Meta Platforms, die Muttergesellschaft von Facebook, Instagram und WhatsApp, hat Berufung gegen ein Urteil des Lagos High Court eingelegt, das das Unternehmen anwies, die rechtswidrige Verarbeitung der personenbezogenen Daten nigerianischer Facebook- und Instagram-Nutzer für verhaltensbasierte Werbung einzustellen und das Naira-Äquivalent von 100.000 US-Dollar als Schadensersatz zu zahlen.

Das Unternehmen reichte seine Berufungsbegründung am 30. September ein, fünf Tage nachdem Richterin A.F. Pokanu des Lagos High Court, Ikorodu Judicial Division, am 25. September entschieden hatte, dass Metas nicht-konsensuale Erhebung, Profilbildung und Nutzung von Nutzerdaten für zielgerichtete Werbung die durch die nigerianische Verfassung und den Nigeria Data Protection Act (NDPA) 2023, Nigerias wichtigstem Datenschutzgesetz, geschützten Datenschutzrechte verletzt. Die Berufung bringt nun die Fragen zu Einwilligung, zielgerichteter Werbung und grenzüberschreitenden Datenübermittlungen vor das Berufungsgericht.

Das Urteil und seine Anordnungen

Die Klage wurde von den Incorporated Trustees of Laws and Rights Awareness Initiative und fünf Einzelklägern eingereicht. Das Gericht ordnete an, dass Meta die rechtswidrige Verarbeitung einstellt, Abhilfemaßnahmen ergreift, um ihre nigerianischen Datenverarbeitungsabläufe in Übereinstimmung mit dem NDPA zu bringen, und innerhalb von acht Wochen eine eidesstattliche Erklärung zur Compliance einreicht. Zudem sprach das Gericht den Klägern 100.000 US-Dollar allgemeinen Schadensersatz, 1 Million Naira (753,20 US-Dollar) an Kosten sowie Verzugszinsen zu.

Die Berufung wird prüfen, ob Meta verhaltensbasierte Profilbildung und zielgerichtete Werbung als notwendige Voraussetzungen für die Bereitstellung von Facebook und Instagram für nigerianische Nutzer behandeln darf. Zur Debatte steht, ob globale Plattformen verhaltensbasiertes Tracking zur Bedingung für den Zugang zu kostenlosen Social-Media-Diensten machen dürfen oder ob das nigerianische Recht eine klarere Trennung zwischen dem Zugang zu diesen Diensten und der Einwilligung in die Nutzung personenbezogener Daten für Werbung verlangt.

Für die Nutzer könnte das Ergebnis bestimmen, wie viel Kontrolle Nigerianer über die personenbezogenen Daten haben, die sie auf Facebook und Instagram erzeugen. Wird das Urteil bestätigt könnten Nutzer stärker darauf vertrauen, dass vor der Nutzung ihrer Aktivitäten für verhaltensbasierte Werbung eine wirksame Einwilligung eingeholt wird, während Meta möglicherweise ändern müsste, wie sie ihre Daten verarbeitet und übermittelt. Erfolgreiche Berufung würde Meta mehr Spielraum geben, sich auf ihre bestehenden Bedingungen und ihr Werbemodell zu stützen.

Metas Verteidigung

Meta hat argumentiert, dass Facebook und Instagram kostenlose, personalisierte und durch Werbung finanzierte Dienste seien und Nutzer bei der Registrierung die Geschäftsbedingungen und Datenschutzrichtlinien des Unternehmens akzeptieren. Ihrer Auffassung nach gehört die Verarbeitung von Nutzerdaten für Werbung zur vertraglichen Vereinbarung, auf deren Grundlage sie die Dienste anbietet.

Richterin Pokanu wies diese Position zurück. Das Gericht stellte fest, dass der Aufbau von Profilen für zielgerichtete Werbung nicht automatisch notwendig ist, um einen sozialen Netzwerkdienst bereitzustellen, nur weil Werbung den Dienst finanziert. Es befand, dass verhaltensbasierte Werbung für Facebook und Instagram nebensächlich und nicht wesentlich für das Funktionieren der Plattformen ist. Mit anderen Worten: Eine Plattform kann Datenverarbeitung nicht allein dadurch zur Pflicht machen, dass sie es in ihre Nutzungsbedingungen aufnimmt, wenn die Verarbeitung für die Kernleistung nicht tatsächlich erforderlich ist.

Das Gericht stellte ferner fest, dass Meta die Beweislast dafür trug, dass Nutzer eine wirksame Einwilligung erteilt haben, wo immer sie sich auf die Einwilligung als Rechtsgrundlage der Verarbeitung stützte. Eine Einwilligung in Profilbildung und verhaltensbasierte Werbung, so das Gericht, könne nicht einfach in allgemeine Standardbedingungen eingebettet werden, die Nutzer akzeptieren müssen, um auf Facebook oder Instagram zugreifen zu können.

Richterin Pokanu rahmte den Streit als Frage, inwieweit ein Technologieunternehmen das Online-Verhalten eines nigerianischen Bürgers „beobachten, aggregieren, analysieren, profilieren und kommerziell auswerten“ darf, ohne dass die Person diese Nutzung wirklich versteht, genehmigt oder vernünftigerweise erwartet. Das Urteil verknüpfte die Frage unmittelbar mit dem verfassungsrechtlichen Recht auf Privatsphäre nach Section 37 der Verfassung von 1999 und mit den Schutzbestimmungen des NDPA. Das Gericht stellte fest, dass Metas nicht-konsensuale Verarbeitung, Profilbildung und Nutzung der Daten der Kläger für verhaltensbasierte Werbung diese Schutzbestimmungen verletzt.

Grenzüberschreitende Übermittlungen

Das Gericht befasste sich zudem mit Metas Umgang mit den Daten nigerianischer Nutzer außerhalb des Landes. Meta argumentierte, sie habe kein Rechenzentrum in Nigeria und Nutzer würden ihre Informationen faktisch selbst ins Ausland übertragen, wenn sie ihre Dienste nutzen. Das Gericht wies diese Begründung zurück und stellte fest, dass Nutzer nicht kontrollieren, wohin ihre Daten geleitet, gespeichert oder verarbeitet werden.

Als wesentlicher Datenverantwortlicher – eine Partei, die über Erhebung und Nutzung personenbezogener Daten bestimmt – bleibe Meta für die Einhaltung der Schutzvorschriften des NDPA für internationale Datenübermittlungen verantwortlich, so das Gericht. Es stellte fest, dass unbefugte grenzüberschreitende Übermittlungen der Daten der Kläger gegen die Sections 41 bis 43 des NDPA verstießen und ihre Datenschutzrechte verletzten.

Getrennt von früheren regulatorischen Auseinandersetzungen

Das Verfahren vor dem High Court ist von Metas früheren Konflikten mit nigerianischen Regulierungsbehörden getrennt. Im Jahr 2024 verhängte die Federal and Consumer Protection Commission nach einer Untersuchung wegen angeblicher Verstöße gegen Verbraucherschutz, Datenschutz und Wettbewerbsrecht eine Strafe von 220 Millionen US-Dollar gegen Meta und WhatsApp. Das Competition and Consumer Protection Tribunal bestätigte die Sanktion später, einschließlich Anweisungen zu Einwilligung und Datenweitergabe.

Die Kläger im Fall in Lagos stützten sich teilweise auch auf ein früheres Vorgehen der Nigeria Data Protection Commission gegen Meta, das eine Sanierungsgebühr von 32,8 Millionen US-Dollar umfasste. Dieser Streit wurde später durch einen Vergleichsbeschluss beigelegt, sodass das Gericht die Datenschutzansprüche der Kläger unabhängig prüfte, anstatt einfach die regulatorische Entscheidung durchzusetzen. Das Gericht stellte fest, dass die Kläger unabhängige Beweise für anhaltende Datenschutzverletzungen vorgelegt hatten, und entschied die verfassungs- und gesetzesrechtlichen Fragen auf dieser Grundlage. Insgesamt zeigen die Verfahren, dass Metas nigerianische Geschäfte gleichermaßen über Wettbewerbs-, Verbraucherschutz- und Datenschutzkanäle unter Beobachtung geraten sind, auch wenn der Fall in Lagos auf den eigenen verfassungs- und gesetzesrechtlichen Ansprüchen der Kläger beruht.

Was auf dem Spiel steht

Der Schadensersatz von 100.000 US-Dollar – weit unter den von den Klägern geforderten 200 Millionen US-Dollar an allgemeinem und exemplarischem Schadensersatz – ist möglicherweise nicht der bedeutendste Teil des Urteils. Die wichtigere Frage ist, ob ein Berufungsgericht die Feststellung bestätigt, dass Meta verhaltensbasierte Profilbildung nicht zur Bedingung für den Zugang zu Facebook und Instagram machen darf.

Bleibt das Urteil bestehen, könnte es festlegen, dass ein werbefinanziertes Geschäftsmodell verhaltensbasierte Werbung nicht allein rechtlich notwendig macht und dass allgemeine Nutzungsbedingungen nicht zwingend eine gültige, spezifische Einwilligung in die Profilbildung darstellen. Es könnte auch den Grundsatz stärken, dass Nutzer ihre verfassungsrechtlichen Rechte auf Privatsphäre nicht allein durch die fortgesetzte Nutzung einer Plattform aufgeben und dass Unternehmen – nicht einzelne Nutzer – für die Einhaltung der nigerianischen Vorschriften zu internationalen Datenübermittlungen verantwortlich sind.

Vorläufig bleibt das Urteil vom 25. September eine Entscheidung erster Instanz. Mit den Anordnungen des High Court – einschließlich der eidesstattlichen Compliance-Erklärung innerhalb von acht Wochen – in den Akten und der anhängigen Berufung liegen die nächsten Verfahrensschritte beim Berufungsgericht, wo die Begründung des Urteils zu verhaltensbasierter Werbung, Einwilligung, Transparenz und grenzüberschreitenden Datenübermittlungen überprüft wird.