Die Datenschutzkommission ('DPC') gab am 2. September 2021 bekannt, dass sie gegen WhatsApp Ireland Ltd. eine Geldbuße in Höhe von 225 Mio Faktoren um der verbindliche Streitbeilegungsbeschluss des Europäischen Datenschutzausschusses („EDSA“), der am 28. Juli gemäß Artikel 65 Absatz 1 Buchstabe a der Datenschutz-Grundverordnung (Verordnung (EU) 2016/679) („DSGVO“) angenommen wurde.

Insbesondere hob der EDSA hervor, dass er beantragt habe, dass das DPC seinen Entscheidungsentwurf zu Transparenzverstößen, zur Berechnung der Geldbuße und zur Frist für die Umsetzung der Anordnung ändert. Genauer gesagt stellte der EDSA fest, dass WhatApp zusätzlich zu den Feststellungen des DPC einen schwerwiegenden Verstoß gegen die Artikel 12, 13 und 14 der DSGVO in Bezug auf die den Nutzern bereitgestellten Informationen begangen und weitere zusätzliche identifiziert hatte Mängel bei den bereitgestellten Informationen, die sich auf die Fähigkeit der Nutzer auswirken, die verfolgten berechtigten Interessen zu verstehen, und forderte daher, dass die Entscheidung des DPC die Feststellung eines Verstoßes gegen Artikel 13 Absatz 1 Buchstabe d DSGVO umfasst. Darüber hinaus wies der EDSB darauf hin, dass auch gegen den Transparenzgrundsatz nach Artikel 5 Absatz 1 Buchstabe a DSGVO verstoßen worden sei, und forderte, dies in der endgültigen Geldbuße widerzuspiegeln.

Darüber hinaus stellte der EDSA eine Reihe von Anträgen und stellte Klarstellungen zur Berechnung der Geldbuße selbst bereit. Konkret hat der EDSA entschieden, dass der Umsatz eines Unternehmens für die Ermittlung des Bußgeldhöchstbetrags gemäß Artikel 83 Absatz 4 bis 6 DSGVO nicht ausschließlich relevant ist, sondern auch für die Berechnung des gegebenenfalls selbst Geldbuße, um sicherzustellen, dass die Geldbuße gemäß Artikel 83 Absatz 1 DSGVO wirksam, verhältnismäßig und abschreckend ist. Daher stellte der EDSA fest, dass der konsolidierte Umsatz der Muttergesellschaft von WhatsApp, Facebook Inc., in die Umsatzberechnung einzubeziehen ist. Darüber hinaus lieferte der EDSB erstmals Klarstellungen zur Auslegung von Artikel 83 Absatz 3 der DSGVO und betonte, dass bei mehreren Verstößen für dieselbe oder verbundene Verarbeitungsvorgänge alle Verstöße bei der Berechnung berücksichtigt werden sollten die Höhe der Geldbuße.

Schließlich enthält die endgültige Entscheidung des DPC eine Anordnung, die Verarbeitungsvorgänge innerhalb einer Frist von drei Monaten in Einklang zu bringen, nachdem die ursprünglich im Entscheidungsentwurf des DPC vorgesehene Frist von sechs Monaten, wie vom EDSA gefordert, die die wesentlichen Es ist wichtig, die Einhaltung der Transparenzpflichten in kürzester Zeit sicherzustellen.

Sie können die Pressemitteilung des DPC lesen hier, die Pressemitteilung des EDSA hier, die verbindliche Entscheidung des EDSA hier, und die endgültige Entscheidung des DPC hier.