„Pay or OK“: das Ende der DSGVO?
05.05.2024
Zusammenfassung
Die Europäischen Datenschutz-Aufsichtsbehörden ("EDSA") führen in einer aktuellen Publikation den neuen Begriff der "Large Online Platforms" ein. Im Ergebnis: kleine Medienverlage dürfen weiter mit dem „Pay or OK“-Modell arbeiten, große Plattformen wie z.B. Meta haben im Ergebnis keine datenschutzrechtliche Basis für verhaltensbezogene Werbung und müssen ihr Geschäfts- und Einnahmemodell (soweit denn möglich) umstellen. Das letzte Wort in der Sache wird der EuGH haben.
6 Minuten Lesezeit
Die Europäischen Datenschutz-Aufsichtsbehörden (in Form des Europäischen Datenschutzausschusses “EDSA”) haben sich mit der Frage befasst, unter welchen Rahmenbedingungen Webseiten-Betreiber verhaltensbezogene Werbung („Behavioral Advertising“) ausspielen dürfen.
Verhaltensbezogene Werbung: nur mit Einwilligung
Im Kern geht es letztlich um die Frage, auf welcher Rechtsgrundlage insb. Meta (auch wenn im Beschluss nicht explizit angesprochen) diese Form von Werbung ausspielen darf. Zuvor hatten die Aufsichtsbehörden nach entsprechender Klärung durch den EuGH gegenüber Meta sowohl untersagt, verhaltensbezogene Werbung auf Basis einer vertraglichen Grundlage sowie eines berechtigten Interesses durchzuführen.
Meta hatte in der Folge für die Europäische Union ein Modell eingeführt, bei dem sich der Nutzer entweder (a) mit der verhaltensbezogenen Werbung einverstanden erklärt oder (b) alternativ ein monatliches Abonnement abschließt (so genanntes „Pay or OK“-Modell).
Medienverlage setzen in großem Umfang auf “Pay or OK”-Modell
Auch Medienverlage setzen in großem Umfang auf das „Pay or OK“-Modell, das in der Form von den Aufsichtsbehörden grundsätzlich grünes Licht erhalten hatte (zuletzt von den deutschen Aufsichtsbehörden im Rahmen der Datenschutzkonferenz).
Nachdem nun auch Meta dieses Modell eingeführt hatte bestand folgende Befürchtung:
- Würde man das „Pay or OK“-Modell insgesamt für datenschutzrechtlich unzulässig erklären würde damit auch vielen Medienverlagen die wirtschaftliche Basis genommen werden.
- Würde man das „Pay or OK“-Modell für datenschutzrechtlich zulässig erachten würde man damit faktisch die DSGVO „beerdigen“, da die Einhaltung datenschutzrechtlicher Standards im großen Umfang von der Zahlung eines monatlichen Abo-Preises abhängig gemacht würde.
EDSA: neuer Begriff der “Large Online Platforms”
Der Europäische Datenschutz-Ausschuss nun versucht in seiner aktuellen Publikation (Opinion 08/2024 vom 17.4.2024) einen Spagat, indem er (ohne explizite Nennung von Meta/Facebook) den neuen Begriff der „Large Online Platforms“ (wie Meta) einführt.
Vereinfacht gesprochen sei bei den „Large Online Platforms“ die Durchführung von verhaltensbezogener Werbung unzulässig, da (a) die Nutzer nicht wirklich überschauen würden, welche Folgen ihre Einwilligung haben würde und (b) aufgrund der Größe der Plattform und dem damit verbundenen Druck hinsichtlich sozialer Teilhabe keine Freiwilligkeit der Einwilligung gewährleistet sei.
“Pay or OK”: bei Medienverlagen zulässig, bei Meta nicht
Dies würde für die Praxis bedeuten: kleine Medienverlage dürfen weiter mit dem „Pay or OK“-Modell arbeiten, große Plattformen wie z.B. Meta haben im Ergebnis keine datenschutzrechtliche Basis für verhaltensbezogene Werbung und müssen ihr Geschäfts- und Einnahmemodell (soweit denn möglich) umstellen.
Die Reaktionen auf diese Entscheidung waren wir erwartet zwiegespalten. Auf der einen Seite wurde die Entscheidung als „Rettung der DSGVO“ gewürdigt: Daten seien keine „Handelsware“ und die Grenzziehung mit dem neuen Begriff der „Large Online Platforms“ sei gerechtfertigt.
Von Seiten der Wirtschaft – insb. der Digitalwirtschaft – wurde die Entscheidung als willkürliche und unzulässige Einschränkung der Privatautonomie kritisiert. Es bestünde keine rechtliche Grundlage für den Europäischen Datenschutzausschuss, eine Differenzierung zwischen „Large Online Platforms“ und weiteren Anbietern vorzunehmen, die in der Form eben gerade nicht in der DSGVO angelegt worden sei.
Weitere Entwicklung: Gang zum EuGH zu erwarten
Das eigentliche Verfahren mit Meta liegt in der Zuständigkeit der irischen Datenschutz-Aufsichtsbehörde. Die nun publizierte Meinung des Europäischen Datenschutzausschusses ist im aktuellen Verfahrensstand noch nicht für die irische Aufsichtsbehörde bindend. Sollte indes die irische Datenschutzaufsichtsbehörde eine abweichende Rechtsauffassung vertreten wollen könnte der Europäische Datenschutzausschuss mit Mehrheitsbeschluss die irische Aufsichtsbehörde in die Mehrheitslinie zwingen. Gegen eine solche Entscheidung wäre dann der Rechtsweg für Meta vor den irischen Gerichten eröffnet, welche die Frage dann dem EuGH vorlegen könnten.
Es ist also zu erwarten, dass letztlich der EuGH wird entscheiden müssen, ob es zulässig sein kann, die DSGVO im Hinblick auf „Large Online Platforms“ wie Meta an ganz zentraler Stelle anders auszulegen als bei kleineren Medienverlagen. Im Wortlaut der DSGVO zumindest lässt sich diese Differenzierung nicht finden.
