Meta (vormals Facebook) darf nicht alle personenbezogenen Daten, die für zielgerichtete Werbung erhoben wurden, unbegrenzt und ohne Differenzierung nach ihrer Art verwenden. Das Urteil des Europäischen Gerichtshofs (EuGH) dürfte weitreichende Folgen haben, da es das Geschäftsmodell des Konzerns grundlegend in Frage stellt. Meta wird nun voraussichtlich Milliarden von Daten löschen müssen (Urteil vom 4. Oktober 2024, Az. C‑446/21).
Vorlagefragen an den EuGH
In der Rechtssache Maximilian Schrems gegen Meta Platforms Ireland Ltd. wurde der EuGH vom Obersten Gerichtshof Österreich (OGH) um Klärung einiger grundsätzlicher Fragen zur Datenschutz-Grundverordnung (DSGVO) gebeten:
- Ist 9 Abs. 1 DSGVO (Verbot der Verarbeitung besonderer personenbezogener Daten) auf eine Situation anzuwenden, in der die gezielte Filterung nach sensiblen personenbezogenen Daten zu Zwecken personalisierter Werbung erlaubt ist?
- Ist 5 Abs. 1 lit. b (Grundsatz der Zweckbindung) in Verbindung mit Art. 9 Abs. 2 lit. e DSGVO dahin auszulegen, dass öffentliche Äußerungen über die Sexualität des Betroffenen während einer Podiumsdiskussion die Verarbeitung dieser Informationen für personalisierte gezielte Werbung rechtfertigt?
Hintergrund der Entscheidung
Meta Platforms Ireland ist verantwortlich für die Verarbeitung der personenbezogenen Daten von Nutzern des sozialen Netzwerks Facebook in der EU. Das Geschäftsmodell basiert darauf, den Nutzern kostenlose Dienste anzubieten und durch zielgerichtete Online-Werbung Einnahmen zu generieren. Diese Werbung beruht insbesondere auf der automatisierten Erstellung relativ Profile der Nutzer des sozialen Netzwerks.
Nach Inkrafttreten der DSGVO im Jahr 2018 präsentierte Meta (damals noch: Facebook) neue Nutzungsbedingungen für Facebook, um die Einwilligung der Nutzer in der Europäischen Union (EU) einzuholen.
Der Kläger (Datenschutzaktivist Max Schrems, der auch schon Safe Harbor und EU-U.S. Privacy Shield zu Fall brachte), akzeptierte eben diese Nutzungsbedingungen, um sein Facebook-Konto weiter nutzen zu können. In seiner Klage gab Schrems an, häufig Werbung erhalten zu haben, die gezielt homosexuelle Personen anspreche, sowie Einladungen zu Veranstaltungen, die sich an diese Zielgruppe richteten.
Max Schrems sprach seine sexuelle Orientierung während einer Podiumsdiskussion im Februar 2019 an, um die mutmaßlich rechtswidrige Datenverarbeitung durch Meta zu kritisieren. Obwohl er seine Homosexualität öffentlich gemacht habe, fanden sich auf seinem Profil keine Hinweise auf seine sexuelle Orientierung oder sonstige sensible Daten. Er erhielt demnach gezielt sexualspezifische Werbung, ohne jemals ein Interesse daran bekundet zu haben. Laut Auffassung Schrems, ist diese Werbung das Ergebnis einer Analyse seiner Interessen und der seiner Freunde. Meta speichert demnach alle relevanten Daten des Klägers, einschließlich Informationen, die Meta von Dritten oder durch Cookies, Plug-ins und Pixel erhält und speicherte diese auf unbestimmte Zeit.
In diesem Kontext klagte der Kläger beim Landesgericht für Zivilsachen Wien auf Erfüllung, Feststellung und Unterlassung der angeblich rechtswidrigen Verarbeitung seiner personenbezogenen Daten durch Meta. Es geht dabei um den Umfang, in dem Facebook Daten, insbesondere zur sexuellen Orientierung für personalisierte Werbung nutzen darf.
Schrems Klage wurde jedoch sowohl in erster Instanz als auch in der Berufung abgewiesen, sodass er Revision beim OGH einlegte. Der OGH entschied das Verfahren auszusetzen und dem EuGH oben genannte Fragen zur Vorabentscheidung vorzulegen.
Aktuelle Urteile zur DSGVO
In unseren regelmäßigen Besprechungen von Urteilen zum Datenschutzrecht erklären wir Ihnen die Konsequenzen für den Unternehmensalltag.
Das EuGH-Urteil
Im Bezug auf die erste Frage hob der EuGH wiederholt hervor, dass personenbezogene Daten „dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein“ müssen. Zur zeitlichen Begrenzung entschied der EuGH, dass Verantwortliche den Zeitraum der Erhebung der betreffenden personenbezogenen Daten, auf das im Hinblick auf den Zweck der beabsichtigten Verarbeitung absolut Notwendige beschränken müssen.
Somit sei eine zeitlich unbegrenzte und nicht nach Nutzungszweck getrennte Speicherung, Verknüpfung und Analyse nicht mit der der DSGVO vereinbar.
Auffallend ist, dass die Richter den Grundsatz der Datensparsamkeit nicht nur in Bezug auf Zeit und Datenmenge, sondern auch mit einer Tendenz zum Grundsatz der Zweckbindung lesen. Der Grundsatz der Datenminimierung steht den Praktiken der Verantwortlichen entgegen, wenn diese personenbezogene Daten erheben und diese zeitlich unbegrenzt und ohne Unterscheidung nach ihrer Art für Zwecke der zielgerichteten Werbung aggregiert, analysiert und verarbeiten. Demnach müssen Verantwortliche personenbezogene Daten je nach Verarbeitungszweck getrennt speichern bzw. die Daten diesbezüglich unterscheiden können.
Wie die Datenminimierung im Einzelfall umzusetzen ist – insbesondere Fragen zur Dauer der Datenspeicherung und Umfang der Datenverarbeitung -, obliegt nun der Auslegung der nationalen Gerichte.
Zur Beantwortung der zweiten Frage, ob besondere personenbezogene Daten, die im Sinne von Art. 9 Abs 2 lit. e DSGVO „offensichtlich öffentlich“ gemacht worden sind, antwortete der EuGH lediglich verhalten. Es sei Sache des nationalen Gerichts zu entscheiden, ob Max Schrems durch seine Aussage bei der Podiumsdiskussion 2019 seine sexuelle Orientierung „offensichtlich öffentlich“ gemacht habe.
Unabhängig von der Begriffsbestimmung der „Öffentlichkeit“ im Sinne der DSGVO urteilten die Richter, dass die Aussage Schrems eine Handlung darstellt, mit der der Betroffene in voller Kenntnis der Sachlage seine sexuelle Orientierung im Sinne von Art. 9 Abs. 2 lit. e DSGVO offensichtlich öffentlich gemacht hat. Dies hat zur Folge, dass besondere personenbezogene Daten, abweichend von dem Verbot gemäß Art. 9 Abs. 1 DSGVO verarbeitet werden können.
Allerdings sind auch hier Grenzen, die eingehalten werden müssen. Art. 9 Abs. 2 lit. e DSGVO muss eng ausgelegt werden und somit dürfen nicht zusätzlich „andere personenbezogene Daten“, die sich auf die sexuelle Orientierung beziehen, verarbeitet werden. Zudem kann die Tatsache, dass ein Betroffener Daten über seine sexuelle Orientierung offensichtlich öffentlich gemacht hat, keine Grundlage für eine weitere Datensammlung und -analyse zu Werbezwecken sein.
Fazit
Das Urteil verdeutlicht, dass der Grundsatz der Datenminimierung die Verwendung personenbezogener Daten für Werbezwecke radikal einschränkt. Zudem gilt der Grundsatz der Datenminimierung unabhängig von der Rechtsgrundlage für die Verarbeitung. Selbst wenn ein Betroffener in die Verarbeitung seiner personenbezogenen Daten zu Werbezwecken eingewilligt hat, dürfen Verantwortliche diese nicht auf unbestimmte Zeit verwenden.
Wenn zudem Personen offensichtlich öffentlich Angaben zu Ihrer sexuellen Orientierung, ihrem Gesundheitszustand oder sonstige sensible Informationen gem. Art. 9 Abs. DSGVO preisgeben, dürfen Unternehmen keine weiteren Daten hierzu verarbeiten, die andere Anbieter zum Zweck personalisierter Werbung zur Verfügung gestellt haben.
Unternehmen sind (nicht erst seit diesem Urteil) gut beraten, ein Löschkonzept für die von ihnen gesammelten Daten zu erstellen und dieses auch umzusetzen. In diesem Zuge sollte zudem darüber nachgedacht werden, welche Daten, die über die vergangenen Jahre gesammelt worden sind, überhaupt noch verarbeitet werden dürfen.
