Wichtigste Punkte:

• Norwegische Aufsichtsbehörde verbietet vorübergehend verhaltensbezogene Werbung auf Instagram und Facebook wegen fehlender eindeutiger Zustimmung der Nutzer:innen
• Meta ändert die Rechtsgrundlage für die Verarbeitung persönlicher Daten in der EU auf „Zustimmung der Nutzer:innen“
• Für Meta wird es eine kostspielige und technisch anspruchsvolle Aufgabe sein, das Online‑Tracking der Nutzeraktivitäten zu stoppen
• Falls der Druck auf Meta zunimmt, ist nicht auszuschließen, dass es seine Tätigkeit in der EU einstellt oder einschränkt

Was passiert ist

Meta, Eigentümer von Facebook und Instagram, ist in Norwegen in die Klemme geraten. Am 17. Juli ordnete die norwegische Datenschutzbehörde an, dass Meta seinen Nutzer:innen in dem Land keine personalisierte Werbung mehr auf der Grundlage ihres Online‑Verhaltens zeigen darf. Die Behörde warf Meta vor, gegen das Gesetz zu verstoßen, indem es seine Nutzer:innen ohne deren ausdrückliche Einwilligung überwacht und profiliert. Sie verhängte ein dreimonatiges Verbot für verhaltensbezogene Werbung auf beiden Plattformen. Das länderspezifische Verbot tritt am 4. August in Kraft und wird bis Oktober gelten. Meta kann mit einer Geldstrafe von 100.000 Dollar pro Tag belegt werden, wenn es dem Verbot nicht nachkommt oder seine Datenerfassungspraktiken nicht ändert.

Aber was genau ist „verhaltensbezogene Werbung“? Es ist eine Art der Werbung, die Ihre persönlichen Daten nutzt, um Ihnen hochrelevante, auf Ihre Interessen und Vorlieben zugeschnittene Werbung zu zeigen. Meta sammelt diese Daten, indem es Ihr Online-Verhalten überwacht, z. B. Ihre Aktivitäten beim Surfen im Internet, Ihre Beiträge in sozialen Medien, Ihren Suchverlauf, Daten zur Nutzung von Apps und Standortdaten. Der Haken daran ist, dass all diese Daten ohne Ihre ausdrückliche Einwilligung gesammelt werden. Sie bleiben also im Unklaren darüber, wie Ihre persönlichen Daten gesammelt werden und zu welchem Zweck.

Warum nimmt Norwegen jetzt Meta ins Visier?

Auf den ersten Blick mag der Schritt der norwegischen Datenschutzbehörde, gegen die langjährigen Werbepraktiken von Meta vorzugehen, aus dem Nichts kommen. Doch der Zeitpunkt ist nicht zufällig gewählt. Die Anordnung folgte auf ein Urteil des Gerichtshofs der Europäischen Union vom 4. Juli, in dem festgestellt wurde, dass Meta sich nicht auf „berechtigte Interessen“ als Rechtsgrundlage für die Datenverarbeitung für personalisierte Werbung berufen kann.

Allein in diesem Jahr hat Meta die Rechtsgrundlage für die Verarbeitung von Nutzerdaten in der EU mehrfach geändert. Bis April machte Meta die „vertragliche Notwendigkeit“ als Rechtsgrundlage für die Sammlung von Nutzerdaten geltend. Nachdem der Europäische Datenschutzausschuss (EDSA) festgestellt hatte, dass „Werbung für die Erfüllung eines angeblichen Vertrags mit Facebook- und Instagram-Nutzer:innen nicht erforderlich ist“, änderte Meta die Rechtsgrundlage auf „berechtigte Interessen“. Aber das Urteil vom 4. Juli hat auch dazu ein Ende gesetzt. Da Meta keine Ausweichmöglichkeiten mehr hatte, änderte es am 1. August die Rechtsgrundlage erneut, diesmal endgültig auf „Einwilligung der Nutzer:innen“.

Dies bedeutet theoretisch, dass Meta die Nutzer:innen direkt um ihre Einwilligung zu verhaltensbezogener Werbung bitten muss, bevor es ihre Daten zu diesem Zweck sammelt. Das Wall Street Journal berichtete, dass Meta den Regulierungsbehörden in der EU angeboten hat, verhaltensbezogene Werbung ausschließlich auf Nutzer:innen zu beschränken, die ihr Einverständnis gegeben haben.

Trotzdem gibt es noch viel Ungewissheit darüber, wie genau Meta nach der Einwilligung fragen wird, und ob dabei dunkle Muster ins Spiel kommen werden. Kurz gesagt: Für Feiern ist es vielleicht noch zu früh.

Metas Entscheidung, die Rechtsgrundlage für seine Datenverarbeitung zu ändern, hat bereits eine Reaktion der norwegischen Datenschutzbehörde ausgelöst, die darin einen Triumph für ihre Bekämpfung des Online-Trackings sieht. „Meta gibt zwar an, dass dies eine freiwillige Änderung auf seiner Seite ist, aber das ist wenig überzeugend“, sagte Tobias Judin, Sprecher des norwegischen Datenschützers, im Gespräch mit The Wired. Er warnte jedoch, dass Meta immer noch versuchen könnte, Nutzer:innen mit Tricks dazu zu bringen, ihr Zustimmung zum Tracking zu geben.

Die mögliche Auswirkung des norwegischen Verbots

Die Entscheidung der norwegischen Datenschutzbehörde bedeutet nicht, dass Meta oder Instagram in Norwegen nicht mehr erlaubt sind. Es bedeutet auch nicht, dass sie ihren Nutzer:innen keine personalisierte Werbung zeigen dürfen. Das heißt vielmehr, dass Meta die Entscheidungen und Wünsche der Nutzer:innen in Bezug auf die Verwendung und Weitergabe ihrer Daten berücksichtigen muss. Meta weiterhin Werbung auf der Grundlage von Informationen zeigen, die die Nutzer:innen freiwillig und wissentlich weitergeben, wie z. B. ihre Lebensdaten – Alter, Geschlecht, Standort oder Interessen. Und falls Meta nachweisen kann, dass es von den Nutzer:innen eine gültige Einwilligung zum Sammeln ihrer Daten für verhaltensbezogene Werbung erhalten hat, darf es auch das tun.

Die norwegische Aufsichtsbehörde hat angegeben, dass sie die Frage nach dem Sommer beim Europäischen Datenschutzausschuss ansprechen will. Der EDSA ist eine Gruppe von Datenschutzbehörden aus allen EU-Ländern sowie Norwegen, Liechtenstein und Island. Sie könnten ihrerseits entscheiden, ob und wie lange das Verbot der verhaltensbezogenen Werbung von Meta über Norwegen hinaus ausgedehnt wird. In diesem Fall könnte dies erhebliche Auswirkungen auf das Meta-Geschäft haben, das hauptsächlich von den Werbeeinnahmen abhängig ist.

Optionen für Meta: Anpassen an das Verbot

Meta ist sicherlich in der Lage, sich anzupassen und das standortbezogene Tracking zu stoppen. Der Nachteil ist nur, dass es Mark Zuckerbergs Unternehmen einen Haufen Geld kosten könnte. Alternativ kann es sich für einen viel vereinfachenden Ansatz entscheiden, den es derzeit in der EU mit seiner neuen App Threads erprobt – nämlich die Leute in Norwegen daran zu hindern, Facebook und Instagram überhaupt zu nutzen, selbst über ein VPN.

Entschließt sich Meta, das Verbot zu befolgen, anstatt den norwegischen Markt aufzugeben, hat das Unternehmen mehrere Möglichkeiten. Dazu gehören das Sammeln von Verhaltensdaten nur von norwegischen Nutzer:innen, die ihre Zustimmung gegeben haben, die vollständige Einstellung der Sammlung von Verhaltensdaten in Norwegen oder die Einstellung der Anzeigenschaltung für norwegische Nutzer:innen.

Die letzte Option ist aus technischer Sicht die einfachste zu implementieren. Werbung für Nutzer:innen in einem bestimmten Land zu unterbinden ist eine relativ leichte Aufgabe, die sehr schnell umgesetzt werden kann. Es ist jedoch schwierig, das Sammeln von Daten zu stoppen, die für das Verhalten-Tracking verwendet werden. Der Grund dafür ist, dass diese Funktion ein „nativer“ Bestandteil von Meta ist, den man nicht einfach abschalten kann. Alle Interaktionen in den Anwendungen werden verfolgt und so analysiert, dass sie zu einem Teil des Profils werden. In anderen Worten: Meta hat seine Anwendungen und Websites so gestaltet, dass sie immer Ihre Daten sammeln, ganz egal, was Sie tun. Und selbst wenn Sie keine Meta‑eigenen Apps wie Facebook oder Instagram verwenden, kann Meta Ihre Daten aus den mobilen Apps von Drittanbietern erfassen, die Metas Tools einbetten. Etwa 40 % der kostenlosen Apps im Google Play Store teilen Daten mit Meta über das Facebook Software Development Kit (SDK), das sie verwenden.

Wenn Meta versucht, das Verbot ernsthaft einzuhalten, ist es wahrscheinlich am einfachsten, die meisten Anfragen aus Norwegen, die mit Werbung und Tracking zu tun haben, zu blockieren. Praktisch bedeutet dies, dass Meta keine Informationen von Ihrem Gerät empfängt oder an Ihr Gerät sendet, wenn Sie in Norwegen eine Anwendung oder eine Website nutzen, die das SDK von Meta verwendet. Es kann dazu führen, dass einige Funktionen von Metas Apps und Websites in Norwegen nicht funktionieren. Zum Beispiel können Sie einige auf Ihrem Online‑Verhalten basierende Empfehlungen oder Vorschläge nicht sehen.

In diesem Fall würde Meta etwas sehr Ähnliches tun, was Werbeblocker bereits tun: Anwendungen und Websites daran hindern, Informationen über Werbung oder Tracking an oder von Ihrem Gerät zu senden oder zu empfangen.

Warum ist Norwegen der Vorreiter in Sachen Datenschutz?

Normalerweise ist es nicht Norwegen, das die Führung beim Datenschutz in Europa übernimmt. Wir sind eher daran gewöhnt, dass Frankreich, Deutschland und Irland, die Heimat der führenden Datenschutzbehörde der EU, gegen Big Tech vorgehen. Dies sollte jedoch kein Schock sein. Norwegen, das zwar nicht in der EU ist, aber dennoch der Datenschutz-Grundverordnung unterliegt, hat sich als Befürworter des Datenschutzes erwiesen. Die überwiegende Mehrheit der Bevölkerung Norwegens scheint sich ihrer Datenschutzrechte bewusst zu sein. Laut der Umfrage im Juni 2018 hatten mehr als 82 % der Norweger:innen von der DSGVO gehört. Mehr als die Hälfte gaben an, E-Mails mit der Bitte um Zustimmung von Dritten erhalten zu haben, von denen sie nicht wussten, dass sie ihre Adresse haben. Der Umfrage der norwegischen Datenschutzbehörde 2019/2020 zufolge waren 83 % aller Norweger:innen sehr oder eher besorgt über den Datenschutz. Fast sieben von zehn Befragten gaben an, dass sie wenig Kontrolle darüber haben, wie persönliche Daten online gespeichert und verwendet werden, und sechs von zehn gaben an, dass sie sich machtlos fühlen, wenn es darum geht, Kontrolle über ihre persönlichen Daten online zu haben.

Diese starke Haltung zum Datenschutz spiegelt sich auch in unseren eigenen Daten wider. Laut unserem Bericht 2023 über den Stand der Werbetracking in der Welt lebt Nordeuropa in einer Online-Umgebung, die deutlich sauberer von Werbetracking ist als der restliche Kontinent. Unsere Daten zeigen, dass die Norweger:innen im Durchschnitt 20 % weniger auf Tracker stoßen als andere Europäer. Technisch gesehen liegt das daran, dass lokale Anwendungen und Websites beim Nutzer-Tracking nicht allzu aggressiv vorgehen. Das zeigt sich, wenn wir norwegische Top-Nachrichtenwebseiten wie vg.no mit anderen Top-Medienwebseiten vergleichen. Als wir zum Beispiel AdGuard auf vg.no einsetzten, stellten wir fest, dass es nur 5 Werbeanfragen blockierte, während der Zähler auf The Guardian bei über 20 lag. Beachten Sie jedoch, dass die Anzahl der auf denselben Websites blockierten Tracker zu jedem Zeitpunkt unterschiedlich sein kann und auch von den Einstellungen Ihrer Werbeblocker-Anwendung abhängt.

Blick in die Zukunft

Insgesamt gesehen zeigt die Entscheidung der norwegischen Aufsichtsbehörde, dass zumindest in Europa der Trend gegen das Tracking von Verhaltensdaten an Schwung gewinnt. Bisher hat Meta im Gegensatz zu einigen seiner Konkurrenten, wie z. B. Google mit seiner Privacy Sandbox, mehr Interesse daran gezeigt, Datenschutzgesetze anzukämpfen, als sich an diesem Trend anzupassen. Das könnte der letzte Strohhalm sein, der das Unternehmen dazu bewegt, sich ernsthaft zu ändern.

Falls Meta jedoch seine Politik der Datenerfassung nicht in naher Zukunft überarbeitet, und nicht nur in der Papierform, sondern auch in Wirklichkeit, kann es genauso gut einfach aufhören, in der EU Geschäfte zu machen.