EuGH-Urteil v. 04.10.2024, Rechtssache C-446/21
Eine Case Note von Dr. Eva Ghazari-Arndt, LL.M.*
Hier klicken um die PDF einzusehen.
In der digitalen Welt sind persönliche Daten kostbar. Die gezielte Analyse und Nutzung personenbezogener Daten ermöglichen nicht nur wirtschaftliche, sondern auch politische Einflussnahmen. Algorithmen sozialer Netzwerke steuern Informationsströme, was Auswirkungen auf Wahlprozesse oder öffentliche Meinungsbildung haben kann. Zudem nutzen Unternehmen wie Facebook oder Amazon personenbezogene Daten zur Individualisierung von Dienstleistungen, zur Verbesserung der Nutzererfahrung und zur Effizienzsteigerung ihrer Geschäftsmodelle. Dies betrifft zum Beispiel auch die personalisierte Werbung, wodurch erhebliche wirtschaftliche Vorteile entstehen.
Das vorliegende Urteil des EuGH befasst sich mit der Frage der Vereinbarkeit von Geschäftsinteressen von Internetplattformen, die auf personalisierte Werbung angewiesen sind, und dem Schutz der personenbezogenen Daten von Nutzer/innen der Plattform. Speziell geht es um die Frage, ob die Nutzung von sensiblen personenbezogenen Daten für Werbezwecke rechtmäßig ist, insbesondere, wenn diese Daten ohne eine ausdrückliche Einwilligung der Nutzer/innen erhoben werden.
Sensible personenbezogene Daten sind solche Daten, die gem. Art. 9 Abs. 1 DS-GVO u.a. die politische Meinung, die religiöse oder weltanschauliche Überzeugung, die Verarbeitung genetischer Daten oder die sexuelle Orientierung einer natürlichen Person betreffen. Das einschlägige Urteil des EuGH ist dabei besonders relevant, da es grundlegende Fragen zur Anwendung der DS-GVO und insbesondere die Frage behandelt, unter welchen Bedingungen und in welchem Umfang die Einwilligung der Nutzer/innen für die Verarbeitung sensibler personenbezogener Daten erforderlich ist.
Sachverhalt
Meta Platforms Irland Ltd. ist für die Verarbeitung personenbezogener Daten von Facebook-Nutzer/innen in der EU verantwortlich. Bis zum 05. November 2023 war die Nutzung von Facebook kostenlos. Danach mussten Nutzer/innen entweder der Verarbeitung ihrer Daten für personalisierte Werbung zustimmen oder ein kostenpflichtiges Abonnement abschließen, um eine werbefreie Version von Facebook nutzen zu können. Das Geschäftsmodell von Meta basiert also auf der Finanzierung durch gezielte Werbung, die auf Grundlage des Nutzungsverhaltens und der Interessen der Nutzer/innen personalisiert wird.
Meta erhebt dabei durch verschiedene Mechanismen, darunter Cookies, Social Plug-ins und Pixel, die Daten. Diese Technologien ermöglichen es dem Unternehmen, vor allem auch Daten von Aktivitäten außerhalb der Facebook-Plattform zu sammeln, indem sie in externe Webseiten eingebunden sind. Beispielsweise kann bereits der Besuch einer Webseite mit einem „Gefällt mir“-Button dazu führen, dass Meta Daten über die Nutzer/innen erhält, auch wenn diese die Schaltfläche nicht aktiv anklicken.
Der Nutzer von Facebook, Maximilian Schrems, der durch zwei weitere richtungsweisende EuGH-Urteile[1] bekannt wurde, hatte, nachdem sein Facebook-Konto gesperrt wurde, die neuen Nutzungsbedingungen von Facebook akzeptiert, um sein Konto weiterhin nutzen zu können. Er hat jedoch keine sensiblen Daten in seinem Facebook-Profil angegeben und bestimmte Werbeeinstellungen auf Facebook deaktiviert. Gleichwohl erhielt er gezielte Werbung zu politischen Themen sowie zu Veranstaltungen für ein homosexuelles Publikum. Diese Einordnung basierte auf Verhaltensanalysen von Herrn Schrems sowie auf den Vorlieben seiner Facebook-Freunde. Zudem geht aus der Vorlageentscheidung hervor, dass Herr Schrems seine Homosexualität öffentlich kommunizierte, seine sexuelle Orientierung jedoch nicht in seinem Facebook-Profil angegeben hatte.
Verfahrensverlauf und Vorlagefragen
Maximilian Schrems reichte vor dem Landgericht für Zivilrechtssachen Wien (Österreich) Klage gegen Meta Platforms Ireland Ltd. ein. Er machte geltend, dass die Verarbeitung seiner personenbezogenen Daten durch das Unternehmen gegen mehrere Bestimmungen der DS-GVO verstoße. Insbesondere entspreche seine Zustimmung zu den Nutzungsbedingungen nicht den Anforderungen der Art. 6 Abs. 1 und Art. 7 DS-GVO. Zudem verarbeite Meta ohne seine Einwilligung sensible Daten gem. Art. 9 DS-GVO. Ferner habe er nicht in die Verarbeitung von Daten eingewilligt, die Meta von Dritten erhalten habe. Er beantragte unter anderem, dass Meta es unterlassen solle, seine personenbezogenen Daten für personalisierte Werbung zu verarbeiten.
Meta war hingegen der Ansicht, dass die Verarbeitung der Daten auf den Nutzungsvertrag gestützt sei und nicht auf eine gesonderte Einwilligung. Nach Auffassung des Unternehmens sei diese Verarbeitung für die Erfüllung des Vertrages erforderlich und daher gem. Art. 6 Abs. 1 lit. b) DS-GVO rechtmäßig.
Das Landgericht für Zivilrechtssachen Wien wies die Klage von Herrn Schrems mit Urteil vom 30.06.2020 ab. Auch das Oberlandesgericht Wien (Österreich) bestätigte diese Entscheidung und stellte fest, dass die Datenverarbeitung, einschließlich personalisierter Werbung, ein integraler Bestandteil des Nutzungsvertrags sei. Der Oberste Gerichtshof Österreichs äußerte hingegen Zweifel an dieser Rechtsauffassung und legte dem EuGH mehrere Vorabentscheidungsfragen vor.
Der EuGH sollte vier zentrale Fragen zur Auslegung der DS-GVO klären: (I.) Ob die Verarbeitung personenbezogener Daten für personalisierte Werbung auf Grundlage der Einwilligung gem. Art. 6 Abs. 1 lit a) oder der Vertragserfüllung gem. Art. 6 Abs. 1 lit. b) DS-GVO rechtmäßig ist. (II.) Ob Art. 5 Abs. 1 lit. c) DS-GVO es Plattformen erlaubt, personenbezogene Daten ohne zeitliche oder inhaltliche Einschränkung für zielgerichtete Werbung zu aggregieren und zu verarbeiten. (III.) Ob Art. 9 Abs. 1 DS-GVO auch auf die Verarbeitung von Daten anwendbar ist, die eine gezielte Filterung besonderer Kategorien wie politische Überzeugung oder sexuelle Orientierung für Werbezwecke ermöglichen, auch wenn der Verantwortliche diese Daten nicht differenziert. (IV.) Ob eine öffentliche Äußerung zur sexuellen Orientierung gem. Art. 9 Abs. 2 lit. e) DS-GVO die Verarbeitung weiterer Daten zu dieser Orientierung für personalisierte Werbung rechtfertigt.
Kernaussagen des Urteils
In Bezug auf die erste Vorlagefrage hat das vorlegende Gericht die Frage zurückgenommen, da der EuGH diese bereits in einem früheren Urteil[2] entschieden hatte. Damit eine Verarbeitung personenbezogener Daten als für die Erfüllung eines Vertrags erforderlich im Sinne von Art. 6 Abs. 1 lit. b) DS-GVO angesehen werden kann, muss sie objektiv notwendig sein, um einen wesentlichen Bestandteil des Vertragszwecks zu erreichen. Der Verantwortliche muss nachweisen, dass der Hauptgegenstand des Vertrages ohne die betreffende Verarbeitung nicht erfüllt werden kann. In vielen Fällen wird personalisierte Werbung jedoch nicht als notwendiger Bestandteil der vertraglichen Leistung angesehen. Die Nutzer/innen können die grundlegenden Funktionen einer Plattform auch ohne personalisierte Werbung nutzen. Insofern wird die Verarbeitung personenbezogener Daten für personalisierte Werbung nach Art. 6 Abs. 1 lit. b) DS-GVO nicht als vertraglich notwendig angesehen, vielmehr soll sie auf der ausdrücklichen Einwilligung der Nutzer/innen gem. Art. 6 Abs. 1 lit. a) DS-GVO beruhen.
Hinsichtlich der zweiten Vorlagefrage führt der EuGH aus, dass die Dauer der Datenspeicherung auf das zur Zweckerreichung absolut Notwendige zu begrenzen ist. Eine unbegrenzte und pauschale Speicherung ist mit dem Grundsatz der Verhältnismäßigkeit nicht vereinbar. Die Praxis der Verarbeitung sämtlicher verfügbaren Daten zu Zwecken der personalisierten Werbung, ohne Unterscheidung nach ihrer Art oder Sensibilität, widerspricht dem Grundsatz der Datenminimierung. Die pauschale und dauerhafte Datenverarbeitung zu Werbezwecken kann daher nicht als gerechtfertigt im Sinne der DS-GVO angesehen werden. Der EuGH betonte also erneut, dass datenschutzrechtliche Prinzipien nicht abstrakt, sondern konkret an den jeweiligen Verarbeitungszweck und Umfang der Verarbeitung zu messen sind. Maßstab bleibt stets das Gebot der Verhältnismäßigkeit und der Schutz der Grundrechte.
Auch die dritte Vorlagefrage hat das vorlegende Gericht zurückgenommen, da der EuGH diese Frage bereits in einem anderen Urteil[3] entschieden hatte. Der EuGH nimmt dort Bezug auf den 51. Erwägungsgrund der DS-GVO und führt aus, dass besonders sensible personenbezogene Daten einen besonderen Schutz erfordern. Die Verarbeitung dieser Daten ist grundsätzlich untersagt, es sei denn, sie fällt unter die in Art. 9 Abs. 2 DS-GVO ausdrücklich festgelegten Ausnahmefällen. Diese Vorschrift zielt darauf ab, die Grundrechte der betroffenen Personen zu schützen, indem sie die Verarbeitung solcher Daten einschränkt, selbst wenn die Verarbeitung nicht mit der Absicht erfolgt, solche sensiblen Daten zu erheben.
In Bezug auf die vierte Vorlagefrage wird zunächst darauf hingewiesen, dass personenbezogene Daten zur sexuellen Orientierung gem. Art. 9 Abs. 1 DS-GVO grundsätzlich einem besonderen Schutz unterliegen und nur in bestimmten Ausnahmefällen verarbeitet werden dürfen. Art. 9 Abs. 2 lit. e) DS-GVO stellt eine Ausnahme dar, wenn die betroffene Person die betreffenden Daten „offensichtlich öffentlich gemacht hat“. Die Tatsache, dass eine Person ihre sexuelle Orientierung öffentlich gemacht hat, entzieht diese Daten nicht generell dem Schutz der DS-GVO. Auch wenn eine Person öffentlich spricht, bleibt die Verarbeitung weiterer Daten nur dann zulässig, wenn die spezifischen Anforderungen der DS-GVO, insbesondere die Zustimmung der betroffenen Person, erfüllt sind. Insofern gestattet Art. 9 Abs. 2 lit. e) DS-GVO nicht automatisch die Verarbeitung weiterer Daten zur sexuellen Orientierung einer Person, nur weil diese sich öffentlich zu ihrer sexuellen Orientierung geäußert hat.
Einordnung und Bewertung
Das vorliegende Urteil des EuGH verdeutlicht, dass der Datenschutz als ein dynamisches Rechtsgebiet des europäischen Rechts zu begreifen ist, das weit über die bloße Zustimmung zur Datenverarbeitung hinausgeht. Datenschutz muss auch in Bezug auf ihre Prinzipien überprüft werden, um den Schutz der Rechte der betroffenen Personen zu gewährleisten.
Weiteres zentrales Element des Urteils ist zudem die klare Differenzierung zwischen der grundlegenden Nutzung einer Online-Plattform und der Verarbeitung personenbezogener Daten zu Werbezwecken. Diese Unterscheidung stellt sicher, dass die Nutzer/innen ihre ausdrückliche Zustimmung zur Nutzung ihrer personenbezogenen Daten im Einklang mit den Bedingungen des Art. 7 DS-GVO z.B. freiwillig und informiert erteilen.
Ferner ist die restriktive Auslegung von Art. 9 Abs. 2 lit. e) DS-GVO durch den EuGH von erheblicher Bedeutung. Der EuGH unterstreicht, dass der Datenschutz als ein Instrument zum Schutz der Grundrechte der betroffenen Personen auch in Fällen öffentlicher Äußerungen nicht leichtfertig aufgeweicht werden darf. Die Feststellung, dass die bloße öffentliche Äußerung zur sexuellen Orientierung nicht automatisch die Erlaubnis zur Verarbeitung weiterer personenbezogener Daten zur Folge hat, schützt die Grundrechte der betroffenen Personen und reflektiert die hohe Schutzwürdigkeit sensibler Daten. Dieser Aspekt des Urteils bekräftigt somit das fundamentale Ziel der DS-GVO, den Schutz der Persönlichkeitsrechte in einer zunehmend digitalisierten und datengestützten Welt zu gewährleisten.
Fazit und Ausblick
Zusammenfassend zeigt das Urteil, wie wichtig die präzise und restriktive Auslegung der DS-GVO ist, um den rechtmäßigen Umgang mit personenbezogenen Daten nachhaltig zu wahren. Jedenfalls wird dieses Urteil dazu beitragen, dass Unternehmen ihre Praktiken hinsichtlich der Datenverarbeitung stärker an den Anforderungen der DS-GVO ausrichten. Dies könnte zudem zu einer verstärkten Transparenz gegenüber den Nutzer/innen führen
*Dr. Eva Ghazari-Arndt, LL.M. hat seit Januar 2025 die Professur für Recht an der Hochschule der DGUV übernommen und ist in der Lehre u.a. auf dem Rechtsgebiet des Staats- und Verfassungsrechts, inkl. des Europarechts tätig. Ihren Forschungsschwerpunkt hat sie im Bereich des Datenschutzrechts.
[1] EuGH-Urteil v. 06.10.2015, Rechtssache C-362/14 (Schrems gegen Data Protection Commissioner); EuGH-Urteil v. 25.01.2018, Rechtssache C-498/16 (Schrems gegen Facebook Ireland Ltd.).
[2] EuGH-Urteil v. 04.07.2023, Rechtssache C-252/21 (Meta gegen Bundeskartellamt).
[3] EuGH-Urteil v. 04.07.2023, Rechtssache C-252/21 (Meta gegen Bundeskartellamt).
Zitiervorschlag: Ghazari-Arndt, Eva, Schrems vs. Meta – die Grenzen der Datenverarbeitung, jean-monnet-saar 2025.
Gefördert durch die Deutsche Forschungsgemeinschaft (DFG) – Projektnummer: 525576645
