EuGH, C/422/5 – Schrems c. Meta: Unver­hält­nis­mä­ssi­ge Ver­ar­bei­tung durch Meta; offen­sicht­lich öffent­lich gemach­te Daten

Der EuGH hat sich im Urteil C‑446/21 vom 4. Okto­ber 2024 mit der Fra­ge befasst, ob. Das Urteil betrifft einen wei­te­ren Rechts­streit von Max Schrems gegen Meta. Ein Kom­men­tar von noyb wur­de hier veröffentlicht.

Hin­ter­grund des Urteils ist die Tat­sa­che, dass Meta – Face­book – über ver­schie­de­ne Tools, nament­lich auf Dritt­sei­ten ein­ge­bun­de­ne Social Plug-Ins und Pixel, Anga­ben über Besu­che von Dritt­sei­ten erhe­ben kann. Dazu gehö­ren auch Sei­ten “poli­ti­scher Par­tei­en und […] Web­sites, die sich an ein homo­se­xu­el­les Publi­kum rich­ten”. Mit dem Besuch sol­cher Sei­ten durch Schrems hat Meta ent­spre­chen­de Daten über ihn erho­ben, und in der Fol­ge erhielt Schrems Wer­bung für eine öster­rei­chi­sche Poli­ti­ke­rin und Wer­bung, die auf ein homo­se­xu­el­les Publi­kum abzielte.

Zur Ver­hält­nis­mä­ssig­keit (und dem Kern­ge­halt des Grund­rechts auf Datenschutz)

Der EuGH äussert sich zuerst zum Ver­hält­nis­mä­ssig­keits­grund­satz (nach Art. 5 Abs. 1 lit. c und Art. 5 Abs. 2 DSGVO):

58 Jeden­falls ist eine zeit­lich unbe­grenz­te Spei­che­rung per­so­nen­be­zo­ge­ner Daten der Nut­zer einer Platt­form für ein sozia­les Netz­werk zu Zwecken der ziel­ge­rich­te­ten Wer­bung als unver­hält­nis­mä­ßi­ger Ein­griff in die Rech­te, die die DSGVO die­sen Nut­zern garan­tiert, anzusehen.

59 Was als Drit­tes den Umstand betrifft, dass die im Aus­gangs­ver­fah­ren frag­li­chen per­so­nen­be­zo­ge­nen Daten ohne Unter­schei­dung nach ihrer Art für Zwecke der ziel­ge­rich­te­ten Wer­bung erho­ben, agg­re­giert, ana­ly­siert und ver­ar­bei­tet wer­den, hat der Gerichts­hof bereits ent­schie­den, dass der Ver­ant­wort­li­che […] nicht all­ge­mein und unter­schieds­los per­so­nen­be­zo­ge­ne Daten erhe­ben darf und er von der Erhe­bung von Daten abse­hen muss, die für die Zwecke der Ver­ar­bei­tung nicht unbe­dingt not­wen­dig sind […].

60 Fer­ner muss der Ver­ant­wort­li­che gemäß Art. 25 Abs. 2 DSGVO geeig­ne­te Maß­nah­men tref­fen, die sicher­stel­len, dass durch Vor­ein­stel­lung nur per­so­nen­be­zo­ge­ne Daten, deren Ver­ar­bei­tung für den jewei­li­gen bestimm­ten Ver­ar­bei­tungs­zweck erfor­der­lich ist, ver­ar­bei­tet wer­den. Nach die­ser Bestim­mung gilt die­se Ver­pflich­tung u. a. für die Men­ge der erho­be­nen per­so­nen­be­zo­ge­nen Daten, den Umfang ihrer Ver­ar­bei­tung und ihre Zugänglichkeit.

Zwar ist es Sache des Ver­ant­wort­li­chen, sei­ne Daten­ver­ar­bei­tung ent­spre­chend zu begren­zen, was das natio­na­le Gericht zu prü­fen hat:

57 Daher ist es […] Sache des natio­na­len Gerichts, unter Berück­sich­ti­gung aller maß­geb­li­chen Umstän­de und unter Anwen­dung des Grund­sat­zes der Ver­hält­nis­mä­ßig­keit, auf den in Art. 5 Abs. 1 Buchst. c DSGVO hin­ge­wie­sen wird, zu beur­tei­len, ob die Dau­er der Spei­che­rung der per­so­nen­be­zo­ge­nen Daten durch den Ver­ant­wort­li­chen im Hin­blick auf das Ziel, die Schal­tung per­so­na­li­sier­ter Wer­bung zu ermög­li­chen, ange­mes­sen gerecht­fer­tigt ist.

Aber: Die Beschaf­fung von Daten der Nut­zer stel­le vor­lie­gend einen schwe­ren Ein­griff dar. Der EuGH ver­zich­tet daher dar­auf, die Abwä­gung dem Sach­ge­richt und damit der Argu­men­ta­ti­on des Ver­ant­wort­li­chen zu über­las­sen. Er lei­tet aus Art. 5 DSGVO viel­mehr ein per-se-Ver­bot der vor­lie­gen­den, in ver­schie­de­ner Hin­sicht beson­ders umfas­sen­den Ver­ar­bei­tung ab. Im Ergeb­nis sieht der EuGH hier also offen­bar den Kern­ge­halt der durch die Char­ta ver­brief­ten Grund­rech­te verletzt:

65 Nach alle­dem ist auf die zwei­te Fra­ge zu ant­wor­ten, dass Art. 5 Abs. 1 Buchst. c DSGVO dahin aus­zu­le­gen ist, dass der dar­in fest­ge­leg­te Grund­satz der „Daten­mi­ni­mie­rung“ dem ent­ge­gen­steht, dass sämt­li­che per­so­nen­be­zo­ge­nen Daten, die ein Ver­ant­wort­li­cher wie der Betrei­ber einer Online­platt­form für ein sozia­les Netz­werk von der betrof­fe­nen Per­son oder von Drit­ten erhält und die sowohl auf als auch außer­halb die­ser Platt­form erho­ben wur­den, zeit­lich unbe­grenzt und ohne Unter­schei­dung nach ihrer Art für Zwecke der ziel­ge­rich­te­ten Wer­bung agg­re­giert, ana­ly­siert und ver­ar­bei­tet werden.

Zu den “offen­sicht­lich öffent­lich gemach­ten” Daten

Der näch­ste Punkt betrifft die Fra­ge, wann beson­de­re Kate­go­rien per­so­nen­be­zo­ge­ner Daten “offen­sicht­lich öffent­lich gemacht” sind – in die­sem Fall wird das Ver­ar­bei­tungs­ver­bot von Art. 9 Abs. 1 DSGVO auf­ge­ho­ben (Abs. 2 lit. e). Es ging dabei um eine Podi­ums­dis­kus­si­on, in der sich Max Schrems zu sei­ner Homo­se­xua­li­tät geäu­ssert hat­te. Der EuGH sagt hier zunächst, lit. e sei als Aus­nah­me eng aus­zu­le­gen – ein dog­ma­ti­scher Unsinn, den man auch in der Schweiz häu­fig hört; Aus­nah­men sind nicht eng, son­dern schlicht nach den übli­chen Metho­den auszulegen.

Jeden­falls: Mass­ge­bend ist, ob die betrof­fe­ne Per­son die Absicht hat­te, die frag­li­chen per­so­nen­be­zo­ge­nen Daten aus­drück­lich und durch eine ein­deu­ti­ge bestä­ti­gen­de Hand­lung der brei­ten Öffent­lich­keit zugäng­lich zu machen (EuGH, C‑252/21, Rz. 77). Das war vor­lie­gend “nicht auszuschliessen”:

78 Vor­lie­gend geht aus der Vor­la­ge­ent­schei­dung her­vor, dass die […] Podi­ums­dis­kus­si­on, in deren Rah­men Herr Schrems sich zu sei­ner sexu­el­len Ori­en­tie­rung äußer­te, der Öffent­lich­keit, die inner­halb der Gren­zen der ver­füg­ba­ren Plät­ze Ein­tritts­kar­ten zur Teil­nah­me erhal­ten konn­te, zugäng­lich war, und dass die Podi­ums­dis­kus­si­on per Strea­ming über­tra­gen wur­de. Zudem soll eine Auf­zeich­nung der Podi­ums­dis­kus­si­on spä­ter als Pod­cast sowie auf dem You­tube-Kanal der Kom­mis­si­on ver­öf­fent­licht wor­den sein.

79 Unter die­sen Umstän­den und vor­be­halt­lich der vom natio­na­len Gericht vor­zu­neh­men­den Über­prü­fun­gen ist nicht aus­zu­schlie­ßen, dass die betref­fen­de Äuße­rung, auch wenn sie Teil eines umfas­sen­de­ren Rede­bei­trags war und nur zu dem Zweck erfolg­te, die Ver­ar­bei­tung per­so­nen­be­zo­ge­ner Daten durch Face­book zu kri­ti­sie­ren, eine Hand­lung dar­stellt, mit der der Betrof­fe­ne in vol­ler Kennt­nis der Sach­la­ge sei­ne sexu­el­le Ori­en­tie­rung im Sin­ne von Art. 9 Abs. 2 Buchst. e der DSGVO offen­sicht­lich öffent­lich gemacht hat.

Aller­dings: Das heisst noch nicht, dass Meta auch ande­re Daten zur sexu­el­len Ori­en­tie­rung von Schrems ver­ar­bei­ten darf. Die Rechts­grund­la­ge erfas­se viel­mehr aus­schliess­lich gera­de die ver­öf­fent­lich­ten Daten:

81 So lie­fe es zum einen dem eng aus­zu­le­gen­den Art. 9 Abs. 2 Buchst. e DSGVO zuwi­der, wenn sämt­li­che Daten über die sexu­el­le Ori­en­tie­rung einer Per­son bereits des­we­gen dem Schutz des Art. 9 Abs. 1 DSGVO ent­zo­gen wären, weil die betrof­fe­ne Per­son per­so­nen­be­zo­ge­ne Daten, die sich auf ihre sexu­el­le Ori­en­tie­rung bezie­hen, offen­sicht­lich öffent­lich gemacht hat.

82 Zum ande­ren lässt die Tat­sa­che, dass eine Per­son Daten über ihre sexu­el­le Ori­en­tie­rung offen­sicht­lich öffent­lich gemacht hat, nicht die Fest­stel­lung zu, dass sie ihre Zustim­mung im Sin­ne von Art. 9 Abs. 2 Buchst. a DSGVO dazu erteilt hat, dass der Betrei­ber einer Online­platt­form für ein sozia­les Netz­werk ande­re Daten über ihre sexu­el­le Ori­en­tie­rung verarbeitet.

Behörde

Gebiet

Themen

Ähnliche Beiträge