Die dänische Datenschutzbehörde hat eine Entscheidung in einem Fall getroffen, in dem sich ein Bürger über die Weitergabe seiner E-Mail-Adresse durch Telmore A/S an Meta Ireland beschwert hatte. Der Fall wurde vom Datenrat geprüft.
Die dänische Datenschutzbehörde hat eine Beschwerde eines Bürgers erhalten, der sich darüber beschwert hat, dass Telmore A/S seine persönlichen Daten an Meta Ireland weitergegeben hat. Die Beschwerde enthielt vier Hauptkritikpunkte:
- Die Weitergabe der personenbezogenen Daten des Beschwerdeführers durch Telmore an Meta Ireland
- die Weitergabe der personenbezogenen Daten des Beschwerdeführers durch Telmore an die Vereinigten Staaten
- Telmores unzureichende Erfüllung seiner Offenlegungspflicht
- Telmores unzureichende Antwort auf den Antrag des Beschwerdeführers auf Zugang
Nach Angaben von Telmore erfolgte die Offenlegung, um den Beschwerdeführer von der gezielten Werbung des Unternehmens auf Facebook auszunehmen. Dazu wurde das Custom Audience Tool von Facebook verwendet, mit dem Unternehmen ihre Werbung auf bestimmte Nutzergruppen zuschneiden können. Das Tool funktioniert, indem das Unternehmen Informationen – wie z. B. E-Mail-Adressen – über Kunden weitergibt, die mit den eigenen Informationen von Meta Ireland über Facebook-Nutzer verglichen werden. In diesem Fall hatte Telmore festgestellt, dass Meta Ireland als Datenverarbeiter für das Unternehmen tätig war.
Die dänische Datenschutzbehörde kritisiert
In der Entscheidung kam die dänische Datenschutzbehörde zu dem Schluss, dass die Verarbeitung der personenbezogenen Daten des Beschwerdeführers durch Telmore nicht auf die Regel der Interessenabwägung gestützt werden konnte – auf dieser Grundlage entschied sich die dänische Datenschutzbehörde für eine Kritik. Darüber hinaus wurde Telmores Einschätzung der Rollenverteilung zwischen dem Unternehmen und Meta Ireland von der Aufsichtsbehörde missachtet, die feststellte, dass in diesem Fall eine gemeinsame Datenverantwortung vorlag. Auf dieser Grundlage stellte die dänische Datenschutzbehörde fest, dass Telmore seine Verantwortung für die Einhaltung der Verpflichtungen aus der Datenschutzverordnung als gemeinsam mit Meta Ireland für die Datenverarbeitung Verantwortlicher nicht nachgewiesen hatte. Die dänische Datenschutzbehörde entschied sich jedoch, dies nicht zu beanstanden, da die dänische Datenschutzbehörde ausnahmsweise Telmores Einschätzung der Rollenverteilung nicht beachtete und die Verantwortung nicht feststellte.
Keine weitere Untersuchung
Die dänische Datenschutzbehörde kam auch zu dem Schluss, dass es nicht angemessen war, die Untersuchung der anderen Beschwerden in diesem Fall fortzusetzen. Dies lag daran, dass es eine entscheidende Voraussetzung für die Einhaltung der Datenschutzvorschriften ist, dass Sie Ihre eigene Rolle bei der Verarbeitung personenbezogener Daten, einschließlich der Rollenverteilung mit etwaigen Geschäftspartnern, korrekt angeben. Da die dänische Datenschutzbehörde Telmores Einschätzung dieser Grundvoraussetzung missachtete, würde eine fortgesetzte Untersuchung dem Beschwerdeführer keine korrekten Informationen darüber liefern, wie die Daten verarbeitet wurden. Die dänische Datenschutzbehörde wies auch darauf hin, dass Telmore die E-Mail-Adresse des Beschwerdeführers nicht mehr an Meta Ireland weitergibt.
Die dänische Datenschutzbehörde wies Telmore darauf hin, dass das Unternehmen, wenn es weiterhin das Custom Audience Tool von Meta Ireland nutzen möchte, sicherstellen muss, dass eine so genannte Vereinbarung über die gemeinsame Datenverantwortung besteht, in der die jeweiligen Verantwortlichkeiten der Parteien für die Einhaltung der Verpflichtungen aus der DSGVO festgelegt sind.