Close

Dein Warenkorb ist leer

Meta (Facebook) und personalisierte Werbung: Was Du über das aktuelle Urteil des Europäischen Gerichtshofs wissen solltest (EuGH, Urteil vom 04.07.2023, C-252/21)

Im aktuellen Urteil über Meta Platforms (ehemals Facebook) findet der Europäische Gerichtshof eine deutliche Sprache, um die Auslegung der Rechtsgrundlage der DSGVO und den Bereich des personalisierten Online-Marketings zu klären.

Das Urteil ist besonders spannend, da der EuGH eindeutige Aussagen zur Zuständigkeit für Anordnungen und Verstöße gegen das Datenschutzrecht und deren Durchsetzung trifft.

Wie kam es zur Vorabentscheidung vor dem EuGH im Fall „Bundeskartellamt versus Meta Platforms Inc., Meta Platforms Ireland Ltd. und Facebook Deutschland GmbH“?

Im Februar 2019 untersagt das Bundeskartellamt dem Konzern Meta mit einer Anordnung eine Vorgehensweise zum Sammeln von Daten seiner Nutzer.

Das Bundeskartellamt untersagte in diesem Beschluss „ […] die Nutzung des sozialen Netzwerks Facebook von der Verarbeitung Off-Facebook-Daten der User abhängig zu machen und diese Daten ohne ihre Einwilligung auf Grundlage der damals geltenden Allgemeinen Nutzungsbedingungen zu verarbeiten.“ Kurz gesagt, solle Meta keine Daten generieren dürfen, welche mittels Websites und Apps Dritter durch Facebook und deren APIs oder „gefällt mir“ Angaben gesammelt werden.

Zudem verpflichtet das Bundeskartellamt das Unternehmen eine Anpassung der Nutzungsbedingungen durchzuführen. In diesen solle dann eindeutig hervorgehen, dass die fraglichen Daten nicht ohne Einwilligung der Nutzer erfasst und mit den einschlägigen Nutzerkonten verknüpft werden dürfen. Eine Einwilligung, welche Bedingung ist, das soziale Netzwerk zu nutzen, sei laut Bundeskartellamt ungültig.

Gegen diese Anordnung ging Meta daraufhin in einem Eil- und Hauptsacheverfahren vor. Während das Oberlandesgericht im Eilverfahren die Anordnung aufhob, bestätigte der BGH im anschließenden Beschwerdeverfahren des Bundeskartellamts die Anordnung und wies den Eilantrag von Meta zurück.

Im nun laufenden Hauptsacheverfahren war sich das Oberlandesgericht Düsseldorf hinsichtlich einiger Rechtsfragen des europäischen Rechts unsicher und legte dem EuGH diese zur Entscheidung im Rahmen eines Vorlageverfahrens vor.

Einfach erklärt: „Was ist ein Vorlageverfahren und was wird dort entschieden?“

In einem Vorlageverfahren können Vorabentscheidungen des Europäischen Gerichtshof eingeholt werden. Ein nationales Gericht kann eine Vorabentscheidung des EuGH einfordern, sofern die Fragestellung für den Rechtsstreit entscheidungserheblich ist. Dabei muss es um die Auslegung und Anwendung von europäischem Recht gehen – im vorliegenden Fall um die DSGVO.

Um eine divergierende Auslegung und Anwendung des EU-Rechts durch die Gerichte der europäischen Mitgliedsstaaten zu verhindern, dient das Vorabentscheidungsverfahren der Rechtseinheit der EU. Die daraus resultierende Entscheidung des EuGH – beispielsweise über die DSGVO – ist dann für alle nationalen Gerichte und Behörden bindend für die strittige Fragestellung.

Welche Fragen wurden dem europäischen Gerichtshof vorgelegt?

Das Oberlandesgericht legte dem Europäischen Gerichtshof sieben Fragen vor, welche thematisch als folgende vier Schwerpunktfragen zusammengefasst werden können:

  • Zuständigkeit der Behörden

Darf das Bundeskartellamt als Wettbewerbsbehörde Recht prüfen, welche die Verarbeitung von personenbezogenen Daten und somit den Anwendungsbereich der DSGVO betrifft, oder bleibt diese Zuständigkeit ausschließlich den Datenschutzbehörden vorbehalten?

  • „Öffentlich zugängliche“ Daten

Inwieweit gelten sensible Daten im Sinne des Artikels 9 Abs. 1 der DSGVO (wie politische Interessen, Religionszugehörigkeit, Gesundheitsinformationen oder sexuelle Vorlieben) als „öffentlich zugänglich“ gemacht, wenn der Nutzer beispielswese seine Zustimmung durch Klicken „Gefällt mir“ auf einer Facebook-Seite offenlegt? Und welche Befugnisse hat der Betreiber sozialer Online-Netzwerke hinsichtlich der Nutzung solcher Daten?

  • Die Rechtsgrundlage

Auf welche Rechtsgrundlage dürfen und können Betreiber sozialer Netzwerke sich zur Verarbeitung personenbezogener Daten der betroffenen Nutzer stützen?

  • Die Wirksamkeit der Einwilligung

Kann eine Einwilligung zur Verarbeitung sensibler Daten wirksam durch den Nutzer erteilt werden, wenn das Unternehmen, welche die Einwilligung einholt, eine marktbeherrschende Stellung hat?

Was hat der europäische Gerichtshof auf die Fragen im Vorlageverfahren geantwortet?

Zur Frage 1: Ist das Bundeskartellamt als Wettbewerbsbehörde berechtigt, die DSGVO zu prüfen?

Der EuGH bejaht eindeutig, dass das Bundeskartellamt berechtigt ist, die Vorschriften des Datenschutzrechts zu prüfen. Das gilt auch dann, wenn das Bundeskartellamt im Rahmen einer Missbrauchsprüfung einer marktbeherrschenden Macht die DSGVO berücksichtigt.

Die Aufgaben der Aufsichts- und Kartellbehörden unterscheiden sich erheblich. Während die Aufsichtsbehörden für die Überwachung und Durchsetzung der DSGVO verantwortlich sind (Art. 51 ff. DSGVO), haben die Kartellbehörden das Ziel, den Markt zu schützen, einschließlich der Verbraucherinteressen. Dazu prüfen sie, ob möglicherweise bestimmte Unternehmen eine marktbeherrschende Stellung haben und diese möglicherweise missbrauchen.

Das Geschäftsmodell der sozialen Netzwerke basiert auf einer möglichst breiten Verarbeitung von Nutzerdaten, denen ein Geldwert beigemessen werden kann. Sie nutzen ihre Verarbeitung zu Zwecken der Gewinnerzielung. Hierdurch entsteht eine Schnittstelle von Datenschutzrecht und Wettbewerbsrecht. Gerade auch deshalb, da die Datenverarbeitung ein wesentlicher Faktor für die Marktstellung von Meta geworden ist.

Der europäische Gerichtshof ist der klaren Auffassung, dass keine Sperrwirkung zwischen Ansprüchen aus den Rechtsgebieten Wettbewerbsrecht, Verbraucherschutzrecht und Datenschutzrecht besteht. Diese drei Säulen dürfen parallel angewandt werden, solange sich die Kartellbehörden im Rahmen der vom EuGH vorgegebenen Rechts bewegen und im Wesentlichen den Ansichten der Datenschutzbehörden folgen.

Dabei wird zur Kooperation zwischen den einzelnen Behörden aufgerufen. Die Behörden verpflichten sich dazu, sich untereinander abzustimmen. Kommt es in einer bestimmten Frist zu keiner Antwort der befragten Behörde, darf das Bundeskartellamt die Prüfung alleine fortführen.

Zu Frage 2: Werden sensible Daten durch die Nutzung des sozialen Netzwerks automatisch als „öffentlich zugänglich“ betrachtet?

Der EuGH verneint diese Frage. Die Daten werden grundsätzlich nicht als öffentlich zugänglich betrachtet.

Gibt der Nutzer in Apps oder auf Websites Daten an, die über eine API zu Facebook verfügen, gelten diese Daten nicht als öffentlich zugänglich gemacht i.S.v. Art. 9 Aabs. 2 e) DSGVO. Das heißt, dass diese Daten nicht durch den Betreiber des sozialen Netzwerkes weiterverarbeitet werden dürfen. Auch das Betätigen des „Gefällt-mir“ Zeichens drückt eine solche allgemeine Veröffentlichung nicht aus.

Nur wenn der Nutzer die Möglichkeit hat auf eine transparente und eindeutige Art und Weise zum Ausdruck zu bringen, dass er mit der Verwendung seiner Daten einverstanden ist, dann ist der Betreiber auch dazu berechtigt, diese zu verwenden.

Zu Frage 3: Auf welche Rechtsgrundlage können sich Betreiber der Online-Netzwerke stützen, um personenbezogene Daten der Nutzer zu verarbeiten?

Art. 6 der DSGVO bietet einige Rechtsgrundlagen, um die Verarbeitung personenbezogener Daten zu rechtfertigen.

Die Vertragserfüllung als Rechtsgrundlage (Art. 6 I b) DSGVO)

Art. 6 I b) DSGVO sieht vor, dass die Verarbeitung von personenbezogenen Daten möglich ist für den Fall, dass sie zur Vertragserfüllung „objektiv unerlässlich“ ist. Zwar lässt sich nicht bestreiten, dass personenbezogene Daten benötigt werden, um die Funktionalität eines sozialen Netzwerkes zu garantieren. Meta jedenfalls trägt vor, dass die personenbezogenen Daten unerlässlich sind, um die Personalisierung der Nutzerprofile zu optimieren, um den Interessen der Nutzer gerecht zu werden. Eine solche Personalisierung – in den Augen des EuGH – ist nicht erforderlich, zumindest nicht „objektiv unerlässlich“ im Sinne der DSGVO.

Eine Personalisierung des Nutzerprofils und dessen (Werbe-) Inhalten kann Meta folglich, da findet der EuGH klare Worte, nicht auf die Rechtsgrundlage der Vertragserfüllung stützen.

Das berechtigte Interesse als Rechtsgrundlage (Art. 6 1 f) DSGVO)

Hat der für die Verarbeitung Verantwortliche ein berechtigtes Interesse, muss dieses zwei weiteren Anforderungen genügen, um als Rechtsgrundlage zu dienen:

1. Die Verarbeitung der Daten muss erforderlich sein, um das Interesse zu verwirklichen.

2. Es dürfen keine schützenswerten Grundrechte und Grundfreiheiten der Nutzer gegenüber dem berechtigten Interesse überwiegen.

Der EuGH wägt verschiedene Interessen von Meta ab, worunter die Gewährleistung der Netzwerksicherheit, die Personalisierung von Werbung und die Produktverbesserung ein potenzielles berechtigtes Interesse darstellen könnten.

Insbesondere im puncto Gewährleistung der Netzwerksicherheit und Produktverbesserung ist sich der EuGH sicher: Ein solches Interesse begründete eine umfassende Nachweispflicht für Meta im Zuge seiner außerordentlichen marktbeherrschenden Stellung. Die Art und Weise, mit der sich Facebook einer umfassenden Datenverarbeitung bedient, insbesondere von externen Quellen, spricht in Abwägung der User-Interessen daher stark gegen eine Rechtfertigung im Rahmen des berechtigten Interesses.

Zudem betont der EuGH, dass der User des sozialen Netzwerkes, keineswegs damit rechnen muss, dass seine personenbezogenen Daten im großen Umfang für Personalisierungszwecke genutzt werden. Hier ergibt sich, dass der Schutz des Nutzers überwiegt.

Der Schutz eines lebenswichtigen Interesses als Rechtsgrundlage (Art. 6 I d) DSGVO)

Dieser Artikel zielt auf den Schutz lebenswichtiger Interessen ab und Erfüllung einer Aufgabe, die im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt liegt.

In seiner Erwägung nennt der EuGh beispielsweise humanitäre Zwecke und deren Ausbreitung oder humanitäre Notfälle wie Naturkatastrophen, als berechtigtes lebenswichtiges Interesse, die in den Anwendungsbereich des Artikels fallen könnten.

Aus der gebotenen engen Auslegung dieses Unterfalles als Rechtsgrundlage geht aus dem Ton des Urteils des EuGH deutlich hervor, dass ein solches lebenswichtiges Interesse im strittigen Fall nicht vorliegt. Daher betont der EuGH nochmals, dass Meta als privatwirtschaftliches Unternehmen keine Aufgaben übernimmt, die in abstrakter Weise im öffentlichen Interesse liegen oder in der Ausübung öffentlicher Gewalt bestehen.

Zu Frage 4: Kann eine Einwilligung zur Verarbeitung sensibler Daten wirksam durch den Nutzer erteilt werden, wenn das Unternehmen, welche die Einwilligung einholt, eine marktbeherrschende Stellung hat?

Meta könnte in dem Fall, dass es eine Einwilligung von Seiten des Nutzers gibt ( Art. 6 I 1) DSGVO) berechtigt sein die (sensiblen) Daten seiner User zu verarbeiten. Das ist möglich, auch wenn das Unternehmen eine marktbeherrschende Stellung hat.

Dafür muss laut Vorschriften der DSGVO diese Einwilligung jedoch freiwillig sein.

Der EuGH hat in seinem Urteil vor allem die Freiwilligkeitskomponente bei der Einwilligung diskutiert. Die Einwilligung zur Verarbeitung kann nach dem Wortlaut des Gerichts nur wirksam sein, wenn sie freiwillig, in informierter Weise, unmissverständlich und ausdrücklich erteilt worden ist. So muss in diesem Fall insbesondere deutlich hervorgehen, dass zwischen den Daten, die auf dem sozialen Netzwerk generiert werden und den Off-Facebook Daten unterschieden werden kann bei der Einwilligung durch den User.

Zusätzlich ist darauf zu achten, dass die Wahlfreiheit des Nutzers beeinträchtigt sein kann, wenn der Nutzer nicht die Möglichkeit bekommt, seine Einwilligung zu verweigern oder zu widerrufen, ohne Nachteile zu haben, insbesondere, wenn er den Zugang zur Plattform verweigert bekommt.

Wann kann mit einem endgültigen Urteil gerechnet werden?

Am 10. Mai 2023 fand die mündliche Verhandlung vor dem EuGH statt. Die Schlussanträge des Generalanwaltes werden Ende September erwartet. Mit einem Urteil kann demnach gegen Ende des Kalenderjahres 2023 gerechnet werden.

Fazit:

In seinem Urteil hat der EuGH viele Erläuterungen zur Anwendung, Zuständigkeit und Auslegung des Datenschutzrechts getätigt. Grundsätzlich hat er seine Interpretationslinie beibehalten hinsichtlich der DSGVO Vorschriften. Jedoch hat der EuGH mit diesem Urteil eindeutig klar gemacht, dass die Wettbewerbs- und Datenschutzbehörden kooperieren und nicht konkurrieren sollen, um eine Kontinuität in der Kontrolle der DSGVO zu gewährleisten. Außerdem hat der europäische Gerichtshof eine engere Auslegung des Art. 6 DSGVO an den Tag gelegt, um die Anwendungsfälle zu beschränken und einen Missbrauch der Rechtsgrundlagen von großen datenverarbeitenden Unternehmen zu beschränken.

In diesem Artikel