Die Irische Datenschutzbehörde hat ein Bußgeld in Höhe von 345 Millionen EURO gegen TikTok wegen diverser Verstöße gegen die DSGVO verhängt.
Die Pressemitteilung der Irish Data Protection Commission: Irish Data Protection Commission announces €345 million fine of TikTok
The Data Protection Commission (DPC) adopted its final decision regarding its inquiry into TikTok Technology Limited (TTL) on 1 September 2023.
This own-volition inquiry sought to examine the extent to which, during the period between 31 July 2020 and 31 December 2020 (the Relevant Period), TTL complied with its obligations under the GDPR in relation to its processing of personal data relating to child users of the TikTok platform in the context of:
Certain TikTok platform settings, including public-by-default settings as well as the settings associated with the ‘Family Pairing’ feature; and
Age verification as part of the registration process.
As part of the inquiry, the DPC also examined certain of TTL’s transparency obligations, including the extent of information provided to child users in relation to default settings.
At the conclusion of its investigation, the DPC submitted a draft decision to all Supervisory Authorities Concerned (CSAs), for the purpose of Article 60(3) GDPR, on 13 September 2022. The DPC’s draft decision proposed findings of infringement of Articles 5(1)(c), 5(1)(f), 24(1), 25(1), 25(2), 12(1) and 13(1)(e) GDPR, in relation to the above processing. While there was broad consensus on the DPC’s proposed findings, objections to the draft decision were raised by the Supervisory Authorities (each an SA, collectively SAs) of Italy and Berlin (acting on behalf of itself and the Baden-Württemberg SA).
The objection raised by the Berlin SA sought the inclusion of an additional finding of infringement of the Article 5(1)(a) GDPR principle of fairness as regards ‘dark patterns’ while the objection raised by the Italian SA sought to reverse the DPC’s proposed finding of compliance with Article 25 GDPR, as regards TTL’s approach to age verification during the Relevant Period. The DPC was unable to reach consensus with the CSAs on the subject-matter of the objections and, in the circumstances, decided to refer the objections to the EDPB for determination pursuant to the Article 65 GDPR dispute resolution mechanism.
The European Data Protection Board adopted its binding decision on the subject matter of the objections on 2 August 2023 with a direction that the DPC must amend its draft decision to include a new finding of infringement of the Article 5(1)(a) GDPR principle of fairness, further to the objection raised by the Berlin SA, and to extend the scope of the existing order to bring processing into compliance, to include reference to the remedial work required to address this new finding of infringement.
The DPC’s decision, which was adopted on 1 September 2023, records findings of infringement of Articles 5(1)(c), 5(1)(f), 24(1), 25(1), 25(2), 12(1), 13(1)(e) and 5(1)(a) GDPR. The decision further exercises the following corrective powers:
A reprimand;
An order requiring TTL to bring its processing into compliance by taking the action specified within a period of three months from the date on which the DPC’s decision is notified to TTL; and
Administrative fines totalling €345 million.
For more information, the EDPB has published the Article 65 decision and the final decision on its website.
Die EU-Kommission hat festgestellt, dass Alphabet, Amazon, Apple, ByteDance, Meta und Microsoft Gatekeeper im Sinn des Digital Markets Act (DMA) sind.
Die Pressemitteilung der EU-Kommission: Die Europäische Kommission hat heute im Rahmen des Gesetzes über digitale Märkte erstmals sechs Torwächter (Gatekeeper) benannt: Alphabet, Amazon, Apple, ByteDance, Meta und Microsoft. Insgesamt wurden 22 zentrale Plattformdienste, die von Torwächtern bereitgestellt werden, benannt. Die sechs Torwächter haben nun sechs Monate Zeit, um die vollständige Einhaltung der Verpflichtungen gemäß dem Gesetz über digitale Märkte für jeden ihrer benannten zentralen Plattformdienste sicherzustellen.
Im Rahmen des Gesetzes über digitale Märkte kann die Europäische Kommission digitale Plattformen als „Torwächter“ benennen, wenn diese für Unternehmen über zentrale Plattformdienste ein wichtiges Zugangstor zu Verbraucherinnen und Verbrauchern darstellen. Die heutigen Benennungsbeschlüsse sind das Ergebnis einer Überprüfung durch die Kommission über 45 Tage, nachdem Alphabet, Amazon, Apple, ByteDance, Meta, Microsoft und Samsung ihren potenziellen Torwächter-Status mitgeteilt hatten. Insbesondere hat die Kommission den Torwächter-Status für die folgenden zentralen Plattformdienste festgestellt:
Parallel dazu hat die Kommission vier Marktuntersuchungen eingeleitet, um die eingereichten Mitteilungen von Microsoft und Apple weiter zu prüfen, denen zufolge einige ihrer zentralen Plattformdienste nicht als Zugangstore anzusehen sind, obwohl sie die Schwellenwerte erreichen:
Microsoft: Bing, Edge und Microsoft Advertising
Apple: iMessage
Nach dem Gesetz über digitale Märkte soll im Rahmen dieser Untersuchungen festgestellt werden, ob durch eine hinreichend stichhaltige Widerlegung durch die Unternehmen nachgewiesen wird, dass die betreffenden Dienste nicht benannt werden sollten. Die Untersuchung sollte innerhalb von fünf Monaten abgeschlossen werden.
Darüber hinaus hat die Kommission eine Marktuntersuchung eingeleitet, um weiter zu prüfen, ob Apples iPadOS zu den Torwächtern gezählt werden sollte, obwohl es die Schwellenwerte nicht erreicht. Diese Untersuchung im Rahmen des Gesetzes über digitale Märkte sollte innerhalb von höchstens 12 Monaten abgeschlossen werden.
Darüber hinaus kam die Kommission zu dem Schluss, dass Gmail, Outlook.com und Samsung Internet Browser zwar die Schwellenwerte des Gesetzes über digitale Märkte für die Einstufung ihrer Betreiber als Torwächter erreichen, Alphabet, Microsoft und Samsung jedoch hinreichend begründete Argumente dafür vorgelegt haben, dass diese Dienste nicht als Zugangstor für die jeweiligen zentralen Plattformdienste anzusehen sind. Daher beschloss die Kommission, Gmail, Outlook.com und Samsung Internet Browser nicht als zentrale Plattformdienste zu benennen. Dementsprechend wurde Samsung nicht als Torwächter in Bezug auf einen zentralen Plattformdienst eingestuft.
Nächste Schritte für benannte Torwächter
Nach ihrer Benennung haben die Torwächter nun sechs Monate Zeit, um sich an die vollständige Liste der Gebote und Verbote zu halten, die im Gesetz für digitale Märkte vorgesehen sind, sodass Endnutzern und gewerblichen Nutzern der Dienste des Torwächters eine größere Auswahl geboten und mehr Freiheit eingeräumt wird. Einige der Verpflichtungen gelten jedoch direkt ab dem Zeitpunkt der Benennung, z. B. die Verpflichtung, die Kommission über jeden geplanten Zusammenschluss zu unterrichten. Es liegt bei den benannten Unternehmen, die wirksame Einhaltung der Vorschriften zu gewährleisten und nachzuweisen. Zu diesem Zweck müssen sie innerhalb von sechs Monaten einen ausführlichen Compliance-Bericht vorlegen, in dem sie darlegen, wie sie die einzelnen Verpflichtungen des Gesetzes über digitale Märkte erfüllen.
Die Kommission wird die wirksame Umsetzung und Einhaltung dieser Verpflichtungen überwachen. Kommt ein Torwächter den im Gesetz über digitale Märkte festgelegten Verpflichtungen nicht nach, kann die Kommission Geldbußen bis zu einem Höchstbetrag von 10 % des weltweit erzielten Gesamtumsatzes des Unternehmens verhängen, der bei wiederholter Zuwiderhandlung auf bis zu 20 % hochgesetzt werden kann. Im Falle systematischer Zuwiderhandlungen ist die Kommission auch befugt, zusätzliche Abhilfemaßnahmen aufzuerlegen. Beispielsweise kann sie einen Torwächter dazu verpflichten, ein Unternehmen oder Teile davon zu verkaufen, oder sie kann dem Torwächter verbieten, zusätzliche Dienste zu erwerben, die mit der systematischen Nichteinhaltung in Verbindung stehen.
In Zukunft könnten weitere Unternehmen der Kommission auf der Grundlage ihrer Selbstbeurteilung Mitteilungen im Rahmen des Gesetzes über digitale Märkte in Bezug auf die einschlägigen Schwellenwerte übermitteln. In diesem Zusammenhang führt die Kommission konstruktive Gespräche mit allen relevanten Unternehmen.
Hintergrund
Das Gesetz über digitale Märkte soll verhindern, dass Torwächter den Unternehmen und Endnutzern unfaire Bedingungen aufzwingen, und so die Offenheit wichtiger digitaler Märkte gewährleisten.
Zusammen mit dem Gesetz über digitale Märkte schlug die Kommission im Dezember 2020 das Gesetz über digitale Dienste vor, um die negativen Folgen bestimmter Verhaltensweisen von Online-Plattformen, die als digitale Torwächter fungieren, für den EU-Binnenmarkt anzugehen.
Das Gesetz über digitale Märkte, das seit November 2022 in Kraft ist und seit Mai 2023 angewendet wird, zielt darauf ab, bestreitbare und faire Märkte im digitalen Sektor zu gewährleisten. Es reguliert die sogenannten Torwächter: große Online-Plattformen, die gewerblichen Nutzern als wichtiges Zugangstor zu Verbrauchern dienen und die aufgrund dieser Stellung die Macht haben, den Marktzugang in der digitalen Wirtschaft zu kanalisieren.
Unternehmen, die mindestens einen der zehn im Gesetz über digitale Märkte aufgeführten zentralen Plattformdienste betreiben, werden als Torwächter angesehen, wenn sie die nachstehenden Kriterien erfüllen. Zu diesen zentralen Plattformdiensten gehören Online-Vermittlungsdienste wie Dienste zum Herunterladen von Computer- oder Handy-Apps, Online-Suchmaschinen, soziale Netzwerke, bestimmte Kommunikationsdienste, Video-Sharing-Plattform-Dienste, virtuelle Assistenten, Webbrowser, Cloud-Computing-Dienste, Betriebssysteme, Online-Marktplätze und Online-Werbedienste. Ein Unternehmen kann dabei auch für mehrere zentrale Plattformdienste als Torwächter benannt werden.
Es gibt drei quantitative Hauptkriterien, die die Annahme begründen, dass ein Unternehmen ein Torwächter im Sinne des Gesetzes über digitale Märkte ist: i) Das Unternehmen erzielt einen bestimmten Jahresumsatz im Europäischen Wirtschaftsraum und erbringt in mindestens drei EU-Mitgliedstaaten einen zentralen Plattformdienst, ii) das Unternehmen betreibt einen zentralen Plattformdienst mit monatlich mehr als 45 Millionen aktiven Endnutzern, die in der EU niedergelassen sind oder sich dort aufhalten, und mit jährlich mehr als 10 000 aktiven gewerblichen Nutzern mit Niederlassung in der EU und iii) das Unternehmen hat das zweite Kriterium in den drei vorhergehenden Geschäftsjahren erfüllt.
Im Gesetz über digitale Märkte ist eine Reihe spezifischer Verpflichtungen festgelegt, die Torwächter einhalten müssen, und bestimmte Verhaltensweisen werden ihnen untersagt mithilfe einer Liste von Geboten und Verboten.
Mit dem Gesetz über digitale Märkte wird der Kommission auch die Befugnis übertragen, Marktuntersuchungen durchzuführen, um i) Unternehmen aus qualitativen Gründen als Torwächter zu benennen, ii) die Verpflichtungen für Torwächter erforderlichenfalls zu aktualisieren, iii) Abhilfemaßnahmen zu konzipieren, mit denen gegen systematische Zuwiderhandlungen gegen die Vorschriften des Gesetzes über digitale Märkte vorgegangen wird.
EuGH-Generalanwalt
Schlussanträge vom 08.06.2023 C-376/22
Google Ireland Limited, Tik Tok Technology Limited, Meta Platforms Ireland Limited
EuGH-Generalanwalt kommt in seinen Schlussanträge zu dem Ergebniss, dass Anbieter wie Google, Meta Platforms und Tik Tok zusätzliche Verpflichtungen in einem anderen Mitgliedstaat als dem ihres Sitzes nur im konkreten Einzelfall auferlegt werden dürfen.
Die Pressemitteilung des EuGH: Plattformen wie Google, Meta Platforms und Tik Tok dürfen zusätzliche Verpflichtungen in einem anderen Mitgliedstaat als dem ihres Sitzes nur in Bezug auf einen konkreten Einzelfall ergriffene Maßnahmen auferlegt werden
Das Unionsrecht verwehrt es, den freien Verkehr von Diensten der Informationsgesellschaft aus anderen Mitgliedstaaten durch gesetzliche Maßnahmen generell-abstrakter Natur zu beschränken.
Google, Meta Platforms und Tik Tok wenden sich vor den österreichischen Gerichten gegen die von der österreichischen Regulierungsbehörde für Kommunikation (KommAustria) getroffene Feststellung, dass das österreichische Bundesgesetz aus dem Jahr 2020 über Maßnahmen zum Schutz der Nutzer auf Kommunikationsplattformen (KoPl-G 1) auf sie anwendbar sei, obwohl sie in einem anderen Mitgliedstaat, nämlich Irland, niedergelassen sind.
Mit diesem Gesetz soll die Verantwortlichkeit von Kommunikationsplattformen gestärkt werden. Im Einzelnen verpflichtet es allgemein die Betreiber von „Kommunikationsplattformen“, die in Österreich oder im Ausland niedergelassen sind, ein Melde- und Überprüfungssystem für angeblich rechtswidrige Inhalte einzurichten. Außerdem sind diese Betreiber verpflichtet, regelmäßig Berichte über die Behandlung solcher Meldungen zu erstellen. Die im KoPl-G festgelegten Verpflichtungen erfordern nicht den vorherigen Erlass eines individuellkonkreten Rechtsakts. Des Weiteren sieht das Gesetz Geldstrafen bei Verstößen gegen die gesetzlichen Verpflichtungen vor.
Google, Meta Platforms und Tik Tok machen geltend, dass das KoPl-G mit der Richtlinie über den elektronischen Geschäftsverkehr2, insbesondere mit dem Herkunftslandprinzip, unvereinbar sei. Der österreichische Verwaltungsgerichtshof hat dem Gerichtshof hierzu Fragen vorgelegt. Er möchte wissen, ob ein Mitgliedstaat den freien Verkehr von Diensten der Informationsgesellschaft aus anderen Mitgliedstaaten dadurch beschränken darf, dass er nationale Maßnahmen generell-abstrakter Natur ergreift, die sich auf eine allgemein umschriebene Kategorie bestimmter Dienste der Informationsgesellschaft – nämlich „Kommunikationsplattformen“ – beziehen, ohne dass diese Maßnahmen in Bezug auf einen konkreten Einzelfall ergriffen werden.
In seinen Schlussanträgen vom heutigen Tag weist Generalanwalt Maciej Szpunar darauf hin, dass seine Analyse auf der Prämisse beruht, dass es sich bei den von den drei Unternehmen in Österreich erbrachten Dienstleistungen um Dienste der Informationsgesellschaft handelt, wie dies für den österreichischen Verwaltungsgerichtshof feststeht.
Der Generalanwalt stellt fest, dass die Richtlinie über den elektronischen Geschäftsverkehr es im koordinierten Bereich den Mitgliedstaaten verbietet, den freien Verkehr von Diensten der Informationsgesellschaft aus einem anderen Mitgliedstaat einzuschränken. Vorbehaltlich von Ausnahmen lässt diese Richtlinie es nicht zu, dass der Anbieter eines Dienstes des elektronischen Geschäftsverkehrs strengeren Anforderungen unterliegt, als sie das in seinem Herkunftsmitgliedstaat geltende Recht vorsieht.
Zu den von der Richtlinie vorgesehenen Ausnahmen vom Herkunftslandprinzip wiederholt der Generalanwalt die Ausführungen in seinen Schlussanträgen in der Rechtssache Airbnb Ireland. Seiner Ansicht nach darf ein anderer als der Herkunftsmitgliedstaat Ausnahmen vom freien Verkehr von Diensten der Informationsgesellschaft nur durch auf den konkreten Einzelfall bezogene Maßnahmen vorsehen, und zwar nach vorheriger Mitteilung an die Kommission und Aufforderung an den Herkunftsmitgliedstaat, Maßnahmen im Bereich der Dienste der Informationsgesellschaft zu ergreifen, was vorliegend nicht geschehen ist.
Ginge man davon aus, dass eine generell-abstrakte Regelung, die für alle Anbieter einer Kategorie von Diensten der Informationsgesellschaft gilt, eine „Maßnahme“ darstellt, liefe dies im Übrigen darauf hinaus, die Fragmentierung des Binnenmarkts durch nationale Regelungen zuzulassen. Die Anwendung unterschiedlicher Gesetze auf einen Anbieter zuzulassen, liefe außerdem dem von der Richtlinie verfolgten Ziel zuwider, die rechtlichen Hemmnisse für das reibungslose Funktionieren des Binnenmarkts zu beseitigen.
Daher ist der Generalanwalt der Auffassung, dass diese Richtlinie es verwehrt, dass ein Mitgliedstaat unter diesen Umständen und in derartiger Weise den freien Verkehr von Diensten der Informationsgesellschaft aus einem anderen Mitgliedstaat beschränkt.
