Ein soziales Online-Netzwerk wie Facebook darf nicht sämtliche personenbezogenen Daten, die es für Zwecke der zielgerichteten Werbung erhalten hat, zeitlich unbegrenzt und ohne Unterscheidung nach ihrer Art verwenden.
Das entschied nunmehr der Gerichtshof der Europäischen Union – wieder einmal auf ein von Maximilian Schrems initiierten Verfahren.
Dieser nahm im Rahmen einer öffentlich zugänglichen Podiumsdiskussion, an der er in Wien am 12. Februar 2019 auf Einladung der Vertretung der Europäischen Kommission in Österreich teilnahm, auf seine sexuelle Orientierung Bezug. Es ging ihm darum, die Verarbeitung personenbezogener Daten durch Facebook, einschließlich der Verarbeitung seiner eigenen Daten, zu kritisieren. Diese Podiumsdiskussion wurde per Streaming übertragen, und später wurde eine Aufzeichnung als Podcast sowie auf dem YouTube-Kanal der Kommission veröffentlicht. Herr Schrems hat jedoch diesen Gesichtspunkt seines Privatlebens in seinem Facebook-Profil nie angegeben.
Der Umstand, dass Maximilian Schrems bei einer öffentlichen Podiumsdiskussion seine sexuelle Orientierung mitgeteilt hat, gestattet dem Betreiber einer Online-Plattform für ein soziales Netzwerk nicht, so der Gerichtshof der Europäischen Union, andere Daten über die sexuelle Orientierung von Herrn Schrems zu verarbeiten, die er gegebenenfalls außerhalb dieser Plattform im Hinblick darauf erhalten hat, sie zu aggregieren und zu analysieren, um Herrn Schrems personalisierte Werbung anzubieten.
Maximilian Schrems wendet sich vor den österreichischen Gerichten gegen die seiner Ansicht nach rechtswidrige Verarbeitung seiner personenbezogenen Daten durch Meta Platforms Ireland im Rahmen des sozialen Online-Netzwerks Facebook. Dabei geht es u. a. um Daten zu seiner sexuellen Orientierung.
Meta Platforms erhebt personenbezogene Daten der Nutzer von Facebook, darunter Herr Schrems, über deren Tätigkeiten innerhalb und außerhalb dieses sozialen Netzwerks. Dazu gehören u. a. Daten über den Abruf der Online-Plattform sowie von Websites und Anwendungen Dritter. Zu diesem Zweck verwendet Meta Platforms auf den betreffenden Websites eingebaute „Cookies“, „Social Plugins“ und „Pixel“:
- Cookies, die auf dem verwendeten Gerät installiert sind, erlauben Meta, die Quelle der Aufrufe zuzuordnen.
- Die „Social Plugins“ von Facebook werden von dritten Betreibern von Websites in ihre Seiten „eingebaut“. Am weitesten verbreitet ist die Schaltfläche „Gefällt mir“ von Facebook. Bei jedem Abruf von Websites, die diese Schaltfläche enthalten, werden die auf dem verwendeten Gerät hinterlegten Cookies, die URL der besuchten Seite und weitere Daten wie IP-Adressen und Zeitangaben an Meta übertragen. Zu diesem Zweck ist es nicht erforderlich, dass der Nutzer die Schaltfläche „Gefällt mir“ angeklickt hat, da die bloße Betrachtung einer Website, die ein solches Plugin enthält, ausreicht, um diese Daten anschließend an diese Gesellschaft zu übermitteln.
- „Pixel“ können, ebenso wie Social Plugins, in die Seiten von Websites integriert werden und ermöglichen es, Informationen über die Nutzer zu erheben, die diese Seiten besucht haben, insbesondere um die Werbung auf diesen Seiten zu messen und zu optimieren. Beispielsweise können Betreiber von Websites, indem sie einen Facebook-Pixel in ihre eigene Website integrieren, von Meta Berichte darüber erhalten, wie viele Personen ihre Werbung auf Facebook gesehen haben und sich dann anschließend mit ihrer eigenen Website verbunden haben, um diese zu besuchen oder einen Kauf zu tätigen.
Meta Platforms kann anhand der ihr zur Verfügung stehenden Daten auch das Interesse von Schrems an sensiblen Themen wie sexuelle Orientierung erkennen, was es ihr ermöglicht, hierzu zielgerichtete Werbung an ihn zu richten. Seit dem 6. November 2023 sind die Dienste von Facebook nur noch für die Nutzer kostenlos, die zugestimmt haben, dass ihre personenbezogenen Daten erhoben und verwendet werden, um personalisierte Werbung an sie zu richten. Nutzer haben seitdem die Möglichkeit, ein kostenpflichtiges Abonnement abzuschließen, um Zugang zu einer Version dieser Dienste ohne zielgerichtete Werbung zu erhalten.
Somit stellte sich im zugrunde liegenden Gerichtsverfahren die Frage, ob Maximillian Schrems ihn betreffende sensible personenbezogene Daten dadurch offensichtlich öffentlich gemacht hat, dass er bei einer öffentlichen Podiumsdiskussion die Tatsache, dass er homosexuell sei, mitgeteilt und somit die Verarbeitung dieser Daten gemäß Art. 9 Abs. 2 Buchst. e der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, DSGVO) genehmigt hat.
In dem inzwischen bei ihm anhängigen Verfahren hat der österreichische Oberste Gerichtshof zunächst ein Vorabentscheidungsersuchen an den Gerichtshof der Europäischen Union zur Zuständigkeit der österreichischen Gerichte gerichtet, was zum Urteil des Unionsgerichtshofs vom 25. Januar 20181, worin eine solche Zuständigkeit bejaht wurde. In diesem Kontext richtete der österreichische Oberste Gerichtshof nunmehr ein zweites Vorabentscheidungsersuchen an den Gerichtshof der Europäischen zur Auslegung der Datenschutz-Grundverordnung. Im Hinblick auf das Urteil des Unionsgerichtshofs vom 4. Juli 20232 hat der österreichische Oberste Gerichtshof einen Teil seiner Fragen zurückgezogen, auf die restlichen Vorlagefragen hat nun der Unionsgerichtshof geantwortet:
Erstens antwortet der Unionsgerichtshof, dass der in der DSGVO festgelegte Grundsatz der „Datenminimierung“ dem entgegensteht, dass sämtliche personenbezogenen Daten, die ein Verantwortlicher wie der Betreiber einer Online-Plattform für ein soziales Netzwerk von der betroffenen Person oder von Dritten erhält und die sowohl auf als auch außerhalb dieser Plattform erhoben wurden, zeitlich unbegrenzt und ohne Unterscheidung nach ihrer Art für Zwecke der zielgerichteten Werbung aggregiert, analysiert und verarbeitet werden.
Zweitens ist es nach Auffassung des Unionsgerichtshofs nicht ausgeschlossen, dass Herr Schrems durch seine Aussage bei der fraglichen Podiumsdiskussion seine sexuelle Orientierung offensichtlich öffentlich gemacht hat. Es ist, so der Unionsgerichtshof, Sache des österreichischen Obersten Gerichtshofs, dies zu beurteilen.
Der Umstand, dass eine betroffene Person Daten zu ihrer sexuellen Orientierung offensichtlich öffentlich gemacht hat, führt dazu, dass diese Daten unter Einhaltung der Vorschriften der DSGVO verarbeitet werden können. Dieser Umstand allein berechtigt jedoch nicht, andere personenbezogene Daten zu verarbeiten, die sich auf die sexuelle Orientierung dieser Person beziehen.
Somit gestattet der Umstand, dass sich eine Person bei einer öffentlichen Podiumsdiskussion zu ihrer sexuellen Orientierung geäußert hat, dem Betreiber einer Online-Plattform für ein soziales Netzwerk nicht, andere Daten über ihre sexuelle Orientierung zu verarbeiten, die er gegebenenfalls außerhalb dieser Plattform von Anwendungen und Websites dritter Partner im Hinblick darauf erhalten hat, sie zu aggregieren und zu analysieren, um dieser Person personalisierte Werbung anzubieten.
Gerichtshof der Europäischen Union, Urteil vom 4.101.2024 – C -446/21