EuGH: Meta muss Datennutzung für Werbung „minimieren“

• Presseaussendung des EuGH
• Vollständiges Urteil
• Zusammenfassung des Urteils auf GDPRhub

Katharina Raabe-Stuppnig, Rechtsanwältin, die Max Schrems vertritt: „Wir sind sehr zufrieden mit dem Urteil, auch wenn dieses Ergebnis durchaus zu erwarten war.“

Erste Teilfrage: Datenverarbeitung für Werbung muss "minimiert" werden. Die Daten von Facebook-Nutzern beispielsweise können bis ins Jahr 2004 zurückreichen und Daten umfassen, die von Nutzer:innen selbst, von anderen Nutzer:innen, über Online-Tracking oder Tracking in mobilen Apps erfasst wurden. Um solche Praktiken zu verhindern, hat die DSGVO in Artikel 5(1)(c) DSGVO den Grundsatz der „Datenminimierung“ festgelegt, der eine Beschränkung der Verarbeitung auf die unbedingt erforderlichen Daten vorschreibt. Bisher haben Meta und viele Akteure im Bereich der Online-Werbung diese Regel einfach ignoriert und keine Löschfristen oder Beschränkungen  nach Art der personenbezogenen Daten vorgesehen. Die Anwendung des „Grundsatzes der Datenminimierung“ schränkt die Verwendung personenbezogener Daten für Werbezwecke radikal ein. Der Grundsatz der Datenminimierung gilt unabhängig von der Rechtsgrundlage für die Verarbeitung. Somit können selbst dann, wenn ein Person in personalisierte Werbung eingewilligt hat, nicht auf unbestimmte Zeit ihre personenbezogenen Daten verwendet werden. In Übereinstimmung mit seiner üblichen Rechtsprechung, überließ der EuGH die Detailfragen, wie die Datenminimierung im Einzelfall umzusetzen sei, den nationalen Gerichten. 

Katharina Raabe-Stuppnig: "Meta hat im Grunde seit 20 Jahren einen riesigen Datenpool über die Nutzenden aufgebaut, der täglich wächst. EU-Recht verlangt jedoch eine ‚Datenminimierung‘. Nach diesem Urteil darf nur ein kleiner Teil des Datenbestands von Meta für Werbezwecke verwendet werden – selbst wenn die Nutzer der Werbung zustimmen. Dieses Urteil gilt auch für alle anderen Online-Werbeunternehmen, die oft keine Verfahren zur Datenminimierung haben."

Zweite Teilfrage: Öffentliche Kritik legitimiert Datenverarbeitung nicht. Gemäß Artikel 9(2)(e) DSGVO dürfen Informationen, die „offenkundig öffentlich gemacht“ wurden, von einem Unternehmen verarbeitet werden, da der Gesetzgeber davon ausgeht, dass die betroffene Person der Nutzung zugestimmt hat. Max Schrems argumentierte, dass seine öffentlichen Kommentare zu anderen Informationen Jahre nach der illegalen Verarbeitung abgegeben wurden. Seine späteren Aussagen könnten nicht als Zustimmung zur Verarbeitung anderer Informationen Jahre zuvor angesehen werden. Eine Zustimmung könnte ja keine "Zeitreise" machen und andere Daten betreffen.

Katharina Raabe-Stuppnig: „Es hätte eine enorme abschreckende Wirkung auf die Meinungsfreiheit, wenn man sein Recht auf Datenschutz verlieren würde, wenn man illegale Datenverarbeitung öffentlich kritisiert. Wir begrüßen es, dass der EuGH diese Auffassung abgelehnt hat.“

Hintergrund:

Geschichte des Falls. Der Fall betrifft ein Zivilverfahren zwischen Max Schrems als Einzelperson und Meta Ireland Platforms Limited (als Betreiber von „Facebook“) vor den österreichischen Gerichten. Der Fall wurde erstmals 2014 eingereicht und 2020 erstmals in Österreich inhaltlich verhandelt - nach 6 Jahren in denen Meta versuchte, den Fall als "unzulässig" aus den Gerichten zu bekommen. Er betrifft eine Vielzahl von Verstößen gegen die DSGVO, darunter das Fehlen einer Rechtsgrundlage für Werbung und Ähnliches. Der österreichische Oberste Gerichtshof hat 2021 vier Fragen an den EuGH gerichtet. Da jedoch ein anderer Fall (C-252/21 Bundeskartellamt) teilweise ähnliche Fragen abdeckte, hat der EuGH den Fall von Herrn Schrems bis 2024 pausiert. Die ursprünglichen Fragen Nummer 1 und 3 wurden (indirekt) gewonnen, da der EuGH in C-252/21 Bundeskartellamt der Ansicht von Herrn Schrems folgte. Der Rest des Falls wurde dann am 8. Februar 2024 in Luxemburg verhandelt, allerdings beschränkt auf die beiden verbleibenden Fragen (ursprüngliche Fragen Nummer 2 und 4), die nicht bereits in C-252/21 Bundeskartellamt entschieden worden waren. Die verbleibenden Fragen waren:
 

• Ursprüngliche Frage 2: "Ist Art. 5 Abs. 1 Buchst. c DSGVO (Datenminimierung) dahin auszulegen, dass alle personenbezogenen Daten, über die eine Plattform wie im Ausgangsverfahren verfügt (insbesondere durch den Betroffenen oder durch Dritte auf und außerhalb der Plattform), ohne Einschränkung nach Zeit oder Art der Daten für Zwecke der zielgerichteten Werbung aggregiert, analysiert und verarbeitet werden können?"
   
• Ursprüngliche Frage 4: "Ist Art. 5 Abs. 1 Buchst. b in Verbindung mit Art. 9 Abs. 2 Buchst. e DSGVO dahin auszulegen, dass eine Äußerung über die eigene sexuelle Orientierung für die Zwecke einer Podiumsdiskussion die Verarbeitung von anderen Daten zur sexuellen Orientierung für Zwecke der Aggregation und Analyse von Daten zum Zwecke der personalisierten Werbung erlaubt?"

Datenminimierung. Die ursprüngliche Frage 2 betrifft Metas Ansatz, der besagt, dass alle personenbezogenen Daten im Wesentlichen in einen großen „Datenpool“ fließen und auf unbestimmte Zeit – ohne jegliche Einschränkung – für persönliche Werbung verwendet werden können, da dies offensichtlich einen Verstoß gegen den Grundsatz der Datenminimierung darstellt. Während es in einigen Fällen eine klare Löschfrist gibt (z. B. wenn eine gesetzliche Aufbewahrungspflicht endet), ist das Thema Werbung komplexer. Unternehmen müssen Datenverwaltungsprotokolle entwickeln, um nicht mehr benötigte Daten schrittweise zu löschen oder nicht mehr zu verwenden.

Weiterverwendung sensibler Daten. Die ursprüngliche Frage 4 betrifft ein Argument des Gerichts erster Instanz (und teilweise von Meta), dass Herr Schrems seine sexuelle Orientierung bei einer Veranstaltung in Wien erwähnt habe und daher (implizit) der Verarbeitung personenbezogener Daten im Zusammenhang mit der sexuellen Orientierung (und in der Tat dem Sexualleben, das in Artikel 9 DSGVO gesondert geschützt ist) für Werbung zugestimmt haben könnte, die Jahre vor der öffentlichen Äußerung stattfand. Es besteht Einigkeit darüber, dass diese Aussagen veröffentlicht wurden. Herr Schrems bestreitet jedoch, dass Meta in den Jahren zuvor andere – höchst persönliche – Daten verarbeitet haben könnte. Herr Schrems betont, dass parallel dazu der Grundsatz der „Zweckbindung“ gilt und dass Informationen, die zum Zweck der Kritik an einer rechtswidrigen Verarbeitung durch Meta weitergegeben werden, nicht (rückwirkend) die Verwendung personenbezogener Daten für einen völlig anderen Zweck, wie z. B. Werbung, ermöglichen können.