Urteil : EuGH setzt der Verarbeitung von Daten für personalisierte Werbung Grenzen („Schrems III“) : aus der RDV 1/2025, Seite 44 bis 47

Zur zweiten Frage:

Mit seiner zweiten Frage möchte das vorlegende Gericht im Wesentlichen wissen, ob Art. 5 Abs. 1 lit. c) DS-GVO dahin auszulegen ist, dass der darin festgelegte Grundsatz der „Datenminimierung“ dem entgegensteht, dass sämtliche personenbezogenen Daten, die ein Verantwortlicher wie der Betreiber einer Onlineplattform für ein soziales Netzwerk von der betroffenen Person oder von Dritten erhält und die sowohl auf als auch außerhalb dieser Plattform erhoben wurden, zeitlich unbegrenzt und ohne Unterscheidung nach ihrer Art für Zwecke der zielgerichteten Werbung aggregiert, analysiert und verarbeitet werden. […]

Als Erstes ist darauf hinzuweisen, dass das Ziel der DS-GVO, wie aus ihrem Art. 1 und aus ihren ErwGn 1 und 10 hervorgeht, insbesondere darin besteht, ein hohes Niveau des Schutzes der Grundrechte und Grundfreiheiten natürlicher Personen – insbesondere ihres in Art.  8 Abs.  1 der Charta und in Art.  16 Abs. 1 AEUV verankerten Rechts auf Privatleben – bei der Verarbeitung personenbezogener Daten zu gewährleisten (Urt. v. 07.03.2024, IAB Europe, C-604/22, EU:C:2024:214, Rn. 53 und die dort angeführte Rechtsprechung).

Zu diesem Zweck enthalten die Kapitel II und III der Verordnung die Grundsätze für die Verarbeitung personenbezogener Daten bzw. die Rechte der betroffenen Person, die bei jeder Verarbeitung personenbezogener Daten beachtet werden müssen. Vorbehaltlich der in Art. 23 der Verordnung vorgesehenen Ausnahmen muss jede Verarbeitung personenbezogener Daten insbesondere zum einen im Einklang mit den in Art. 5 der Verordnung aufgestellten Grundsätzen zur Verarbeitung solcher Daten im Einklang stehen und die in Art. 6 der Verordnung genannten Rechtmäßigkeitsvoraussetzungen erfüllen sowie zum anderen die in den Art. 12 bis 22 DS-GVO genannten Rechte der betroffenen Person beachten (Urt. v. 11.07.2024, Meta Platforms Ireland [Verbandsklage], C-757/22, EU:C:2024:598, Rn. 49 und die dort angeführte Rechtsprechung).

Wie der Gerichtshof bereits klargestellt hat, gelten die in Art.  5 DS-GVO niedergelegten Grundsätze für die Verarbeitung personenbezogener Daten kumulativ (Urt. v. 20.10.2022, Digi, C-77/21, EU:C:2022:805, Rn. 47).

Gemäß Art.  5 Abs.  1 lit.  a) DS-GVO müssen personenbezogene Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden. Diese Daten müssen gemäß Art. 5 Abs. 1 lit. b) DS-GVO für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden.

Des Weiteren bestimmt Art. 5 Abs. 1 lit. c) DS-GVO, in dem der sogenannte Grundsatz der „Datenminimierung“ verankert ist, dass personenbezogene Daten „dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein“ müssen (Urt. v. 04.07.2023, Meta Platforms u.a. [Allgemeine Nutzungsbedingungen eines sozialen Netzwerks], C-252/21, Rn.  109 sowie die dort angeführte Rechtsprechung).

Mit diesem Grundsatz wird, wie der Gerichtshof bereits entschieden hat, der Grundsatz der Verhältnismäßigkeit zum Ausdruck gebracht (vgl. in diesem Sinne Urt. v. 22.06.2021, Latvijas Republikas Saeima [Strafpunkte], C-439/19, EU:C:2021:504, Rn. 98 und die dort angeführte Rechtsprechung, sowie vom 30.01.2024, Direktor na Glavna direktsia „Natsionalna politsia“ pri MVR – Sofia, C-118/22, EU:C:2024:97, Rn. 41).

Gemäß dem in Art. 5 Abs. 2 DS-GVO genannten Grundsatz der Rechenschaftspflicht muss der Verantwortliche nachweisen können, dass die personenbezogenen Daten unter Einhaltung der in Abs.  1 dieses Artikels genannten Grundsätze erhoben und verarbeitet werden (vgl. in diesem Sinne Urt. v. 20.10.2022, Digi, C-77/21, EU:C:2022:805, Rn. 24). Außerdem obliegt es nach Art. 13 Abs. 1 lit. c) dieser Verordnung, wenn personenbezogene Daten bei der betroffenen Person erhoben werden, dem Verantwortlichen, diese Person über die Zwecke, für die diese Daten verarbeitet werden sollen, sowie über die Rechtsgrundlage für die Verarbeitung zu informieren (Urt. v. 04.07.2023, Meta Platforms u.a. [Allgemeine Nutzungsbedingungen eines sozialen Netzwerks], C-252/21, Rn. 95).

Als Zweites ist zur zeitlichen Begrenzung einer Verarbeitung personenbezogener Daten wie der Verarbeitung, um die es im Ausgangsverfahren geht, darauf hinzuweisen, dass der Gerichtshof bereits entschieden hat, dass der Verantwortliche unter Berücksichtigung des Grundsatzes der Datenminimierung verpflichtet ist, den Zeitraum der Erhebung der betreffenden personenbezogenen Daten auf das im Hinblick auf den Zweck der beabsichtigten Verarbeitung absolut Notwendige zu beschränken (Urt. v. 24.02.2022, Valsts ieņēmumu dienests [Verarbeitung personenbezogener Daten für steuerliche Zwecke], C-175/20, EU:C:2022:124, Rn. 79).

Die Folgen für die Interessen und das Privatleben der betroffenen Person sind nämlich umso schwerer und die Anforderungen an die Rechtmäßigkeit der Speicherung der betreffenden Daten sind umso höher, je länger diese gespeichert werden (vgl. in diesem Sinne Urt. v. 07.12.2023, SCHUFA Holding [Restschuldbefreiung], C-26/22 und C-64/22, EU:C:2023:958, Rn. 95).

Des Weiteren ist darauf hinzuweisen, dass gemäß Art. 5 Abs.  1 lit.  e) DS-GVO die personenbezogenen Daten in einer Form gespeichert werden müssen, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist.

Somit ist diesem Artikel eindeutig zu entnehmen, dass der in ihm verankerte Grundsatz der „Speicherbegrenzung“ verlangt, dass der Verantwortliche in der Lage ist, gemäß dem Grundsatz der Rechenschaftspflicht, auf den in Rn. 51 des vorliegenden Urteils hingewiesen worden ist, nachzuweisen, dass die personenbezogenen Daten nur so lange gespeichert werden, wie es für die Erreichung der Zwecke, für die sie erhoben oder weiterverarbeitet wurden, erforderlich ist (vgl. in diesem Sinne Urt. v. 20.10.2022, Digi, C-77/21, EU:C:2022:805, Rn. 53).

Daraus ergibt sich, wie der Gerichtshof bereits entschieden hat, dass selbst eine ursprünglich zulässige Verarbeitung von Daten im Lauf der Zeit gegen die DS-GVO verstoßen kann, wenn diese Daten für die Erreichung der Zwecke, für die sie erhoben oder später verarbeitet wurden, nicht mehr erforderlich sind, und dass diese Daten gelöscht werden müssen, wenn diese Zwecke erreicht sind (vgl. in diesem Sinne Urt. v. 20.10.2022, Digi, C-77/21, EU:C:2022:805, Rn.  54 und die dort angeführte Rechtsprechung).

Daher ist es, wie der Generalanwalt in Nr.  22 seiner Schlussanträge im Wesentlichen ausgeführt hat, Sache des nationalen Gerichts, unter Berücksichtigung aller maßgeblichen Umstände und unter Anwendung des Grundsatzes der Verhältnismäßigkeit, auf den in Art. 5 Abs. 1 lit. c) DS-GVO hingewiesen wird, zu beurteilen, ob die Dauer der Speicherung der personenbezogenen Daten durch den Verantwortlichen im Hinblick auf das Ziel, die Schaltung personalisierter Werbung zu ermöglichen, angemessen gerechtfertigt ist.

Jedenfalls ist eine zeitlich unbegrenzte Speicherung personenbezogener Daten der Nutzer einer Plattform für ein soziales Netzwerk zu Zwecken der zielgerichteten Werbung als unverhältnismäßiger Eingriff in die Rechte, die die DS-GVO diesen Nutzern garantiert, anzusehen.

Was als Drittes den Umstand betrifft, dass die im Ausgangsverfahren fraglichen personenbezogenen Daten ohne Unterscheidung nach ihrer Art für Zwecke der zielgerichteten Werbung erhoben, aggregiert, analysiert und verarbeitet werden, hat der Gerichtshof bereits entschieden, dass der Verantwortliche in Anbetracht des in Art. 5 Abs. 1 lit. c) DS-GVO festgelegten Grundsatzes der Datenminimierung nicht allgemein und unterschiedslos personenbezogene Daten erheben darf und er von der Erhebung von Daten absehen muss, die für die Zwecke der Verarbeitung nicht unbedingt notwendig sind (Urt. v. 24.02.2022, Valsts ieņēmumu dienests [Verarbeitung personenbezogener Daten für steuerliche Zwecke], C-175/20, EU:C:2022:124, Rn. 74).

Ferner muss der Verantwortliche gemäß Art.  25 Abs.  2 DS-GVO geeignete Maßnahmen treffen, die sicherstellen, dass durch Voreinstellung nur personenbezogene Daten, deren Verarbeitung für den jeweiligen bestimmten Verarbeitungszweck erforderlich ist, verarbeitet werden. Nach dieser Bestimmung gilt diese Verpflichtung u.a. für die Menge der erhobenen personenbezogenen Daten, den Umfang ihrer Verarbeitung und ihre Zugänglichkeit.

Vorliegend geht aus der Vorlageentscheidung hervor, dass Meta Platforms Ireland die personenbezogenen Daten der Nutzer von Facebook, darunter Herrn Schrems, über deren Tätigkeiten sowohl innerhalb als auch außerhalb dieses sozialen Netzwerks, darunter u.a. Daten über den Abruf der Onlineplattform sowie von Websites und Anwendungen Dritter, erhebt und auch das Navigationsverhalten der Nutzer auf diesen Seiten mittels Social Plug-ins und Pixels, die auf den betreffenden Websites eingefügt werden, verfolgt.

Wie der Gerichtshof bereits entschieden hat, ist eine solche Verarbeitung besonders umfassend, da sie potenziell unbegrenzte Daten betrifft und erhebliche Auswirkungen auf den Nutzer hat, dessen Onlineaktivitäten zum großen Teil, wenn nicht sogar fast vollständig, von Meta Platforms Ireland aufgezeichnet werden, was bei ihm das Gefühl auslösen kann, dass sein Privatleben kontinuierlich überwacht wird (Urt. v. 04.07.2023, Meta Platforms u.a. [Allgemeine Nutzungsbedingungen eines sozialen Netzwerks], C-252/21, Rn. 118).

Unter diesen Umständen stellt die im Ausgangsverfahren in Rede stehende Datenverarbeitung einen schweren Eingriff in die Grundrechte der betroffenen Personen dar, insbesondere in ihre durch die Art. 7 und 8 der Charta der Grundrechte der Europäischen Union gewährleisteten Rechte auf Achtung des Privatlebens und auf den Schutz personenbezogener Daten, der vorbehaltlich der vom vorlegenden Gericht vorzunehmenden Überprüfungen im Hinblick auf das Ziel, die Schaltung gezielter Werbung zu ermöglichen, nicht angemessen gerechtfertigt erscheint.

Jedenfalls erscheint die unterschiedslose Verwendung sämtlicher personenbezogener Daten, die von einer Plattform für ein soziales Netzwerk zu Werbezwecken gespeichert werden, unabhängig vom Sensibilitätsgrad dieser Daten nicht als ein verhältnismäßiger Eingriff in die Rechte, die den Nutzern dieser Plattform durch die DS-GVO garantiert werden.

Nach alledem ist auf die zweite Frage zu antworten, dass Art. 5 Abs. 1 lit. c) DS-GVO dahin auszulegen ist, dass der darin festgelegte Grundsatz der „Datenminimierung“ dem entgegensteht, dass sämtliche personenbezogenen Daten, die ein Verantwortlicher wie der Betreiber einer Onlineplattform für ein soziales Netzwerk von der betroffenen Person oder von Dritten erhält und die sowohl auf als auch außerhalb dieser Plattform erhoben wurden, zeitlich unbegrenzt und ohne Unterscheidung nach ihrer Art für Zwecke der zielgerichteten Werbung aggregiert, analysiert und verarbeitet werden.

Zur vierten Frage:

Mit der vierten Frage möchte das vorlegende Gericht im Wesentlichen wissen, ob Art. 9 Abs. 2 lit. e) DS-GVO dahin auszulegen ist, dass der Umstand, dass sich eine Person bei einer öffentlich zugänglichen Podiumsdiskussion zu ihrer sexuellen Orientierung geäußert hat, dem Betreiber einer Onlineplattform für ein soziales Netzwerk gestattet, andere Daten über die sexuelle Orientierung dieser Person zu verarbeiten, die er gegebenenfalls außerhalb dieser Plattform von Anwendungen und Websites dritter Partner im Hinblick darauf erhalten hat, sie zu aggregieren und zu analysieren, um dieser Person personalisierte Werbung anzubieten.

Insbesondere möchte das vorlegende Gericht wissen, ob Herr Schrems aufgrund der Äußerung, die er bei einer Podiumsdiskussion getätigt hat, keinen Anspruch mehr auf den durch Art. 9 Abs. 1 DS-GVO gewährten Schutz hat und ob Facebook folglich berechtigt war, andere Daten über seine sexuelle Orientierung zu verarbeiten.

Zunächst ist festzustellen, dass die vom vorlegenden Gericht angeführte Podiumsdiskussion, in deren Rahmen Herr Schrems sich zu seiner sexuellen Orientierung äußerte, am 12.02.2019 stattfand und, wie aus der Vorlageentscheidung hervorgeht, Meta Platforms Ireland zu diesem Zeitpunkt bereits personenbezogene Daten zur sexuellen Orientierung von Herrn Schrems verarbeitete, so dass diese Äußerung nach dem Beginn einer solchen Datenverarbeitung erfolgte.

Daraus folgt, dass die vierte Frage des vorlegenden Gerichts so zu verstehen ist, dass sie nur etwaige Verarbeitungen von Daten über die sexuelle Orientierung von Herrn Schrems betrifft, die Meta Platforms Ireland nach dem 12.02.2019 vorgenommen haben soll. Es ist jedoch gemäß der in Rn. 42 des vorliegenden Urteils angeführten Rechtsprechung Sache des vorlegenden Gerichts, zu prüfen, ob nach diesem Zeitpunkt solche Verarbeitungen tatsächlich stattgefunden haben.

Zur Beantwortung dieser Frage ist als Erstes darauf hinzuweisen, dass nach dem 51. ErwG der DS-GVO personenbezogene Daten, die ihrem Wesen nach hinsichtlich der Grundrechte und Grundfreiheiten besonders sensibel sind, einen besonderen Schutz verdienen, da im Zusammenhang mit ihrer Verarbeitung erhebliche Risiken für die Grundrechte und Grundfreiheiten auftreten können. Ferner wird in diesem ErwG ausgeführt, dass derartige personenbezogene Daten nicht verarbeitet werden sollten, es sei denn, die Verarbeitung ist in den in dieser Verordnung dargelegten besonderen Fällen zulässig.

In diesem Zusammenhang stellt Art. 9 Abs. 1 DS-GVO den Grundsatz auf, dass die Verarbeitung der in dieser Vorschrift genannten besonderen Kategorien personenbezogener Daten untersagt ist. Dabei handelt es sich u.a. um Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen oder religiöse Überzeugungen hervorgehen, sowie um Gesundheitsdaten und Daten zum Sexualleben oder zur sexuellen Orientierung einer natürlichen Person.

Für die Zwecke der Anwendung von Art. 9 Abs. 1 DS-GVO ist im Fall einer Verarbeitung personenbezogener Daten durch den Betreiber eines sozialen Online-Netzwerks zu prüfen, ob aus diesen Daten Informationen hervorgehen können, die unter eine der in dieser Bestimmung genannten Kategorien fallen, unabhängig davon, ob diese Informationen einen Nutzer dieses Netzwerks oder eine andere natürliche Person betreffen. Ist dies der Fall, ist eine solche Verarbeitung personenbezogener Daten vorbehaltlich der in Art.  9 Abs.  2 DS-GVO vorgesehenen Ausnahmen untersagt.

Wie der Gerichtshof bereits entschieden hat, gilt dieses in Art. 9 Abs. 1 DS-GVO vorgesehene grundsätzliche Verbot unabhängig davon, ob die aus der fraglichen Verarbeitung hervorgegangene Information richtig ist oder nicht und ob der Verantwortliche mit dem Ziel handelt, Informationen zu erhalten, die unter eine der in dieser Bestimmung genannten besonderen Kategorien fallen. In Anbetracht der erheblichen Risiken für die Grundfreiheiten und Grundrechte der betroffenen Personen, die sich aus jeder Verarbeitung personenbezogener Daten ergeben, die unter eine der in Art. 9 Abs. 1 DS-GVO genannten Kategorien fallen, zielt diese Vorschrift nämlich darauf ab, solche Datenverarbeitungen unabhängig von ihrem erklärten Zweck zu verbieten (Urt. v. 04.07.2023, Meta Platforms u.a. [Allgemeine Nutzungsbedingungen eines sozialen Netzwerks], C 252/21, Rn. 69 und 70).

Zwar ist nach Art. 9 Abs. 1 DS-GVO die Verarbeitung von Daten u.a. zur sexuellen Orientierung grundsätzlich untersagt, Art. 9 Abs. 2 DS-GVO sieht allerdings in seinen lit. a) bis j) zehn Ausnahmen vor, die voneinander unabhängig sind und daher autonom zu beurteilen sind. Folglich ist ein Verantwortlicher durch die Tatsache, dass die Voraussetzungen für die Anwendung einer der in Art.  9 Abs.  2 aufgeführten Ausnahmen nicht erfüllt sind, nicht daran gehindert, sich auf eine andere in dieser Bestimmung genannte Ausnahme zu berufen (Urt. v. 21.12.2023, Krankenversicherung Nordrhein, C 667/21, EU:C:2023:1022, Rn. 47).

Insbesondere zur Ausnahme des Art. 9 Abs. 2 lit. e) DS-GVO ist darauf hinzuweisen, dass nach dieser Bestimmung das in Art. 9 Abs. 1 DS-GVO aufgestellte grundsätzliche Verbot jeder Verarbeitung besonderer Kategorien personenbezogener Daten nicht gilt, wenn sich die Verarbeitung auf personenbezogene Daten bezieht, die „die betroffene Person offensichtlich öffentlich gemacht hat“.

Da Art. 9 Abs. 2 lit. e) DS-GVO eine Ausnahme vom Grundsatz des Verbots der Verarbeitung besonderer Kategorien personenbezogener Daten vorsieht, ist er eng auszulegen (vgl. in diesem Sinne Urt. v. 04.07.2023, Meta Platforms u.a. [Allgemeine Nutzungsbedingungen eines sozialen Netzwerks], C 252/21, Rn. 76 und die dort angeführte Rechtsprechung).

Folglich ist für die Zwecke der Anwendung der in Art.  9 Abs. 2 lit. e) DS-GVO vorgesehenen Ausnahme zu prüfen, ob die betroffene Person die Absicht hatte, die fraglichen personenbezogenen Daten ausdrücklich und durch eine eindeutige bestätigende Handlung der breiten Öffentlichkeit zugänglich zu machen (Urt. v. 04.07.2023, Meta Platforms u.a. [Allgemeine Nutzungsbedingungen eines sozialen Netzwerks], C 252/21, Rn. 77).

Vorliegend geht aus der Vorlageentscheidung hervor, dass die am 12.02.2019 in Wien veranstaltete Podiumsdiskussion, in deren Rahmen Herr Schrems sich zu seiner sexuellen Orientierung äußerte, der Öffentlichkeit, die innerhalb der Grenzen der verfügbaren Plätze Eintrittskarten zur Teilnahme erhalten konnte, zugänglich war, und dass die Podiumsdiskussion per Streaming übertragen wurde. Zudem soll eine Aufzeichnung der Podiumsdiskussion später als Podcast sowie auf dem Youtube-Kanal der Kommission veröffentlicht worden sein.

Unter diesen Umständen und vorbehaltlich der vom nationalen Gericht vorzunehmenden Überprüfungen ist nicht auszuschließen, dass die betreffende Äußerung, auch wenn sie Teil eines umfassenderen Redebeitrags war und nur zu dem Zweck erfolgte, die Verarbeitung personenbezogener Daten durch Facebook zu kritisieren, eine Handlung darstellt, mit der der Betroffene in voller Kenntnis der Sachlage seine sexuelle Orientierung im Sinne von Art. 9 Abs. 2 lit. e) der DS-GVO offensichtlich öffentlich gemacht hat.

Als Zweites führt zwar der Umstand, dass die betroffene Person Daten zu ihrer sexuellen Orientierung offensichtlich öffentlich gemacht hat, dazu, dass diese Daten abweichend von dem Verbot gemäß Art. 9 Abs. 1 DS-GVO und im Einklang mit den Anforderungen, die sich aus den anderen Bestimmungen der DS-GVO ergeben, verarbeitet werden können (vgl. in diesem Sinne Urt. v. 24.09.2019, GC u.a. [Auslistung sensibler Daten], C 136/17, EU:C:2019:773, Rn.  64). Entgegen dem Vorbringen von Meta Platforms Ireland berechtigt die ser Umstand allein jedoch nicht, andere personenbezogene Daten zu verarbeiten, die sich auf die sexuelle Orientierung dieser Person beziehen.

So liefe es zum einen dem eng auszulegenden Art. 9 Abs. 2 lit. e) DS-GVO zuwider, wenn sämtliche Daten über die sexuelle Orientierung einer Person bereits deswegen dem Schutz des Art. 9 Abs. 1 DS-GVO entzogen wären, weil die betroffene Person personenbezogene Daten, die sich auf ihre sexuelle Orientierung beziehen, offensichtlich öffentlich gemacht hat.

Zum anderen lässt die Tatsache, dass eine Person Daten über ihre sexuelle Orientierung offensichtlich öffentlich gemacht hat, nicht die Feststellung zu, dass sie ihre Zustimmung im Sinne von Art. 9 Abs. 2 lit. a) DS-GVO dazu erteilt hat, dass der Betreiber einer Onlineplattform für ein soziales Netzwerk andere Daten über ihre sexuelle Orientierung verarbeitet.

Nach alledem ist auf die vierte Frage zu antworten, dass Art. 9 Abs. 2 lit. e) DS-GVO dahin auszulegen ist, dass der Umstand, dass sich eine Person bei einer öffentlich zugänglichen Podiumsdiskussion zu ihrer sexuellen Orientierung geäußert hat, dem Betreiber einer Onlineplattform für ein soziales Netzwerk nicht gestattet, andere Daten über die sexuelle Orientierung dieser Person zu verarbeiten, die er gegebenenfalls außerhalb dieser Plattform von Anwendungen und Websites dritter Partner im Hinblick darauf erhalten hat, sie zu aggregieren und zu analysieren, um dieser Person personalisierte Werbung anzubieten.

Zur Vertiefung

Reif, Praxisfälle zum Datenschutzrecht XXVIII: Die neue Gleichstellungsbeauftragte – Die Rechtsgrundlagen der Verarbeitung von Daten nach Art. 9 DS-GVO= RDV 3/2024

Reif, Praxisfälle zum Datenschutzrecht XVI: Gewinnung von Neukunden mittels personalisierter Werbung = RDV 3/2022