Neues Schrems-Urteil des EuGH: Ausnahme-Auslegung von Artikel-9-Daten

Oktober 7, 2024

Kategorien:

Datenschutz in Europa, DSGVO

Dürfen soziale Netzwerke wie Facebook sämtliche personenbezogenen Daten für zielgerichtete Werbung verarbeiten? Unter anderem diese Frage hatte der Europäische Gerichtshof (EuGH) im Rahmen eines Vorabentscheidungsverfahrens zu klären (C-446/21). Im Ausgangsverfahren hatte der österreichische Datenschutzaktivist Maximilian Schrems gegen Meta geklagt.

Maximilian Schrems verklagt Meta

Meta Platforms Ireland betreibt das soziale Netzwerk Facebook, das bis zum 5. November 2023 kostenlos war. Seit dem 6. November 2023 müssen die Nutzerinnen und Nutzer entweder personalisierte Werbung akzeptieren oder ein kostenpflichtiges Abonnement abschließen. Außerdem erfasst die Plattform Nutzerdaten auch außerhalb des Netzwerks, unter anderem durch Cookies, Social Plugins und Pixels.

Maximilian Schrems wirft Meta Platforms Ireland vor, seine personenbezogenen Daten, insbesondere sensible Daten nach Art. 9 DSGVO, ohne seine ausdrückliche Einwilligung verarbeitet zu haben. Zu diesen sensiblen Daten gehören Informationen über seine politische Einstellung und sexuelle Orientierung, die durch die Analyse seiner Aktivitäten auf und außerhalb von Facebook gewonnen wurden.

Aus der Vorlageentscheidung geht hervor, dass sich Plugins auf Websites politischer Parteien und auf Websites, die sich an ein homosexuelles Publikum richten, befinden, die von Herrn Schrems besucht wurden. Aufgrund dieser „Plugins“ konnte Facebook das Verhalten von Schrems im Internet verfolgen, was die Erhebung bestimmter sensibler personenbezogener Daten ausgelöst hat. Schrems erhielt in der Folge regelmäßig Werbung, die auf ein homosexuelles Publikum abzielte. Außerdem Einladungen zu entsprechenden Veranstaltungen, obwohl er sich zuvor für diese Veranstaltungen nicht interessiert hatte und den Veranstaltungsort nicht kannte.

Meta Platforms Ireland argumentierte, dass die Verarbeitung der personenbezogenen Daten auf dem Nutzungsvertrag zwischen dem Unternehmen und den Nutzern beruhe und daher gemäß Art. 6 Abs. 1 Buchst. b DSGVO für die Erfüllung dieses Vertrags erforderlich sei.

Verarbeitung der sexuellen Orientierung durch Öffentlichmachung genehmigt?

Der EuGH hatte die Auslegung mehrerer Artikel der Datenschutz-Grundverordnung zu klären, die der Oberste Gerichtshof (Österreich) zur Vorabentscheidung vorgelegt hatte. Im Mittelpunkt des Verfahrens standen insbesondere Art. 5 Abs. 1 Buchst. b und c (Zweckbindung und Datenminimierung), Art. 6 Abs. 1 Buchst. a und b (Rechtmäßigkeit der Verarbeitung) sowie Art. 9 Abs. 1 und Abs. 2 Buchst. e (besondere Kategorien personenbezogener Daten).

Nach den Feststellungen des Obersten Gerichtshofs kommuniziert der Betroffene Maximilian Schrems seine sexuelle Orientierung öffentlich. Insbesondere habe er im Rahmen einer Podiumsdiskussion, an der er in Wien am 12. Februar 2019 auf Einladung der Vertretung der Europäischen Kommission in Österreich teilnahm, auf seine sexuelle Orientierung Bezug genommen, um die Verarbeitung personenbezogener Daten durch Facebook, einschließlich der Verarbeitung seiner eigenen Daten, zu kritisieren. Maximilian Schrems erklärte bei dieser Gelegenheit allerdings auch, dass er diesen Gesichtspunkt seines Privatlebens in seinem Facebook-Profil nie angegeben habe.

Der Oberste Gerichtshof stellte daher die grundsätzliche Frage, ob der Betroffene die sensiblen personenbezogene Daten offensichtlich öffentlich gemacht und somit deren Verarbeitung gemäß Art. 9 Abs. 2 Buchst. e DSGVO genehmigt habe.

Oberste Gerichtshof (Österreich) legt EuGH Auslegungs-Fragen zur Vorabentscheidung vor

Der Oberste Gerichtshof (Österreich) hat deswegen beschlossen, das Verfahren auszusetzen und dem EuGH folgende Fragen zur Vorabentscheidung vorzulegen:

Sind die Bestimmungen der Art. 6 Abs. 1 Buchst. a und b DSGVO dahin gehend auszulegen, dass die Rechtmäßigkeit von Vertragsbestimmungen in allgemeinen Nutzungsbedingungen über Plattformverträge wie jenem im Ausgangsverfahren (insbesondere Vertragsbestimmungen wie: „Anstatt [für diesen Dienst] zu zahlen … erklärst du dich durch Nutzung der Facebook-Produkte, für die diese Nutzungsbedingungen gelten, einverstanden, dass wir dir Werbeanzeigen zeigen dürfen … Wir verwenden deine personenbezogenen Daten … um dir Werbeanzeigen zu zeigen, die relevanter für dich sind.“), die die Verarbeitung von personenbezogenen Daten für Aggregation und Analyse von Daten zum Zwecke der personalisierten Werbung beinhalten, nach den Anforderungen des Art. 6 Abs. 1 Buchst. a in Verbindung mit Art. 7 DSGVO zu beurteilen sind, die nicht durch die Berufung auf Art. 6 Abs. 1 Buchst. b DSGVO ersetzt werden können?
Ist Art. 5 Abs. 1 Buchst. c DSGVO (Datenminimierung) dahin auszulegen, dass alle personenbezogenen Daten, über die eine Plattform wie im Ausgangsverfahren verfügt (insbesondere durch den Betroffenen oder durch Dritte auf und außerhalb der Plattform), ohne Einschränkung nach Zeit oder Art der Daten für Zwecke der zielgerichteten Werbung aggregiert, analysiert und verarbeitet werden können?
Ist Art. 9 Abs. 1 DSGVO dahin auszulegen, dass er auf die Verarbeitung von Daten anzuwenden ist, die eine gezielte Filterung von besonderen Kategorien personenbezogener Daten wie politische Überzeugung oder sexuelle Orientierung (etwa für Werbung) erlaubt, auch wenn der Verantwortliche zwischen diesen Daten nicht differenziert?
Ist Art. 5 Abs. 1 Buchst. b in Verbindung mit Art. 9 Abs. 2 Buchst. e DSGVO dahin auszulegen, dass eine Äußerung über die eigene sexuelle Orientierung für die Zwecke einer Podiumsdiskussion die Verarbeitung von anderen Daten zur sexuellen Orientierung für Zwecke der Aggregation und Analyse von Daten zum Zwecke der personalisierten Werbung erlaubt?

Lese-Tipp: EuGH-Urteil zu DSGVO-Bußgeldern – welches Ermessen hat eine Datenschutzbehörde?

Entscheidung des EuGH

Datenminimierung und Zweckbindung (Art. 5 Abs. 1 lit. c DSGVO):
Der EuGH hat in seinem Urteil klargestellt, dass der Grundsatz der Datenminimierung einer unbegrenzten Speicherung und Auswertung aller personenbezogenen Daten einer Plattform sowohl innerhalb als auch außerhalb der Plattform entgegensteht. Meta Platforms Ireland darf nicht alle verfügbaren Daten ohne klare Zweckbindung und zeitliche Begrenzung zu Werbezwecken aggregieren und verarbeiten. Das Verhältnismäßigkeitsprinzip spielt hier eine entscheidende Rolle und jede Verarbeitung muss auf das absolut Notwendige beschränkt sein.

Verarbeitung sensibler Daten (Art. 9 DSGVO):
Art. 9 DSGVO verbietet grundsätzlich die Verarbeitung besonderer Kategorien personenbezogener Daten, es sei denn, die betroffene Person hat ausdrücklich ihre Einwilligung gegeben oder die Daten wurden von der betroffenen Person offenkundig öffentlich gemacht. In seinem Urteil erklärt der EuGh: “Art. 9 Abs. 2 lit. e DSGVO ist dahin auszulegen, dass der Umstand, dass sich eine Person bei einer öffentlich zugänglichen Podiumsdiskussion zu ihrer sexuellen Orientierung geäußert hat, dem Betreiber einer Onlineplattform für ein soziales Netzwerk nicht gestattet, andere Daten über die sexuelle Orientierung dieser Person zu verarbeiten, die er gegebenenfalls außerhalb dieser Plattform von Anwendungen und Websites dritter Partner im Hinblick darauf erhalten hat, sie zu aggregieren und zu analysieren, um dieser Person personalisierte Werbung anzubieten.”

Die Entscheidung unterstreicht die strengen Anforderungen an die Rechtmäßigkeit der Verarbeitung personenbezogener Daten und die zentrale Bedeutung der Einwilligung. Der Fall hat weitreichende Auswirkungen auf die Geschäftsmodelle datengetriebener Online-Plattformen und deren Verpflichtung, die Datenschutzrechte der Nutzer umfassend zu schützen.

Quelle: Urteil des Europäischen Gerichtshofs vom 4. Oktober 2024 (C‑446/21)

Tags: