Source: https://webshoprecht.de/IRUrteile/Rspr2689.php
Timestamp: 2019-03-18 21:35:13
Document Index: 181203652

Matched Legal Cases: ['§ 35', '§ 38', '§ 28', '§ 45', '§ 38', '§ 38', '§ 38', '§ 4', '§ 80', '§ 80', '§ 80', '§ 1', 'Art. 4', 'Art. 4', '§ 1', '§ 1', 'EuG', 'EuG', 'Art. 4', 'EuG', 'EuG', 'EuG', '§ 38', '§ 38', '§ 27', '§ 4', '§ 4', '§ 28', 'Art. 2', 'Art. 2', 'Art. 1']

Verwaltungsgericht Hamburg Beschluss vom 24.04.2017 - 13 E 5912/16 - Nutzung des WhatsApp-Daten durch Facebook
VG Hamburg v. 24.04.2017: Zur Nutzung des WhatsApp-Daten durch Facebook
Das Verwaltungsgericht Hamburg (Beschluss vom 24.04.2017 - 13 E 5912/16) hat entschieden:
Die Nutzung der WhatsApp-Daten durch Facebook ist nur bei datenschutzkonformer Einwilligung des Whatsapp-Users zulässig.
Siehe auch Facebook und Stichwörter zum Thema Datenschutz
Dem Facebook-Konzern gehört auch die im Jahr 2009 gegründete deutsche Facebook Germany GmbH an. Diese hat ca. 70 Mitarbeiter in zwei Geschäftsstellen in Hamburg und Berlin. Die Facebook Germany GmbH erbringt im Auftrag der Antragstellerin lokale Mark-tunterstützungsleistungen für Werbekunden der Antragstellerin in Deutschland. Sie verkauft selbst aber keine Werbeleistungen an deutsche Kunden. Die Facebook Germany GmbH unterhält ein Team für auf den deutschen Markt ausgerichtete Öffentlichkeits- und Public Relations-Arbeit. In die Erhebung oder Verarbeitung von Daten der Nutzer des Fa- cebook-Dienstes oder die beabsichtigte Erhebung und Verarbeitung von WhatsApp-Daten durch die Antragstellerin ist die Facebook Germany GmbH nicht involviert. Sowohl die Antragstellerin als auch die Facebook Germany GmbH sind rechtlich selbständige Töchter der Facebook Inc. und somit Schwestergesellschaften mit den beschriebenen unterschiedlichen Aufgabengebieten.
Im Jahr 2014 übernahm Facebook Inc. die in den USA ansässige WhatsApp Inc., die innerhalb der Europäischen Union nicht über eine physische Präsenz verfügt. Der Dienst WhatsApp basiert auf dem seit 2009 angebotenen mobilen Anwendungsprogramm (App) WhatsApp-Messenger, das für verschiedene Smartphone-Betriebssysteme verfügbar ist. Es handelt sich um einen kostenlosen Instant-Messaging-Dienst, über den Nutzer zwischen zwei Personen oder in Gruppen Nachrichten austauschen können. Mittlerweile ist auch der Austausch von Bild-, Video- und Ton-Dateien oder Dokumenten sowie das internetbasierte Telefonieren über WhatsApp möglich.
Die WhatsApp Inc. erhebt von seinen Nutzern verschiedene Daten wie deren Telefonnummer, bestimmte Geräteinformationen (z.B. Plattforminformation und App-Version), die „Zuletzt online"-Angaben, das WhatsApp-Account-Anmeldedatum sowie, wenn von den Nutzern angegeben, deren Profilnamen, Profilbild und Statusnachricht. Von Nutzern, die ausdrücklich zustimmen, werden auch Adressbuchdaten erhoben. Die über WhatsApp versendeten Nachrichten sind Ende-zu-Ende verschlüsselt, d.h. die zu übertragenden Daten werden auf Senderseite ver- und erst beim Empfänger wieder entschlüsselt. WhatsApp hat demzufolge keinen Zugriff auf die Nachrichteninhalte. Die Nachrichteninhalte werden lediglich vorübergehend gespeichert, um die Übermittlung an den Empfänger zu ermöglichen. Seit der Übernahme im Jahr 2014 ist WhatsApp Inc. Teil der Facebook- Unternehmensgruppe. Dabei greift WhatsApp Inc. zum Teil auf die Facebook Infrastruktur zu, um ihre Geschäftstätigkeit und Dienste zu verbessern. Sie operiert jedoch weiterhin als eigenständiger Dienst unabhängig vom Netzwerk Facebook.
Seit dem 25. August 2016 werden alte WhatsApp-Nutzer, d.h. Bestandskunden, über die Aktualisierung beim Aufrufen ihrer WhatsApp-Messenger-App wie folgt informiert:
Der Hinweis eröffnet den Nutzern drei Möglichkeiten: So können sie erstens der Aktualisierung durch Betätigung der Schaltfläche „Zustimmen" direkt zuzustimmen. Zweitens ist es ihnen möglich, über die Schaltfläche „Nicht jetzt" die Entscheidung, ob sie zustimmen wollen, bis zu 30 Tage zurückstellen und in dieser Zeit WhatsApp zu den alten Bedingungen weiternutzen. Nach Ablauf der 30 Tage verschwindet die Schaltfläche „Nicht jetzt", sodass die Nutzer nun abschließend entscheiden müssen, ob sie den aktualisierten WhatsApp-Bedingungen zustimmen oder den Dienst nicht weiter nutzen möchten. Drittens können die Nutzer die Schaltfläche „Lesen" oder das abgesetzte Feld am unteren Rand des Hinweises „Lesen Sie mehr über die wesentlichen Updates unserer Nutzungsbedingungen und Datenschutzrichtlinie" betätigen. Wählen die Nutzer die dritte Option, gelangen sie auf eine zweite Seite mit weiterführenden Informationen zu der Aktualisierung. Diese Seite ist wie folgt aufgebaut:
Im oberen Teil des Bildschirms können die Nutzer die WhatsApp-Bedingungen lesen. Alternativ können sie diese durch einen Klick auf das Symbol in der oberen rechten Ecke des Bildschirms auch herunterladen oder sich per E-Mail zukommen lassen. Die WhatsApp-Bedingungen sind in fünf Abschnitte gegliedert. Diese Abschnitte sind fett markiert und können durch Herunterscrollen an die entsprechende Stelle im Text aufgrufen werden. Die einzelnen Abschnitte sind „Wesentliche Updates" (siehe obiger Screenshot), „Nutzungsbedingungen", „Datenschutzrichtlinie", „IP-Richtlinie" und „Cookies".
„Wir gehören seit 2014 zur Facebook-Unternehmensgruppe [Hyperlink]. Als Teil der Facebook-Unternehmensgruppe erhält WhatsApp Informationen von den Unternehmen dieser Unternehmensgruppe und teilt Informationen mit ihnen. Wir können mithilfe der von ihnen erhaltenen Informationen und sie können mithilfe der Informationen, die wir mit ihnen teilen, unsere Dienste sowie ihre Angebote betreiben, bereitstellen, verbessern, verstehen, individualisieren, unterstützen und vermarkten. Dazu gehört auch die Unterstützung bei der Verbesserung von Infrastruktur und Zustellsystemen, des Verstehens der Art der Nutzung unserer bzw. ihrer Dienste, der Absicherung der Systeme und der Bekämpfung von Spam, Missbrauch bzw. Verletzungshandlungen. Face- book und die anderen Unternehmen in der Facebook-Unternehmensgruppe können Informationen von uns auch verwenden, um deine Erlebnisse in ihren Diensten, wie Vorschläge zu unterbreiten (beispielsweise Freunde oder Verbindungen oder interessante Inhalte) und um relevante Angebote und Werbeanzeigen zu zeigen. Deine WhatsApp-Nachrichten werden nicht für andere sichtbar auf Facebook geteilt. Tatsächlich wird Facebook deine WhatsApp- Nachrichten nicht für irgendeinen anderen Zweck nutzen, als uns beim Betreiben und bei der Bereitstellung unserer Dienste zu unterstützen. Erfahre mehr [Hyperlink] über die Facebook-Unternehmensgruppe und ihre Datenschutzpraktiken, indem du ihre Datenschutzrichtlinien liest."
Für neue Nutzer, die WhatsApp erst seit dem 25. August 2016 gebrauchen, gilt das obige Zustimmungsverfahren nicht. Vielmehr erscheint bei ihnen nach dem Herunterladen des WhatsApp-Messenger und vor der Registrierung der folgende Willkommensbildschirm:
bestimmte Geräteinformationen (z.B. die Plattforminformation und die App- Version)
„Zuletzt online"-Angaben, d.h. der Zeitstempel, der nachvollzieht, wann die App zuletzt durch den Nutzer geöffnet wurde
das WhatsApp-Account-Anmeldedatum
Ziffer 2 der Anordnung beruhe auf § 35 Abs. 2 Nr. 1 BDSG und konkretisiere die gesetzliche Verpflichtung zur Löschung von unzulässig erhobenen personenbezogenen Daten. Ziffer 3 der Anordnung habe seine Rechtsgrundlage in §§ 38 Abs. 3, 11 Abs. 4 Nr. 2 BDSG.
Weiter meint die Antragsgegnerin, selbst wenn deutsches Datenschutzrecht anwendbar und die Antragsgegnerin zuständig sein sollte, sei die Anordnung nicht rechtmäßig. Sie sei formell rechtswidrig. Die Antragsgegnerin sei örtlich nicht zuständig, weil es sich bei der Facebook Germany GmbH nicht um eine Betriebsstätte der Antragstellerin handele. Ferner fehle es an der nach § 28 Abs. 1 HmbVwVfG erforderlichen Anhörung. Eine Anhörung sei nicht durch das Auskunftsersuchen vom 1. September 2016 erfolgt. Auch sei die Anhörung nicht wegen besonderer Dringlichkeit verzichtbar. Eine Nachholung der Anhörung nach § 45 Abs. 1 Nr. 3 HmbVwVfG sei nicht möglich, weil eine selbstkritische Reflektion der Entscheidung durch die Antragsgegnerin ausgeschlossen sei. Auch materiell sei die Anordnung rechtswidrig. Die Antragsgegnerin habe das zweistufige Verfahren nach § 38 Abs. 5 BDSG nicht eingehalten. Es handele sich um eine Untersagungsanordnung nach § 38 Abs. 5 Satz 2 BDSG und nicht, wie von der Antragsgegnerin angenommen, nach § 38 Abs. 5 Satz 1 BDSG. Diese werde bereits durch den Wortlaut der Anordnung „Der Facebook Ireland Ltd. wird untersagt ..." deutlich. Dem stehe auch nicht die Einschränkung entgegen, dass die Untersagung nur gelte, „soweit und solange eine [...] den Anforderungen des § 4a BDSG entsprechende Einwilligung nicht vorliegt". Die Antragsgegnerin habe nämlich keinen Versuch unternommen, die von ihr kritisierte Datenerhe-bung zu korrigieren oder Mängel zu beseitigen, was zunächst erforderlich sei.
Zu dem Zweck „Network/Security" trägt die Antragstellerin vor, die Antragstellerin und WhatsApp würden hochentwickelte Systeme betreiben, um die Sicherheit ihrer jeweiligen Plattformen und Nutzer zu gewährleisten und diese gegen zahlreiche Bedrohungen wie Spam, Viren, Hassbotschaften, Veröffentlichung von Kindesmissbrauch oder die Vorbereitung von terroristischen Aktivitäten zu schützen. Die Antragstellerin deaktiviere jährlich Millionen von Accounts innerhalb der Europäischen Union, die im Zusammenhang mit schädlichen Verhaltensweisen stünden. Im Falle von WhatsApp seien die für die Identifizierung der Täter zur Verfügung stehenden Mittel limitiert, weil WhatsApp nur begrenzte Kategorien von Daten über seine Nutzer speichere und aufgrund der Ende-zu-Ende- Verschlüsselung der Nachrichten keinen Zugang zu Nachrichteninhalte habe. Die Datenerhebungen seien insbesondere erforderlich, um die Daten- und Nutzersicherheit von beiden Diensten, d.h. WhatsApp sowie Facebook, durch effektiveren Schutz gegen Spam, Belästigungen, Übergriffe auf Minderjährige, Terrorismus zu verbessern. So sollen z.B. Täter und mit schädlichen Verhaltensweisen in Verbindung stehende Accounts, die in einer der Apps der Facebook- Familie entdeckt werden, über alle Apps hinweg überprüft und ggf. deaktiviert werden. Grundsätzlich solle zur Identifizierung böswilliger Nutzer, die Verstöße gegen Regeln bei WhatsApp oder Facebook begangen haben, zwar die Family Device ID, d.h. die für mobiles Endgerät erstellte Nummer, herangezogen werden. Es gebe aber Konstellationen, in denen die Family Device ID zur Identifizierung nicht ausreichend sei, z.B., wenn das gleiche Gerät innerhalb des Facebook-Dienstes durch mehrere Accounts zusätzlich zur WhatsApp Nutzung gebraucht werde. Die von WhatsApp zu erhebenden Daten, d.h. die Telefonnummern der WhatsApp-Nutzer, bestimmte Geräteinformationen (z.B. Plattforminformationen und die App- Version), die „Zuletzt online"- Angaben sowie des WhatsApp-Account-Anmeldedatum, könnten bei der Zuordnung helfen. Als weiteres Beispiel der geplanten Datennutzung nennt die Antragstellerin die Vereinfachung der Verifizierung potentiell gefährdeter oder kompromittierter Accounts. So könnten die Sicherungssysteme von Facebook bei einem Login Versuch auf Facebook Anomalien entdecken. In diesem Fall könnte die Antragstellerin nun Daten wie den Netzwerkanbieter eines zugeordneten WhatsApp-Accounts vergleichen und so eine Prüfung ermöglichen, ob eine unautorisierte Person involviert sei. Damit verbunden verlange die Antragstellerin in Fällen, in denen ein Login-Versuch zu dem Facebook Dienst erfolge und ein Account durch die Antragstellerin als potentiell beeinträchtigt markiert werde, zusätzliche Bestätigungen der Identität, bevor der Zugang zum Account gewährt werde. Wenn solch ein Account einem WhatsApp-Account zugeordnet sei, beabsichtige die Antragstellerin, die Be-stätigungsnachricht via SMS an diesen WhatsApp-Account zu senden, um zu verifizieren, ob der Nutzer echt sei. Ohne die streitgegenständliche Anordnung hätte die Antragstellerin die beabsichtigten Verwendungen der Daten der WhatsApp-Nutzer vorangetrieben, sodass die entsprechenden Sicherheitsmaßnahmen im ersten Quartal 2017 in Deutschland eingeführt worden wären. Die gegenwärtig geplanten Anwendungsfälle seien zudem nicht abschließend. Vielmehr könnten die Antragstellerin und WhatsApp weitere Sicherheitsfunktionen entwickeln, die einen Austausch von Daten in bestimmten Umfang erforderlich machen würden.
1. Die Anordnung der sofortigen Vollziehung ist hinsichtlich der Ziffern 2 und 3 der Anordnung formell rechtswidrig, weshalb sie aufzuheben ist. Insoweit fehlt es an der gemäß § 80 Abs. 3 Satz 1 VwGO erforderlichen Begründung.
2. Hinsichtlich der Ziffer 1 des Bescheids hat der Antrag indes keinen Erfolg. Die Anordnung der sofortigen Vollziehung ist zwar formell rechtmäßig (a). Die Erfolgsaussichten des zulässigen Widerspruches der Antragstellerin gegen die von der Antragsgegnerin ausgesprochene Anordnung sind allerdings als offen anzusehen (b). In der daher unabhängig von den Erfolgsaussichten des Rechtsbehelfs nach § 80 Abs. 5 VwGO vorzunehmenden Interessenabwägung überwiegt das öffentliche Interesse am Sofortvollzug und den ent-sprechenden Beteiligteninteressen der WhatsApp-Nutzer gegenüber dem Aussetzungsin-teresse der Antragstellerin mit der Folge, dass der Antrag als unbegründet abzulehnen ist (c).
a) Die sofortige Vollziehung der Ziffer 1 ihres Bescheids hat die Antragsgegnerin in einer den Anforderungen des § 80 Abs. 3 Satz 1 VwGO genügenden einzelfallbezogenen Weise begründet. Sie hat ausgeführt, es sei zeitnah mit der Übermittlung der Daten zu rechnen, sodass ein Zuwarten mit der Vollziehung der Anordnung bis zur Unanfechtbarkeit des Bescheides erhebliche Beeinträchtigungen der Persönlichkeitsrechte von Millionen von Personen zur Folge hätte. Diese Interessen der Betroffenen hat sie mit dem Interesse der Antragstellerin an einer aufschiebenden Wirkung eines Widerspruchs abgewogen und ist dabei zu einem Überwiegen der Interessen der betroffenen Nutzer gekommen. Damit ist dem Begründungserfordernis Genüge getan.
b) Nach dem gegenwärtigen Stand der Rechtsprechung ist zum jetzigen Zeitpunkt noch nicht hinreichend geklärt, ob die Antragsgegnerin ihre Anordnung auf deutsches Datenschutzrecht stützen konnte (aa) und gegen die irische Antragstellerin vorgehen durfte (bb). Für den Fall, dass deutsches Datenschutzrecht anwendbar wäre, ist nicht offensichtlich, dass die Anordnung gegen dieses verstößt (cc).
aa) Ob deutsches Datenschutzrecht anwendbar ist, richtet sich nach § 1 Abs. 5 BDSG i. V. m. Art. 4 Richtlinie 95/46/EG (sog. Datenschutzrichtlinie). Gemäß Art. 4 Abs. 1 lit. a) Richtlinie 95/46/EG wendet jeder Mitgliedstaat die Vorschriften, die er zur Umsetzung dieser Richtlinie erlässt, auf alle Verarbeitungen personenbezogener Daten an, die im Rahmen der Tätigkeiten einer Niederlassung ausgeführt werden, die der für die Verarbeitung Verantwortliche im Hoheitsgebiet dieses Mitgliedstaats besitzt. Wenn der Verantwortliche eine Niederlassung im Hoheitsgebiet mehrerer Mitgliedstaaten besitzt, ergreift er die notwendigen Maßnahmen, damit jede dieser Niederlassungen die im jeweils anwendbaren einzelstaatlichen Recht festgelegten Verpflichtungen einhält. Nach § 1 Abs. 5 Satz 1 BDSG findet das Bundesdatenschutzgesetz keine Anwendung, sofern eine in einem anderen Mitgliedstaat der Europäischen Union belegene verantwortliche Stelle personenbezogene Daten im Inland erhebt, verarbeitet oder nutzt, es sei denn, dies erfolgt durch eine Niederlassung im Inland. Nach § 1 Abs. 5 Satz 2 BDSG findet das Bundesdatenschutzgesetz hingegen Anwendung, sofern eine verantwortliche Stelle, die nicht in einem Mitgliedstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum belegen ist, personenbezogene Daten im Inland erhebt, verarbeitet oder nutzt.
Offen ist aber, ob die Facebook Germany GmbH im Rahmen ihrer Tätigkeiten die streitgegenständliche Datenerhebung bzw. -speicherung ausführt. Für die Verarbeitung perso-nenbezogener Daten „im Rahmen der Tätigkeiten" ist, wie der Europäische Gerichtshof u.a. in der Rechtssache Weltimmo (EuGH, Urt. v. 1.10.2015, C-230/14, juris Rn. 35) erläutert hat, zwar nicht erforderlich, dass die in Rede stehende Verarbeitung personenbezogener Daten „von" der betreffenden Niederlassung selbst ausgeführt wird. Eine Verarbeitung personenbezogener Daten wird vielmehr auch im Rahmen der Tätigkeiten einer Niederlassung ausgeführt, die der für die Verarbeitung Verantwortliche im Hoheitsgebiet eines Mitgliedstaates besitzt, wenn der die Verarbeitung Durchführende in einem Mitgliedstaat für die Förderung des Verkaufs der Werbeflächen für sein Datenverarbeitungsangebot und diesen Verkauf selbst eine Zweigniederlassung oder Tochtergesellschaft gegründet hat, deren Tätigkeit auf die Einwohner dieses Staates ausgerichtet ist (EuGH, Google Spain und Google, Urt. v. 13.5.2014, C-131/12, juris Rn. 60). Anders als in der Rechtssache Google Spain und Google unterhält hier ein außerhalb der Europäischen Union liegender Mutterkonzern, die Facebook Inc., im Unionsgebiet mehrere Niederlassungen, die aber unterschiedliche Aufgaben haben. Ob eine Anknüpfung in diesem Fall an eine (allein) für Marketing und Vertrieb zuständige Niederlassung in einem Mitgliedstaat (hier: Deutschland) für die Anwendbarkeit der Datenschutzrichtlinie und die Zuständigkeit der Kontrollbehörde auch auf eine Konstellation übertragbar ist, bei der eine in einem anderen Mitgliedstaat (hier: Irland) niedergelassenen Tochtergesellschaft nach der konzerninternen Aufgaben- und Verantwortungsteilung auch im Außenverhältnis als im gesamten Unionsgebiet "für die Verarbeitung Verantwortlicher" auftritt, ist aber weiterhin klärungsbedürftig (siehe bereits: BVerwG, Vorabentscheidungsersuchen v. 25.2.2016, 1 C 28/14, juris Rn. 40; OVG Hamburg, Beschl. v. 29.6.2016, 5 Bs 40/16, juris Rn. 17 f.).
Außerdem sind der Entscheidung in der Rechtssache Amazon keine klaren Aussagen darüber zu entnehmen, wie das Merkmal „im Rahmen der Tätigkeiten" in einem Binnenmarktfall auszulegen ist. Der Europäische Gerichtshof verweist zwar auf die weite Auslegung der Begrifflichkeit „im Rahmen der Tätigkeiten". Diese weite Auslegung der Begrifflichkeit „im Rahmen der Tätigkeiten" eröffnet in einem Binnenmarktfall aber grundsätzlich die Möglichkeit, dass auf denselben Datenverarbeitungsvorgang mehrere nationale Rechte anzuwenden sind. Denn wäre auch hier eine lediglich geschäftsmäßige Unterstützung eines Datenverarbeitungsvorganges ausreichend, um von einer Ausführung im Rahmen der Tätigkeiten auszugehen, käme zum einen die Anwendung des Rechts des Ortes der unterstützenden Niederlassung in Betracht, zum anderen käme aber auch die Anwendung des Rechts des Ortes der Niederlassung in Betracht, die unmittelbar den Datenverarbeitungsvorgang ausführt. Übertragen auf den vorliegenden Fall bedeutet dies, dass auf denselben Datenverarbeitungsvorgang aufgrund der Datenverarbeitung unmittelbar durch die Antragstellerin irisches Recht, aufgrund der unterstützenden Tätigkeit der Facebook Germany GmbH, d.h. der Ausführung der Datenverarbeitung im Rahmen ihrer Tätigkeiten, aber auch deutsches Recht anwendbar sein könnte. Dem widerspricht zwar die Ziel-richtung der Richtlinie 95/46/EG, nach der in einem Binnenmarktfall auf ein und denselben Datenverarbeitungsvorgang nur das Recht eines Mitgliedstaates angewendet werden soll. Allerdings bietet die Richtlinie 95/46/EG auch keine Lösung dafür, nach welchen Kriterien das anwendbare Recht zu bestimmen ist. Insbesondere findet sich in dem Wortlaut des Art. 4 Abs. 1 lit. a) Richtlinie 95/46/EG kein Anhaltspunkt dahingehend, dass die Niederlassung ausschlaggebend ist, mit der die jeweilige Datenverarbeitung die engste Verbindung hat. Auch erfolgt keine Differenzierung nach der Art der Niederlassungen (vgl. OVG Hamburg, a.a.O., juris Rn. 12). Zudem spricht die Einschätzung der Artikel-29- Datenschutzgruppe der Europäischen Kommission zum anwendbaren Recht vom 16. Dezember 2015 gegen diese Art der Auslegung. Auch der Europäische Gerichtshof löst den dargestellten Konflikt in der Rechtssache Amazon nicht auf. So führt der Europäische Gerichtshof im Weiteren lediglich aus, es sei Sache des vorlegenden Gerichts im Lichte seiner Rechtsprechung und unter Berücksichtigung aller relevanten Umstände des Ausgangsverfahrens zu bestimmen, ob Amazon EU die fragliche Verarbeitung personenbezogener Daten im Rahmen der Tätigkeiten einer Niederlassung vornehme, die sich in einem anderen Mitgliedstaat als Luxemburg befinde; wenn es eine deutsche Niederlassung gebe, in deren Rahmen Amazon EU die Verarbeitung personenbezogener Daten vornehme, unterläge diese Verarbeitung deutschem Recht (EuGH, a.a.O., Rn. 79-81). Damit wird zwar impliziert, dass nur ein Recht auf den Datenverarbeitungsvorgang anwendbar sei, nach welchen Kriterien dieses Recht zu bestimmen ist, wird aber nicht klargestellt. Auch die Inbezugnahme der Schlussanträge des Generanwaltes Saugmands- gaard 0e durch den europäischen Gerichtshof (EuGH, a.a.O., Rn. 80) führt insoweit nicht zu einer eindeutigen Klärung. In seinen Schlussanträgen führte der Generanwalt Saug- mandsgaard 0e aus, es gehe darum, welches von mehreren nationalen Rechten, mit denen die Richtlinie umgesetzt wurde, auf die in den streitigen Klauseln vorgesehenen Da-tenverarbeitungsvorgänge Anwendung finden solle; dabei sei die Niederlassung zu bestimmen, im Rahmen von deren Tätigkeiten diese Vorgänge am unmittelbarsten erfolgen würden (Schlussanträge des Generalanwaltes Saugmandsgaard 0e vom 2.6.2016 in der Rechtssache Amazon, C-191/15, EU:C:2016:388 Rn. 125). Diesem Vorschlag, der auf sämtliche Binnenmarktfälle übertragbar wäre, ist der Europäische Gerichtshof in seinem Urteil in der Rechtssache Amazon aber weder explizit gefolgt, noch hat er ihn ausdrücklich abgelehnt. Der Europäische Gerichtshof verweist lediglich kommentarlos auf die Schlussfolgerung des Generalanwaltes, die auf der obigen Rechtsauffassung basiert, aber nimmt gleichfalls auf die angesprochene weite Auslegung der Begrifflichkeit „im Rahmen der Tätigkeiten" Bezug (EuGH, a.a.O., Rn. 80). Überdies scheint nicht zwangsläufig die Antragstellerin als diejenige Niederlassung anzusehen zu sein, die mit der in Frage stehenden Datenverarbeitung die engste Verbindung aufweist. Zwar tritt diese als für die Datenverarbeitung Verantwortliche innerhalb der Europäischen Union auf und hat das hauptsächliche Nutzungsinteresse an den Daten. Betroffen sind jedoch ausschließlich deutsche WhatsApp-Nutzer. Die Datenverarbeitung wird zudem in Deutschland veranlasst und erfolgt zunächst nur über die Facebook Inc. als Auftragsdatenverarbeiterin. Mangels weiterer Kriterien scheint es zumindest nicht offensichtlich, dass die Verbindung der Antragstellerin zu dem Datenverarbeitungsvorgang enger ist als die der sie unterstützenden deutschen Facebook Germany GmbH.
bb) Sollte deutsches Datenschutzrecht anwendbar sein, ist zweifelhaft, ob eine Eingriffsbefugnis gegenüber der Antragstellerin besteht. Auch diese Frage ist durch die bisherige Rechtsprechung noch nicht abschließend entschieden.
cc) Der Antrag hätte aber auch bei Anwendung deutschen Datenschutzrechts keinen Erfolg, denn die unter Ziffer 1 getroffene Anordnung wäre in diesem Fall rechtlich nicht zu beanstanden. Der Anwendungsbereich von § 38 Abs. 5 Satz 1 BDSG ist eröffnet; die Anordnung ist sowohl formell als auch materiell rechtmäßig. Die für die Anwendung von § 38 Abs. 5 Satz 1 BDSG erforderlichen Voraussetzungen nach § 27 BDSG liegen vor, weil die Antragstellerin als nicht-öffentliche Stelle die automatisierte Erhebung personenbezogener Daten nicht ausschließlich für persönliche oder familiäre Tätigkeiten, sondern zu wirtschaftlichen Zwecken und auf technischem Wege plant.
Gemessen an diesen Maßstäben sind die Einwilligungen, die die Antragstellerin von den betroffenen Nutzern eingeholt hat, nicht wirksam. Dies gilt für alle WhatsApp-Nutzer, d.h. Alt- und Neukunden als auch für sämtliche Zwecke, für die die Antragstellerin die Erhebung von Daten plant, d.h. für die Zwecke „Network/Security", „Business Intelligence Analytics" und „Facebook Ads/Products".
Die Altkunden bekommen beim Aufrufen der App folgenden Willkommensbildschirm angezeigt:
Dieses Einwilligungsverfahren ist wegen Verstoß gegen § 4a Abs. 1 Satz 1 BDSG unwirksam. Es fehlt an einer bewussten Einwilligung der betroffenen Nutzer. Denn für einen durchschnittlichen Nutzer ist nicht erkennbar, dass die Betätigung des obigen Buttons „Zustimmen" eine Einwilligung in Datenvorgänge nach § 4 Abs. 1 BDSG darstellen soll. Es fehlt nämlich jeglicher Hinweis darauf, dass es in der Sache um die Einholung einer Einwilligung in Datenverarbeitungen geht. Dies kann dem Nutzer auch gar nicht bewusst sein. Der dem Hyperlink „Zustimmen" vor- bzw. nachfolgende Text erwähnt dies mit keinem Wort. Die Wortwahl, die Datenschutzrichtlinie werde aktualisiert, suggeriert vielmehr, die Daten des Nutzers würden geschützt. Auch wird angedeutet, die Aktualisierung erfolge nur, um neue Funktionen aktivieren zu können. Dies stellt eine Irreführung des Nutzers dar.
Überdies dürften selbst die nach Betätigung des Hyperlinks „Lesen" zur Verfügung gestellten Informationen (siehe folgender Screenshot) eine wirksame Einwilligung der WhatsApp-Nutzer nicht begründen können.
Gemessen hieran kann sich die Antragstellerin nicht mit Erfolg auf § 28 Abs. 1 Satz 1 Nr. 2 BDSG berufen. Zwar dürfte es sich bei den Zwecken „Network/Security" und „Business Intelligence Analytics" sowie „Facebook Ads/Products" grundsätzlich um berechtigte Interessen handeln. Die Antragstellerin hat jedoch nicht substantiiert vorgetragen, dass die zu erhebenden Daten für diese Zwecke auch erforderlich sind.
Soweit die Antragstellerin bei einem potentiell beeinträchtigten Facebook-Account beabsichtigt, eine Bestätigungsnachricht via SMS an diesen WhatsApp-Account zu senden, um zu verifizieren, ob der Nutzer echt ist, kann ihr zugemutet werden, diese Verifikationsmöglichkeit den Facebook-Nutzern lediglich als Option anzubieten.
c) Die mangels einer möglichen Prognose der Erfolgsaussichten des Widerspruchs vorzu-nehmende Interessenabwägung führt zu einem Überwiegen der Interessen der WhatsApp-Nutzer gegenüber dem Aussetzungsinteresse der Antragstellerin.
Ein gewichtiges Aussetzungsinteresse der Antragstellerin ist nicht gegeben. Bis zu einer Entscheidung in der Hauptsache ist nach dem gegenwärtigen Erkenntnisstand ein unwiederbringlicher wirtschaftlicher Schaden der Antragstellerin nicht zu befürchten. Die Antragstellerin vermag weder einen etwaigen wirtschaftlichen Schaden zu beziffern, noch überzeugend darzulegen, warum eine Verzögerung der Datenerhebung, ihre erfolgreiche wirtschaftliche und technische Entwicklung erheblich beeinträchtigen würde. Auch die weiteren Umstände sprechen nicht für einen drohenden gewichtigen wirtschaftlichen Schaden. Immerhin erfolgte die Übernahme von WhatsApp durch die Antragstellerin bereits im Jahre 2014. Die Datenerhebung sollte aber erst im Jahr 2016 erfolgen. Wenn diese mit einem erheblichen wirtschaftlichen Vorteil für die Antragstellerin verbunden wäre, wäre indes zu erwarten gewesen, dass sie die geplante Datenerhebung deutlich früher veranlasst hätte. Hinzu kommt, dass die Anordnung der Antragsgegnerin - sollte deutsches Recht anwendbar und sie zum Einschreiten befugt sein - voraussichtlich rechtmäßig und insbesondere die Datenerhebung für die von der Antragstellerin angegebenen Zwecke nicht erforderlich ist (siehe oben). In diesem Zusammenhang ist vor allem zu berücksichtigen, dass es in der Hand der Antragstellerin liegt, für die Datenerhebung ein ordnungsgemäßes und transparentes Einwilligungsverfahren zu entwickeln und anzuwenden und damit der datenschutzrechtlichen Anordnung die Grundlage zu entziehen. Dies hat sie jedoch nicht getan. Zu der Einführung eines solchen Einwilligungsverfahrens ist sie indes in jedem Fall, d.h., auch wenn irisches Datenschutzrecht anwendbar sein sollte, verpflichtet. Denn die Vorschriften der Richtlinie 95/46/EG sind EU-weit umzusetzen, sodass Irland ein mit Deutschland vergleichbares Datenschutzniveau zu bieten hat. Insbesondere schreiben die Art. 2 h), 7 a) und 10 der Richtlinie 95/46/EG als Mindest- schutzniveau vor, dass die betroffene Person ohne jeden Zweifel ihre Einwilligung geben muss und über die Zwecke der Verarbeitung informiert wird. Auch für den Fall, dass die streitgegenständliche Anordnung zu Unrecht nach deutschem Recht ergangen sein sollte, fällt die Verletzung des Rechts der Antragstellerin in ihrer unternehmerischen Freiheit daher nicht besonders schwer aus, weil sie zu der Einhaltung der von Antragsgegnerin ausgesprochenen Anordnung ohnehin verpflichtet ist.
Demgegenüber wiegen die Interessen der betroffenen WhatsApp-Nutzer, die in diesem Verfahren zu berücksichtigen sind (vgl. OVG Hamburg, Beschl. v. 29.6.2016, a.a.O., Rn. 24), deutlich schwerer. Die geplante Datenerhebung stellt einen Eingriff in das aus Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 GG abzuleitende Grundrecht auf informationelle Selbstbestimmung dar. Das Recht auf informationelle Selbstbestimmung trägt Gefährdungen und Verletzungen der Persönlichkeit Rechnung, die sich für den Einzelnen aus informationsbezogenen Maßnahmen ergeben (zuletzt: BVerfG, Beschl. v. 24.7.2015, 1 BvR 2501/13, juris Rn. 11 m.w.N.). Es gewährleistet die Befugnis des Einzelnen, grundsätzlich selbst über die Preisgabe und Verwendung seiner persönlichen Daten zu bestimmen (zuletzt: BVerfG, Beschl. v. 20.12.2016, 2 BvR 1541/15, juris Rn. 16 m.w.N.). Bereits in der Entscheidung aus dem Jahr 1983 stellte das Bundesverfassungsgericht fest, diese Befugnis bedürfe unter den künftigen Bedingungen der automatischen Datenverarbeitung in besonderem Maße des Schutzes (Urt. v. 15.12.1983, 1 BvR 209/83, juris Rn. 147). Diese Ausführungen sind heute aktueller denn je. Denn das gegenwärtige Zeitalter ist durch den umfassenden Einsatz des Internets geprägt. Der Gebrauch des Internets ermöglicht auf einfachste Art und Weise eine automatisierte und intransparente Datenerhebung und -weitergabe. Dies zeigt nicht zuletzt das streitgegenständliche Einwilligungsverfahren, in dem ein einfacher Klick auf das Feld „Zustimmen" zur Zulässigkeit einer komplexen Datenerhebung führen soll. Mit dem besonderen Schutz, den das Recht auf informationelle Selbstbestimmung bedarf, wäre es vor diesem Hintergrund nicht vereinbar, der Antragstellerin die Erhebung der Daten vorläufig zu ermöglichen. Von Gewicht ist hierbei einerseits, dass die Datenerhebung sensible personenbezogene Daten betrifft, die das Grundrecht in seinem Kernbereich höchstpersönlicher Lebensgestaltung betreffen. So lässt sich, z.B., aus der Telefonnummer und der „Zuletzt Online"- Angabe ohne weiteres ein Aktivitätsprofil des jeweiligen Nutzers erstellen. Zum anderen droht den Nutzern durch die vorläufige Erhebung ein irreparabler Nachteil. Denn würde sich im Nachhinein herausstellen, dass die Erhebung rechtswidrig war, könnte diese Verletzung nicht mehr rückgängig gemacht werden. Die Antragstellerin will die Daten in vielfältiger Weise verwenden, z.B. zur Identifizierung eines mit schädlichen Verhaltensweisen in Verbindung stehenden Accounts oder zur Unterbreitung zielgenauer Freundesvorschläge zum Zwecke der Verbindung auf Facebook. Darüber hinaus bestehen zahllose weitere Möglichkeiten für eine weitergehende Verarbeitung und Verknüpfung dieser Informationen und zur Nutzung zu einer Vielzahl von Zwecken. Die Verwendung der Daten wird im Nachhinein nicht im Einzelnen nachzuvollziehen sein, sodass auch eine rückstandslose Löschung der Daten bzw. der infolge ihrer Nutzung entstandenen Ergebnisse nur schwerlich möglich und im Nachhinein überprüfbar sein dürfte.