Der EuGH hat sich im Urteil C‑446/21 vom 4. Oktober 2024 mit der Frage befasst, ob. Das Urteil betrifft einen weiteren Rechtsstreit von Max Schrems gegen Meta. Ein Kommentar von noyb wurde hier veröffentlicht.
Hintergrund des Urteils ist die Tatsache, dass Meta – Facebook – über verschiedene Tools, namentlich auf Drittseiten eingebundene Social Plug-Ins und Pixel, Angaben über Besuche von Drittseiten erheben kann. Dazu gehören auch Seiten “politischer Parteien und […] Websites, die sich an ein homosexuelles Publikum richten”. Mit dem Besuch solcher Seiten durch Schrems hat Meta entsprechende Daten über ihn erhoben, und in der Folge erhielt Schrems Werbung für eine österreichische Politikerin und Werbung, die auf ein homosexuelles Publikum abzielte.
Zur Verhältnismässigkeit (und dem Kerngehalt des Grundrechts auf Datenschutz)
Der EuGH äussert sich zuerst zum Verhältnismässigkeitsgrundsatz (nach Art. 5 Abs. 1 lit. c und Art. 5 Abs. 2 DSGVO):
58 Jedenfalls ist eine zeitlich unbegrenzte Speicherung personenbezogener Daten der Nutzer einer Plattform für ein soziales Netzwerk zu Zwecken der zielgerichteten Werbung als unverhältnismäßiger Eingriff in die Rechte, die die DSGVO diesen Nutzern garantiert, anzusehen.
59 Was als Drittes den Umstand betrifft, dass die im Ausgangsverfahren fraglichen personenbezogenen Daten ohne Unterscheidung nach ihrer Art für Zwecke der zielgerichteten Werbung erhoben, aggregiert, analysiert und verarbeitet werden, hat der Gerichtshof bereits entschieden, dass der Verantwortliche […] nicht allgemein und unterschiedslos personenbezogene Daten erheben darf und er von der Erhebung von Daten absehen muss, die für die Zwecke der Verarbeitung nicht unbedingt notwendig sind […].
60 Ferner muss der Verantwortliche gemäß Art. 25 Abs. 2 DSGVO geeignete Maßnahmen treffen, die sicherstellen, dass durch Voreinstellung nur personenbezogene Daten, deren Verarbeitung für den jeweiligen bestimmten Verarbeitungszweck erforderlich ist, verarbeitet werden. Nach dieser Bestimmung gilt diese Verpflichtung u. a. für die Menge der erhobenen personenbezogenen Daten, den Umfang ihrer Verarbeitung und ihre Zugänglichkeit.
Zwar ist es Sache des Verantwortlichen, seine Datenverarbeitung entsprechend zu begrenzen, was das nationale Gericht zu prüfen hat:
57 Daher ist es […] Sache des nationalen Gerichts, unter Berücksichtigung aller maßgeblichen Umstände und unter Anwendung des Grundsatzes der Verhältnismäßigkeit, auf den in Art. 5 Abs. 1 Buchst. c DSGVO hingewiesen wird, zu beurteilen, ob die Dauer der Speicherung der personenbezogenen Daten durch den Verantwortlichen im Hinblick auf das Ziel, die Schaltung personalisierter Werbung zu ermöglichen, angemessen gerechtfertigt ist.
Aber: Die Beschaffung von Daten der Nutzer stelle vorliegend einen schweren Eingriff dar. Der EuGH verzichtet daher darauf, die Abwägung dem Sachgericht und damit der Argumentation des Verantwortlichen zu überlassen. Er leitet aus Art. 5 DSGVO vielmehr ein per-se-Verbot der vorliegenden, in verschiedener Hinsicht besonders umfassenden Verarbeitung ab. Im Ergebnis sieht der EuGH hier also offenbar den Kerngehalt der durch die Charta verbrieften Grundrechte verletzt:
65 Nach alledem ist auf die zweite Frage zu antworten, dass Art. 5 Abs. 1 Buchst. c DSGVO dahin auszulegen ist, dass der darin festgelegte Grundsatz der „Datenminimierung“ dem entgegensteht, dass sämtliche personenbezogenen Daten, die ein Verantwortlicher wie der Betreiber einer Onlineplattform für ein soziales Netzwerk von der betroffenen Person oder von Dritten erhält und die sowohl auf als auch außerhalb dieser Plattform erhoben wurden, zeitlich unbegrenzt und ohne Unterscheidung nach ihrer Art für Zwecke der zielgerichteten Werbung aggregiert, analysiert und verarbeitet werden.
Zu den “offensichtlich öffentlich gemachten” Daten
Der nächste Punkt betrifft die Frage, wann besondere Kategorien personenbezogener Daten “offensichtlich öffentlich gemacht” sind – in diesem Fall wird das Verarbeitungsverbot von Art. 9 Abs. 1 DSGVO aufgehoben (Abs. 2 lit. e). Es ging dabei um eine Podiumsdiskussion, in der sich Max Schrems zu seiner Homosexualität geäussert hatte. Der EuGH sagt hier zunächst, lit. e sei als Ausnahme eng auszulegen – ein dogmatischer Unsinn, den man auch in der Schweiz häufig hört; Ausnahmen sind nicht eng, sondern schlicht nach den üblichen Methoden auszulegen.
Jedenfalls: Massgebend ist, ob die betroffene Person die Absicht hatte, die fraglichen personenbezogenen Daten ausdrücklich und durch eine eindeutige bestätigende Handlung der breiten Öffentlichkeit zugänglich zu machen (EuGH, C‑252/21, Rz. 77). Das war vorliegend “nicht auszuschliessen”:
78 Vorliegend geht aus der Vorlageentscheidung hervor, dass die […] Podiumsdiskussion, in deren Rahmen Herr Schrems sich zu seiner sexuellen Orientierung äußerte, der Öffentlichkeit, die innerhalb der Grenzen der verfügbaren Plätze Eintrittskarten zur Teilnahme erhalten konnte, zugänglich war, und dass die Podiumsdiskussion per Streaming übertragen wurde. Zudem soll eine Aufzeichnung der Podiumsdiskussion später als Podcast sowie auf dem Youtube-Kanal der Kommission veröffentlicht worden sein.
79 Unter diesen Umständen und vorbehaltlich der vom nationalen Gericht vorzunehmenden Überprüfungen ist nicht auszuschließen, dass die betreffende Äußerung, auch wenn sie Teil eines umfassenderen Redebeitrags war und nur zu dem Zweck erfolgte, die Verarbeitung personenbezogener Daten durch Facebook zu kritisieren, eine Handlung darstellt, mit der der Betroffene in voller Kenntnis der Sachlage seine sexuelle Orientierung im Sinne von Art. 9 Abs. 2 Buchst. e der DSGVO offensichtlich öffentlich gemacht hat.
Allerdings: Das heisst noch nicht, dass Meta auch andere Daten zur sexuellen Orientierung von Schrems verarbeiten darf. Die Rechtsgrundlage erfasse vielmehr ausschliesslich gerade die veröffentlichten Daten:
81 So liefe es zum einen dem eng auszulegenden Art. 9 Abs. 2 Buchst. e DSGVO zuwider, wenn sämtliche Daten über die sexuelle Orientierung einer Person bereits deswegen dem Schutz des Art. 9 Abs. 1 DSGVO entzogen wären, weil die betroffene Person personenbezogene Daten, die sich auf ihre sexuelle Orientierung beziehen, offensichtlich öffentlich gemacht hat.
82 Zum anderen lässt die Tatsache, dass eine Person Daten über ihre sexuelle Orientierung offensichtlich öffentlich gemacht hat, nicht die Feststellung zu, dass sie ihre Zustimmung im Sinne von Art. 9 Abs. 2 Buchst. a DSGVO dazu erteilt hat, dass der Betreiber einer Onlineplattform für ein soziales Netzwerk andere Daten über ihre sexuelle Orientierung verarbeitet.