Im Februar 2025 schien Nigerias Datenschutzbehörde bereit zu sein, einen Maßstab für die Technologieaufsicht in ganz Afrika zu setzen. Die Nigeria Data Protection Commission (NDPC) verhängte eine Abhilfegeldstrafe von 32,8 Millionen US-Dollar gegen Meta sowie ein umfassendes Paket von Durchsetzungsanordnungen. Zur Last gelegt wurden dem Unternehmen die Erhebung personenbezogener Daten von rund 60 Millionen Nigerianern ohne ordnungsgemäße Einwilligung, der unsachgemäße Umgang mit Informationen Minderjähriger sowie die grenzüberschreitende Übertragung von Bürgerdaten ohne Genehmigung.

Wenige Tage später saßen Vertreter von Meta, Google und Microsoft mit derselben Kommission in Abuja zusammen, um über „Zusammenarbeit“ zu sprechen. Bis Oktober 2025 war die Geldstrafe tot – erledigt in einer geheimen Einigung, die keine der beiden Seiten öffentlich bekannt gab.

Ein Jahr nach diesem Hinterzimmer-Pakt – und wenige Wochen nach einer Untersuchung von The Continent und dem AI Accountability Network des Pulitzer Center vom September 2026, die seit 2024 mindestens 17 vertraglich intransparente Kooperationen zwischen US-Technologiekonzernen und nigerianischen Staatsinstitutionen dokumentierte – hat sich dieses Muster zu einer Regierungsdoktrin verfestigt: Abuja inszeniert auf der Bühne regulatorische Härte, zieht sich Hinterzimmer zurück, um sein Verhandlungskapital zu verspielen, und tritt Monate später hervor, um „Capacity-Building“-Partnerschaften mit eben jenen Konzernen zu verkünden, die es eigentlich beaufsichtigen sollte. Die frühere Berichterstattung stellte das Muster dar; die Frage lautet nun, was seit der Einigung geschehen ist und worauf Nigerianer als Nächstes achten sollten.

Der Rückzug, dokumentiert vor Gericht

Das volle Ausmaß des Rückzugs der NDPC blieb monatelang im Register des Federal High Court in Abuja verborgen. Die Vereinbarung wurde am 30. Oktober 2025 von Babatunde Bamigboye, dem Leiter der Rechts-, Durchsetzungs- und Regulierungsabteilung der NDPC, und Anna Benckert, Metas Vice President und Associate General Counsel für internationales Recht, unterzeichnet. Am 3. November 2025 wurde sie ohne Prüfung als Vergleichsurteil bestätigt.

Die Datenschutzkanzlei Olumide Babalola LP zog die beglaubigte Kopie erstmals im Januar 2026 aus dem Gerichtsregister für eine detaillierte rechtliche Analyse, bevor Premium Times die Einzelheiten Ende April einer breiteren Öffentlichkeit zugänglich machte.

Was aus diesen Gerichtsunterlagen hervorging, war kein Kompromiss. Nach 17 Monaten aus Steuermitteln finanzierter Untersuchung, die einen 58-seitigen Endbescheid hervorbrachte, ließ die Kommission die Strafe von 32,8 Millionen US-Dollar fallen. Auf dem Papier war der einzige Betrag, den Meta zu zahlen zustimmte, die Anwaltsrechnung, die die NDPC bei der Verteidigung gegen die von Meta selbst im Februar 2025 eingereichte Rechtmäßigkeitsklage angehäuft hatte – zu einem Zeitpunkt, als das Unternehmen damit drohte, Facebook und Instagram in Nigeria abzuschalten.

Abgeschwächte Pflichten, umstrittene Durchsetzbarkeit

Eine klauselweise Lektüre des Vergleichsurteils zeigt, wie methodisch der Behörde die Zähne gezogen wurden. Wo die ursprünglichen Anordnungen von Meta verlangten, vor der Verfolgung von Nigeriern für verhaltensbasierte Werbung „sofort ausdrückliche, spezifische und eindeutige Einwilligung“ einzuholen, forderte die Einigung das Unternehmen lediglich auf, sein Bestes zu tun, um seine Praktiken zu verbessern. Wo die ursprüngliche Direktive Meta anwies, unautorisierte grenzüberschreitende Datenübertragungen einzustellen und vor der Verlagerung nigerianischer Nutzerdaten ins Ausland eine regulatorische Genehmigung einzuholen, ersetzte die Einigung dies durch einen vagen Verweis auf „Schutzmaßnahmen für grenzüberschreitende Übertragungen“.

Wie der Datenschutzanwalt Iliya-Ezekiel Ndatse feststellte, wiederholen die verwässerten Versprechen, die im Dokument verblieben – rechtmäßige Verarbeitung, Datenschutz-Folgenabschätzungen und Übertragungsschutzmaßnahmen –, lediglich die Grundpflichten, die bereits im Nigeria Data Protection Act (NDPA) 2023 verankert sind.

Selbst diese Verpflichtungen sind möglicherweise rechtlich nicht durchsetzbar. In ihrer Analyse des beglaubigten Gerichtsakts im Januar 2026 deckte Olumide Babalola LP einen verhängnisvollen Formulierungswiderspruch im Kern des Pakts auf: Während Klaus 8 neue Compliance-Pflichten für Meta auflistet, setzt Klausel 9.2 die Endbescheide außer Kraft und entbindet das Unternehmen von „allen Ansprüchen, Forderungen, Klagen, Klagsgründen, Verträgen, Verpflichtungen, Rechtsstreitigkeiten, Schulden, Kosten und Haftungen“.

Die Konstruktion der Vereinbarung unterläuft zudem das Strafrecht. Nach Abschnitt 49 des NDPA ist die Nichtbefolgung von NDPC-Anordnungen eine Straftat, die mit einer Geldstrafe oder bis zu einem Jahr Haft geahndet werden kann. Indem die Kommission die Sache privat regelte und einen ausdrücklichen Vorbehalt einfügte, dass der Pakt kein „Schuldeingeständnis oder Eingeständnis eines Fehlverhaltens“ darstelle, umging sie strafrechtliche Verantwortung und verweigerte 60 Millionen betroffenen Nigeriern eine offizielle Feststellung einer Rechtsverletzung.

Praktisch bedeutet das: Die Einwilligungsanforderung, die einst Metas Verfolgung von Nigeriern für verhaltensbasierte Werbung regelte, beruht nun auf einem Versprechen, es zu versuchen – und ob diese „Bemühungen nach bestem Vermögen“ jemals eine öffentlich dokumentierte Änderung der Praxis bewirken, bleibt eine offene Frage.

Wenn der Regulierte den Regulierer finanziert

Das Vergleichsurteil war nicht das Ende der Transaktion; es war das Vorspiel eines Rebrandings.

Am 21. Mai 2026 standen das Bundesministerium für Kommunikation, Innovation und digitale Wirtschaft (FMCIDE) und das National Centre for Artificial Intelligence and Robotics (NCAIR) neben Meta, um GovGuide Nigeria zu starten – einen mehrsprachigen KI-Chatbot auf WhatsApp und im Web in Englisch, Hausa, Igbo und Yoruba, der auf Metas Open-Source-Llama-Modellen basiert.

Achtzehn Tage später, am 8. Juni 2026, stellten die NDPC und Meta die Meta-Supported Initiative for Data Protection (M-SIDP) vor, ein zweijähriges Programm, das öffentliche Datenschutz-Aufklärung, die Schulung von Datenschutzbeauftragten und Ökosystemsicherheit umfasst.

Zur Verteidigung des Kurswechsels beschrieb NDPC-Sprecherin Itunu Dosekun die Philosophie der Kommission als „Wiederherstellung statt Strafe“ und erklärte gegenüber der Presse, der Regulierer existiere „um Unternehmen zu fördern, nicht um Unternehmen zu schädigen“. Das zweijährige M-SIDP liefert für diese Philosophie nun einen Maßstab: die versprochenen Aufklärungskampagnen, geschulten Datenschutzbeauftragten und Sicherheitsarbeiten sind das, was „Wiederherstellung“ vorweisen können muss.

Kritiker argumentieren, dass diese Darstellung einen Lehrbuchfall regulatorischer Vereinnahmung verschleiert: Wenn das Hauptziel der größten Datenschutz-Durchsetzungsaktion eines Landes beginnt, die öffentlichkeitswirksamen Programme des Regulierers zu finanzieren, kehrt sich das Machtgefüge um. Europäische Datenschutzbehörden knüpfen Durchsetzungsmaßnahmen regelmäßig Compliance-Zusagen an – aber diese Zusagen kommen zu neunstelligen Geldstrafen hinzu, nicht an deren Stelle. Die irische Datenschutzkommission verhängte beispielsweise 2022 eine Strafe von 405 Millionen Euro gegen Meta wegen Umgangs von Instagram mit Kinderdaten – genau die Kategorie von Fehlverhalten, die in Abujas ursprünglicher Anordnung genannt wurde.

Tracy Keshi, Projektmanagerin für Tech Justice and Digital Governance am Centre for Journalism Innovation and Development (CJID), brachte den Präzedenzfall auf den Punkt: Das Wegwischen der Geldstrafe baut unmittelbaren Regulierungsdruck ab, lehrt multinationale Technologieunternehmen, dass nigerianische Strafen für Hinterzimmer-Handel offen sind, und macht Compliance abhängig von Metas freiwilligem Wohlwollen.

Eine Souveränitätsfrist, an der sich der Staat selbst nicht misst

Nichts offenbart den doppelten Standard in Abujas Digitalpolitik deutlicher als der Vergleich zwischen dem Umgang mit fehlbaren globalen Tech-Riesen und dem Ultimatum, das nigerianische Startups eine Woche nach dem M-SIDP-Start erhielten.

Am 15. Juni 2026 erließ die Zentralbank von Nigeria (CBN) ein Rundschreiben, das alle Banken, Zahlungsdienstleister, Mobile-Money-Anbieter und Fintechs anwies, alle inländischen Zahlungsdaten bis zum 1. Januar 2027 innerhalb Nigerias zu speichern und zu verwalten.

Zwei Monate später, im August 2026, startete die National Information Technology Development Agency (NITDA) ihre National Sovereign Cloud Initiative und berief eine Task Force zur Zertifizierung lokaler Cloud- und KI-Infrastrukturanbieter ein.

Für einheimische Fintech-Gründer ist die CBN-Frist im Januar 2027 ein brutales, teures technisches Wettrennen. Die Direktive umfasst nicht nur primäre Transaktionsbücher, sondern auch Audit-Logs, Disaster-Recovery-Backups, Observability-Pipelines und Verschlüsselungsschlüssel.

Sie legt zudem die physischen Grenzen der lokalen Cloud-Infrastruktur offen: Während Amazon Web Services eine Local Zone in Lagos betreibt, ist dieser Edge-Knoten an AWS' Region Kapstadt in Südafrika angebunden und kann ohne kostspielige lokale AWS-Outposts-Racks keine verwalteten Kerndatenbanken wie Amazon RDS oder Standard-S3-Speicher nativ hosten.

Ein nigerianisches Startup, das nach Neujahr einen nächtlichen Backup-Bucket in Kapstadt oder einen Verschlüsselungsschlüssel in einem ausländischen Schlüsselverwaltungsdienst belässt, muss mit regulatorischen Sanktionen rechnen. Wie einheitlich diese Frist durchgesetzt wird – gegenüber zähen lokalen Startups ebenso wie gegenüber globalen Plattformen –, wird einer der deutlichsten Tests dafür sein, ob Abujas digitales Regelbuch mit doppeltem Standard versehen ist.

Zwei Arten von Regeln

Nigerias digitale Zukunft kann nicht nach zwei Arten von Regeln regiert werden: einem harten Gesetzbuch für lokale Entwickler und einem Samtvorhang für Silicon Valley. Jedes Mal, wenn ein Ministerium einen unveröffentlichten Pakt unterzeichnet oder ein Regulierer eine gesetzliche Geldstrafe gegen einen gesponserten Workshop eintauscht, vermietet der Staat ein Stück seiner Souveränität zum Preis eines Brotes.

Nigerias digitale Souveränität lässt sich nicht retten, indem man auf willfährige Regulierer oder wohlwollende Tech-Riesen wartet. Wenn Abuja darauf besteht, im Dunkeln mit Big Tech Hände zu schütteln, ist es die Aufgabe der nigerianischen Presse und Zivilgesellschaft, die Türen aufzubrechen und jeden geheimen Deal offenzulegen.

Dieser Artikel basiert auf Berichterstattung von TechNext24.