Beschwerde: Meta missachtet unzulässig das Recht der Nutzer, ihre Einwilligung zu widerrufen

• noyb ist der Ansicht, dass Meta gegen die DSGVO-Anforderung verstößt, wonach der Widerruf einer Einwilligung so einfach sein muss wie deren Erteilung, indem das Unternehmen Nutzer, die ihre Tracking-Einwilligung auf Facebook und Instagram widerrufen wollen, zum Wechsel auf ein kostenpflichtiges Abo auffordert
• Seit Anfang November 2023 müssen Nutzer, die kein Tracking wünschen, eine „privacy fee“ von bis zu 251,88 € pro Jahr zahlen; andernfalls müssen sie Tracking für personalisierte Werbung akzeptieren
• Die Einwilligung ist mit einem einzigen Klick auf „Okay“ möglich, der Widerruf ist jedoch so gestaltet, dass Nutzer mehrere Fenster und Banner durchlaufen und die Seite für das kostenpflichtige Abo finden müssen
• noyb hatte bereits im November 2023 Beschwerde gegen Metas Einwilligungsschritt „pay or okay“ eingelegt; diesmal beanstandet noyb das Verfahren zum Widerruf der Einwilligung separat und reicht die Beschwerde bei der österreichischen DSB ein
• noyb fordert, dass Meta eine kostenlose und einfache Widerrufsmöglichkeit bereitstellt; außerdem sollen Bußgelder geprüft werden, um weitere DSGVO-Verstöße zu verhindern

---

Metas „pay or okay“ und die kostenpflichtige Widerrufsstruktur

• Seit Anfang November 2023 müssen Nutzer, die auf Facebook und Instagram kein Tracking wünschen, ein kostenpflichtiges Abo von bis zu 251,88 € pro Jahr wählen
• Wer nicht zahlt, muss Tracking für personalisierte Werbung akzeptieren; noyb sieht darin daher ein Modell, bei dem die datenschutzfreundliche Option mit Kosten belegt wird
• noyb hatte bereits im November 2023 Beschwerde gegen Metas „pay or okay“-Ansatz im Zusammenhang mit dem Einwilligungsschritt eingelegt
• Die aktuelle Beschwerde konzentriert sich auf den Fall, dass Nutzer einmal in Tracking eingewilligt haben und dies später widerrufen wollen

DSGVO-Artikel 7 und Verfahren vor der österreichischen DSB

• DSGVO-Artikel 7 schreibt vor, dass der Widerruf einer Einwilligung so einfach sein muss wie deren Erteilung
• Nach Metas aktuellem Verfahren ist die Einwilligung mit einem Klick erledigt, der Widerruf erfordert jedoch den Kauf eines kostenpflichtigen Abos und die Navigation durch komplexe Bildschirmabläufe
  • Der Beschwerdeführer musste mehrere Fenster und Banner durchlaufen, um die eigentliche Widerrufsseite zu finden
  • Der noyb-Datenschutzjurist Massimiliano Gelmi erklärte, dass ein Verfahren, bei dem man 251,88 € pro Jahr zahlen muss, nicht so einfach sei wie ein Klick auf „Okay“
• Leitlinien des European Data Protection Board (EDPB) nennen finanzielle Kosten als Beispiel für eine Belastung, die nicht mit den Grundsätzen von DSGVO-Artikel 7 vereinbar ist
• noyb hat im Namen eines Beschwerdeführers Beschwerde bei der österreichischen Datenschutzbehörde DSB eingereicht
  • Gefordert wird, dass die DSB Meta anweist, seine Verarbeitungsvorgänge mit dem europäischen Datenschutzrecht in Einklang zu bringen
  • Gefordert wird, dass Nutzern eine Möglichkeit geboten wird, ihre Einwilligung einfach und ohne Kosten zu widerrufen
  • Zudem wird die Verhängung von Bußgeldern vorgeschlagen, um weitere DSGVO-Verstöße zu verhindern
• Der Fall könnte an die irische DPC weitergeleitet werden, die für Meta innerhalb der EU die „lead authority“ ist

[GN⁺]

Hacker-News-Kommentare

• Natürlich. Bei Cookie-Bannern habe ich inzwischen überhaupt keine Ahnung mehr, was tatsächlich passiert, wenn man auf Save settings klickt
  Irgendwo gibt es bestimmt ein verstecktes Kästchen, das alles erlaubt, und wahrscheinlich dient das riesige Popup nur dazu, einen in falscher Sicherheit zu wiegen, während man trotzdem weiter getrackt wird
  Sie haben ja schon Dinge wie „für Marketingzwecke erforderliche Cookies“ erfunden, und als Nächstes kamen dann Popups nach dem Motto „Akzeptiere Tracking-Werbung oder zahl“

  • Bei den Datenschutz-Einstellungen von Reddit war es, soweit ich zuletzt gesehen habe, ähnlich. Ich habe alles deaktiviert, bin wieder reingegangen, und manches blieb so, manches nicht. Keine Ahnung

• Ich mag NOYB wirklich sehr und finde, man sollte sie nach Möglichkeit regelmäßig unterstützen. Sie leisten Arbeit, die tatsächlich einen großen Einfluss auf den Datenschutz hat

  • Erstaunlich, dass ein so wichtiges Thema bei über 300 Millionen Menschen faktisch von einer einzelnen Person abhängt
  • Haben sie sich auch mal zu TikTok geäußert? Bei meiner Suche sah es so aus, als gäbe es da nichts

• Es ist völlig nachvollziehbar, dass Meta Wege findet, trotz der Gesetze Geld zu verdienen, und manchmal stillschweigend gegen das Gesetz verstößt
  Aber dass die aufgedeckten Verstöße so groß und so dreist sind, ist schon ziemlich überraschend
  Ich hätte eher eine subtilere Methode erwartet, etwa dass man bei jeder Nutzung der Seite „versehentlich“ immer wieder nach den Cookie-Präferenzen gefragt wird, bis man irgendwann akzeptiert, und danach nie wieder
  Falls es untersucht worden wäre, hätte man leicht sagen können, es sei ein Bug gewesen, weil die Tatsache, dass ein Nutzer Cookies abgelehnt hat, selbst in einem Cookie gespeichert worden sei

  • Solange es profitabler ist, das Gesetz massiv zu brechen, wird Facebook genau so weitermachen. Andere Unternehmen auch, und da Geldstrafen oder ein Klaps auf die Finger bedeutungslos sind, müssen sie es nicht einmal verstecken
    Wenn man anfängt, CEOs oder Aktionäre ins Gefängnis zu stecken, wird man sehen, wie schnell sie sich an Gesetze halten

• Wenn es rechtlich möglich ist, sollte die DPC jetzt die Höchststrafe verhängen. Meta hat ziemlich klar gezeigt, dass das Unternehmen bei wiederholten und vorsätzlichen Verstößen alles tun wird, um diese Gesetze zu umgehen
  Wenn ein älteres Unternehmen seine GDPR-Pflichten nicht sauber verwaltet hat und dadurch über irgendwelche dubiosen „Compliance-Management“-Lösungen in Verstöße geraten ist, kann ich eine milde Klaps-auf-die-Finger-Durchsetzung noch einigermaßen nachvollziehen
  Aber Meta stand seit den frühen Tagen der GDPR ständig im Fokus der Durchsetzung, hat die Regeln offensichtlich verstanden und von Anfang an versucht, sie zu umgehen, und ist im Grunde genau der Grund, warum es solche Regulierung überhaupt gibt
  Inzwischen würde ich gern sehen, wie sich die 4-%-Strafen auf den weltweiten Umsatz immer weiter aufsummieren

  • Die DPC ist korrupt und will gar keine Höchststrafen verhängen. Sie hätten härter durchgreifen können und waren gegenüber Facebook extrem nachsichtig

• Seit diesem Ultimatum habe ich Instagram nicht mehr angefasst
  Hoffentlich halte ich das durch. Wenn ich es aus irgendeinem Grund unbedingt nutzen müsste, dann höchstens, um Leute zu kontaktieren, deren Kontaktdaten nur dort zu finden sind

  • Wegen Facebook habe ich auch schon ein Weihnachtstreffen mit alten Freunden verpasst :/
    Dass die Leute, die tatsächlich zusammengekommen sind, dem Veranstalter die Schuld gegeben haben, weil die Einladung nur über Facebook lief, sehe ich dennoch als ein sehr positives Zeichen dafür, dass sich die Kultur langsam verändert
    Nicht in einem negativen Sinn, sondern eher im Sinne von: „Wenn du nur über Facebook einlädst, was hast du denn erwartet?“

• Ich unterstütze solche Schritte und persönlich ziehe ich es vor, für einen Dienst zu bezahlen, statt selbst zum Produkt zu werden. Ich sorge mich nur, dass das keine populäre Haltung ist
  Die Leute wollen zumindest bewusst kein Geld bezahlen. Ich bin gespannt, wie sich das weiterentwickelt

  • Diese Floskel „für einen Dienst bezahlen, statt selbst das Produkt zu sein“ stimmt inzwischen nicht mehr. Ob sie jemals gestimmt hat, ist fraglich, und je öfter man sie wiederholt, desto mehr hilft man nur den schlimmsten Tätern
    Man kann auch dann noch das Produkt sein, wenn man bezahlt. Man muss sich nur Streaming-Dienste anschauen, die Geld nehmen und trotzdem Werbung zeigen, oder Fernseher, die man gekauft hat und die Nutzungsdaten an den Hersteller senden
    Eine Zahlung ist keine Garantie dafür, dass ein Unternehmen dich oder deine Privatsphäre respektiert
  • Auch wenn du bezahlst, bist du immer das Produkt. Solange es legal und profitabel ist, vielleicht sogar wenn es illegal ist, wirst du immer das Produkt sein
  • Die persönlichen Daten von zahlenden Nutzern sind wertvoller als die von nicht zahlenden Nutzern ;)
  • Dass Menschen nicht zahlen wollen, ist ein ziemlich neues Phänomen. Früher war es ganz normal, für eine Telefonnummer zu zahlen, und auch dafür, einen Anruf zu tätigen
    Es war auch üblich, für Telefondienste zu zahlen, die einem die aktuelle Uhrzeit oder die Wettervorhersage ansagten, und auch für eine E-Mail-Adresse zu bezahlen. Auch heute zahlen die meisten Menschen für ihren Internetzugang
    Das Problem ist eher, dass Menschen es nicht mögen, wenn etwas von „kostenlos“ auf kostenpflichtig umgestellt wird. Wenn die meisten für einen Dienst zahlen würden, würden sie das als normale Form akzeptieren
    Wenn GPS zum Beispiel nicht von Anfang an kostenlos gewesen wäre, hätten die Leute wahrscheinlich problemlos mehr als 1 Dollar pro Monat dafür bezahlt
  • Für soziale Räume wie Gemeindezentren, Bibliotheken, Fitnessstudios oder Clubs zahlen die Leute durchaus viel Geld. Aber nur, wenn der Preis angemessen ist
    Dass der Preis meist angemessen ist, liegt in der Regel daran, dass der Club nicht darauf aus ist, so lange zu wachsen, bis er die Welt beherrscht. Es ist ein Raum von ungefähr fixer Größe, und die Mitgliedsbeiträge dienen dazu, diesen Raum zu erhalten
    Die Betriebskosten der meisten sozialen Medien liegen eher bei rund 1 Dollar pro Jahr, nicht pro Monat [1]. Aber Social-Media-Unternehmen wollen 50 bis 100 Dollar pro Jahr haben
    Die Leute sind nicht dumm. Warum sollten sie mehr als 2 Dollar im Jahr zahlen?
    [1] https://news.ycombinator.com/item?id=38291427

• Um das auszugleichen, sollte Facebook gezwungen werden, allen Nutzern, die zugestimmt haben, jedes Jahr 251,88 € zu zahlen. Wenn die Daten, die die grundlegende Privatsphäre verletzen, für Facebook so viel wert sind, wäre das fair

• Interessante Logik. Ich frage mich, wie es behandelt würde, wenn Facebook stattdessen ein zweistufiges Preismodell eingeführt und beide Stufen kostenpflichtig gemacht hätte
  Also so, dass man für die Nutzung von Facebook einen Grundpreis zahlen und sich tracken lassen müsste, und einen Premiumpreis, wenn man das Tracking loswerden will
  Die offensichtlichen ethischen Probleme einer solchen Struktur einmal beiseitegelassen, würde die Bedingung, dass „der Widerruf der Einwilligung genauso einfach sein muss wie die Einwilligung“, wohl auch in so einem Fall weiter gelten
  Ethisch gesehen finde ich, dass für Privatsphäre zu bezahlen in einer Welt nach der GDPR keinen Platz haben sollte. Ich unterstütze die GDPR, und es ist beschämend, dass mehrere Datenschutzaufsichtsbehörden das bei lokalen Zeitungen stillschweigend geduldet haben
  Wenn Facebook diesen Weg geht, würde es am Ende wahrscheinlich vor dem CJEU landen, und für diesen Plan könnte das der schlimmstmögliche Ausgang sein. Der CJEU mag diesen GAFAM-Unsinn nach dem Muster „nicht gegen den Wortlaut, aber gegen den Geist“ nämlich überhaupt nicht
  Ich persönlich wäre nicht überrascht, wenn der CJEU so etwas am Ende als GDPR-Verstoß kippen würde

  • Dass die Bedingung „der Widerruf der Einwilligung muss genauso einfach sein wie die Einwilligung“ weiter gilt, ist umstritten. Angenommen, der Grundpreis liegt bei 1 Euro und die Premiumstufe bei 1 Million Euro, dann können sich Letztere nicht viele leisten
    Ob 25 Euro, 10 Euro oder weniger: Sobald es überhaupt einen Preisunterschied gibt, ist das eine nicht mehr genauso einfach wie das andere
  • Zahlt man da für Privatsphäre oder bezahlt man mit Privatsphäre?
  • Kann jemand erklären, wofür diese Abkürzungen stehen? GDPR kenne ich, die anderen sagen mir nichts

• Meta hat offenbar übersehen, dass ihr Ausgleich keine einfache Lösung sein muss. Da haben sie sich ihr eigenes Grab geschaufelt

  • Die Strafe wird doch geringer sein als das Geld, das sie damit verdienen, das Leben der Nutzer an jeden zu verkaufen. Warum sollte es sie also kümmern

• https://web.archive.org/web/20240111074148if_/https://noyb.e...