Der Europäische Datenschutzausschuss (EDSA) hat heute seine erste Entscheidung zu "Pay or Okay" auf großen Onlineplattformen wie Instagram und Facebook veröffentlicht, wie Politico als erstes berichtete. Mit dieser Entscheidung wird Meta verboten, einen unrechtmäßigen Einwilligungsmechanismus für die Verarbeitung personenbezogener Daten zu nutzen. Es scheint, als gäbe es für Meta damit keine Möglichkeit mehr, die Daten von Menschen in der EU weiterhin für Werbezwecke zu nutzen, ohne einen gesetzeskonformen Einwilligungsmechanismus zu haben.
Stellungnahme zu großen Online-Plattformen. Der EDSA scheint in seiner Analyse von Metas "Pay or Okay"-System - das Nutzer:innen mehr als 250 € pro Jahr für Instagram und Facebook kostete, wenn sie das Tracking ablehnen - dem einzig logischen Verständnis von "freiwilliger Einwilligung" zu folgen. Politico zitiert den EDSA mit den Worten: "In den meisten Fällen wird es für große Onlineplattformen nicht möglich sein, die Anforderungen an eine gültige Einwilligung zu erfüllen, wenn sie die Nutzer nur vor eine binäre Wahl zwischen der Einwilligung in die Verarbeitung personenbezogener Daten für verhaltensbezogene Werbezwecke und der Zahlung einer Gebühr stellen".
Max Schrems:"Alles in allem hat Meta in der EU keine Wahl mehr. Das Unternehmen muss den Nutzer:innen jetzt eine echte Ja/Nein-Wahl für personalisierte Werbung geben. Es kann immer noch Seiten für Reichweite bezahlen, kontextbezogene Werbung schalten und ähnliches. Aber das Tracking von Personen für Werbung braucht ein klares 'Ja' der Nutzer:innen."
Diskussion eröffnet - Beweise erforderlich. Sobald sie im Volltext veröffentlicht wurde, bedarf die heutige EDSA-Stellungnahme einer genaueren Analyse. Sie ist wahrscheinlich nur ein Ausgangspunkt für eine breitere Diskussion über "Pay or Okay" in verschiedenen Zusammenhängen. Der EDSA beabsichtigt, noch im Laufe dieses Jahres weitere Leitlinien herauszugeben, die über "große Online-Plattformen" hinausgehen. Die Kernfrage, ob ein "Pay or Okay"-Modell die rechtlichen Anforderungen einer freien Einwilligung erfüllen kann, bleibt bestehen. Schließlich bedeutet die Einwilligung in die Verarbeitung personenbezogener Daten auch das Grundrecht auf Datenschutz aufzugeben. Normalerweise können Grundrechte nicht "verkauft" oder nur gegen eine Gebühr gewährt werden. Der EDSA hat bisher weitgehend innerhalb eines Vakuums entschieden. Unabhängige und umfassende Belege dafür, wie ein "Pay or Okay"-Modell die echte und freie Wahl der Nutzer:innen beeinträchtigt, fehlen bis heute.
Max Schrems, Vorsitzender von noyb: "Wir begrüßen, dass der EDSA eine differenziertere Diskussion über 'Pay or Okay' angestoßen und zumindest klargestellt hat, dass große Plattformen 'Pay or Okay' nicht anwenden können. Wir befürchten jedoch, dass die heutige erste Stellungnahme eher vorsichtig ist und auf einer eingeschränkter Faktenlage beruht. Sobald alle Fakten auf dem Tisch liegen, sind wir zuversichtlich, dass 'Pay or Okay' generell für rechtswidrig erklärt wird. Wir wissen, dass 'Pay or Okay' zu einer Verschiebung der Zustimmungsraten von etwa 3 % auf mehr als 99 % führt. Dieses System ist von einer freien Einwilligung genauso weit entfernt wie Nordkorea von einer Demokratie. Es ist entscheidend, alle relevanten Zahlen für weitere Entscheidungen jenseits von Meta und größeren Plattformen zu erhalten."
Dritte Option erforderlich. Der EDSA hat auch die Möglichkeit der Einführung einer dritten Option neben "Pay or Okay" erwähnt, die von der Industrie bisher weitgehend ignoriert wurde. In Wirklichkeit gibt es viele Möglichkeiten, eine Website zu monetarisieren, z. B. durch kontextbezogene Werbung, Produktplatzierung, bezahlte Inhalte oder Freemium-Modelle, bei denen bestimmte Inhalte nur gegen eine Gebühr verfügbar sind. Während die Industrie versucht, die Diskussion auf zwei Optionen zu beschränken ("Pay" oder "Okay"), hat der EDSA betont, dass die DSGVO andere Möglichkeiten der Produktfinanzierung nicht einschränkt - auch wenn sie weniger profitabel sein mögen.
Pay or Okay" ist das Ende der "freiwilligen" Einwilligung. Wie wir bereits den vergangenne Monaten gewarnt haben, führt "Pay or Okay" zu massiven Kosten für Verbraucher:innen (bis zu 35.263,20 € für eine vierköpfige Familie), die die derzeitigen Werbeeinnahmen (oft nur wenige Cent) der Verlage bei weitem übersteigen. Der derzeitige Durchschnittsumsatz für programmatische Werbung liegt in der EU bei 1,41 € pro Nutzer:in pro Monat - und zwar über alle Websites hinweg. In Ländern wie Österreich, Deutschland, Frankreich, Spanien oder Italien kann der Besuch der 100 wichtigsten Websites bereits mehr als 1.500 € pro Jahr kosten, wenn man dem Tracking nicht zustimmt. In unserem Hintergrundvideo von letzter Woche haben wir auch auf die problematische Entscheidungsdynamik bei "Pay or Okay" hingewiesen. Die Systeme führen zu einem Zuwachs der Einwilligungsrate von 3 %, die sich tatsächlich personalisierte Werbung wünschen, auf bis zu 99,9 %, die (widerwillig) auf "Einwilligen" klicken, wenn die Alternative eine saftige Rechnung ist.
Max Schrems:"Wenn mehr als 90 % der Nutzer:innen etwas zustimmen, was sie nicht wollen, braucht es keine Jurist:innen, um zu erkennen, dass es sich nicht um eine 'freie' Einwilligung handelt. Tatsächlich ist dies fünf Jahre nach Inkrafttreten der DSGVO nur der neueste 'Trick', um das EU-Recht zu untergraben oder zumindest die Einhaltung um ein paar Jahre zu verzögern. Es ist höchst problematisch, dass die Behörden nicht bereits eine klare Position hierzu eingenommen haben. In den Fällen, die wir in Österreich oder Deutschland angestrengt haben, sehen wir stattdessen eher, dass die Behörden bei 'Pay or Okay' ein Auge zudrücken, weil das System zuerst von Nachrichtenmedien eingeführt wurde. Dort wollen sie sich nicht einmischen, obwohl das Gesetz für alle gleich ist."
Hintergrund. Bis zum Inkrafttreten der DSGVO am 25. Mai 2018 hat Meta die "Einwilligung" gemäß Artikel 6(1)(a) DSGVO als Rechtsgrundlage für die Verarbeitung personenbezogener Daten von Nutzern:innen (zum Beispiel für Werbung) verwendet. Laut DSGVO muss die Einwilligung spezifisch, unmissverständlich und freiwillig erteilt werden. Meta befürchtete, dass eine solche Ja/Nein-Option die Möglichkeit einschränken würde, in der EU Geld zu verdienen. Am 25. Mai 2018 um Mitternacht begann das Unternehmen deshalb unter Berufung auf Artikel 6(1)(b) DSGVO zu argumentieren, dass die Anzeige von Werbung Teil des Nutzungsvertrags sei. Dies wurde vom Gerichtshof der Europäischen Union (EuGH) und vom Europäischen Datenschutzausschuss (EDSA) im Jahr 2023 für rechtswidrig erklärt. Im Jahr 2023 argumentierte Meta dann kurzzeitig, dass es ein "berechtigtes Interesse" an der Verarbeitung personenbezogener Daten zu Werbezwecken gemäß Artikel 6(1)(f) DSGVO habe. Kurz darauf griff Meta dann erneut auf die "Einwilligung" gemäß Artikel 6(1)(a) DSGVO zurück - indem es Nutzer:innen vor die Wahl stellte einzuwilligen oder eine Gebühr von bis zu 20,99 € für Instagram und Facebook zusammen zu bezahlen.
Die norwegische, niederländische und Hamburgische Datenschutzbehörde hat "Pay or Okay" an den EDSA zurückverwiesen, der nun eine Entscheidung getroffen hat. All diese Versuche, das Gesetz zu umgehen, wurden mit aktiver Unterstützung der irischen Datenschutzkommission (DPC) unternommen, die als federführende Aufsichtsbehörde des EU-Hauptsitzes von Meta in Irland fungiert. Alle diese "Vereinbarungen" mit der irischen Aufsichtsbehörde wurden später vom EDSA oder dem EuGH als rechtswidrig eingestuft.
