Facebook darf perso­nen­be­zogene Daten deutscher WhatsApp-Nutzer vorerst nur bei Vorliegen einer entsprechenden Einwilligung verwendenSchutz perso­nen­be­zogener Daten stellt grundrechtlich geschütztes Rechtsgut dar

Dem Verfahren lag folgender Sachverhalt zugrunde: Ende August 2016 hat WhatsApp Inc., die 2014 von der Facebook Unter­neh­mens­gruppe übernommen worden ist, eine Aktualisierung seiner Nutzungs­be­din­gungen und Daten­schutz­richt­linien bekannt gegeben, durch die eine - bis dahin nach den Nutzungs­be­din­gungen nicht zugelassene - Weitergabe von perso­nen­be­zogenen Daten an die Facebook Unter­neh­mens­gruppe vorgesehen ist. Mit sofort vollziehbarem Bescheid vom 23. September 2016 untersagte der Hamburgische Beauftragte für Datenschutz und Infor­ma­ti­o­ns­si­cherheit (Daten­schutz­be­auf­tragte) der Facebook Ireland Ltd. (Facebook) - dem internationalen Hauptsitz der Facebook Unter­neh­mens­gruppe -, die perso­nen­be­zogenen Daten deutscher WhatsApp-Nutzer zu erheben und zu speichern, soweit und solange ein den deutschen Daten­schutz­vor­schriften entsprechende Einwilligung nicht vorliege (Ziffer 1). Zugleich ordnete der Daten­schutz­be­auf­tragte die Löschung von perso­nen­be­zogenen Daten an, die ohne die notwendige Einwilligung erhoben worden sind, sowie die Dokumentation der Löschung (Ziffer 2 und 3). Gegen diese Verfügung legte Facebook Widerspruch ein und beantragte einstweiligen Rechtsschutz beim Verwal­tungs­gericht Hamburg.

Keine Verwendung perso­nen­be­zogener Daten ohne Einwilligung

Das Verwal­tungs­gericht Hamburg entschied, dass Facebook vorerst perso­nen­be­zogene Daten deutscher WhatsApp-Nutzer nur bei Vorliegen einer den deutschen Daten­schutz­vor­schriften entsprechenden Einwilligung verwenden darf.

Weiter entschied das Verwal­tungs­gericht, dass der Bescheid des Daten­schutz­be­auf­tragten der Freien und Hansestadt Hamburg, soweit er die angeordnete Löschung und deren Dokumentation betrifft, aufgrund eines formellen Fehlers nicht sofort vollziehbar sei; insoweit muss der Bescheid nicht befolgt werden.

Von WhatsApp verwendete Zustim­mungs­er­klä­rungen genügt nicht Anforderungen des deutschen Daten­schutz­rechts

Hingegen dürfe Facebook perso­nen­be­zogene Daten von deutschen WhatsApp-Nutzern ohne eine Einwilligung, die den Anforderungen an die deutschen Daten­schutz­vor­schriften entspreche, auch während des laufenden Verfahrens nicht nutzen. Zwar sei offen, ob Facebook mit seinem Widerspruch Erfolg haben werde. Derzeit sei noch nicht hinreichend geklärt, ob deutsches Daten­schutzrecht zur Anwendung komme und der Daten­schutz­be­auf­tragte gegen die in Irland firmierende Facebook Ltd. vorgehen könne. Sofern das deutsche Daten­schutzrecht zur Anwendung komme, wäre die Anordnung des Daten­schutz­be­auf­tragten jedoch voraussichtlich rechtmäßig. Denn die von WhatsApp benutzten Zustim­mungs­er­klä­rungen würden den Anforderungen des deutschen Daten­schutz­rechts nicht genügen.

Im Rahmen der daher vorzunehmenden Inter­es­se­n­ab­wägung überwiege das Interesse der deutschen WhatsApp-Nutzer. Denn der Schutz der perso­nen­be­zogenen Daten stelle ein grundrechtlich geschütztes Rechtsgut von hohem Wert dar, in das durch die geplante Weitergabe qualitativ und quantitativ erheblich eingegriffen werde.