe. Beides sei nicht der Fall. WhatsApp-Nutzer müssten selbst entscheiden können, ob sie eine Verbindung ihres Kontos zu Facebook wünschten, kritisierte Caspar. "Dazu muss Facebook sie vorab um Erlaubnis fragen. Das ist nicht geschehen."
Der Hamburger Datenschützer ist für Facebook zuständig, weil das US-Unternehmen in Hamburg eine nationale Niederlassung betreibt. Nach Auffassung Caspars ist aus diesem Grund auch deutsches Datenschutzrecht auf die Aktivitäten des Konzerns anwendbar.
Er berief sich dabei auf ein entsprechendes Urteil des Europäischen Gerichtshofs vom Juli. Facebook dagegen sieht generell EU-Datenschutzrecht als maßgeblich an, weil es die Verwaltung seiner europäischen Nutzer-Accounts von einer Zentrale in Irland aus organisiert. Die deutsche Niederlassung befasst sich dagegen etwa mit Werbung.
"Facebook hält sich an das EU-Datenschutzrecht", erklärte eine Unternehmenssprecherin. "Wir werden die Anordnung anfechten und mit der Hamburger Datenschutzbehörde bei dem Versuch zusammenzuarbeiten, deren Fragen zu beantworten und alle Bedenken auszuräumen."
Die Verwaltungsanordnung gilt nach Angaben Caspars ab sofort. Facebook kann aber Widerspruch einlegen sowie vor Verwaltungsgerichten dagegen vorgehen. Bis zu einer etwaigen Annullierung ist das Unternehmen aber verpflichtet, sich daran zu halten. Im Fall von Zuwiderhandlungen könnten sogar Zwangsmittel wie Zwangsgelder verhängt werden.
Der Verbraucherzentrale Bundesverband (VZBV) begrüßte das Vorgehen Caspars. Der Verband sehe sich durch die Anordnung des Hamburger Datenschutzbeauftragten bestätigt, sagte der Verbandsjurist Christopher Kunke dem "Handelsblatt". Die fehlende Einwilligung in die Datenübertragung sowie die Datenweitergabe unbeteiligter Telefonbuchkontakte seien auch für den VZBV die wesentlichen Gründe für eine Abmahnung des Messengerdienstes gewesen.