Soziale Netzwerke dürfen nicht alle Daten ihrer Nutzer für Werbewecke verwenden. Außerdem ist eine zeitlich unbegrenzte Verwendung unzulässig. Dies entschied der EuGH in einem Verfahren des österreichischen Datenschutzaktivisten Maximilian Schrems gegen den Facebook-Mutterkonzern Meta. Für Meta ist es derweil nicht der einzige datenschutzrechtliche Verstoß in jüngster Zeit.
Worum es beim EuGH ging
Der österreichische Datenschutzaktivist Maximilian Schrems hatte gegen die Verarbeitung seiner personenbezogenen Daten, insbesondere der Daten zu seiner sexuellen Orientierung, durch den Facebook-Mutterkonzern Meta geklagt. Schrems hatte sich bei einer Podiumsdiskussion zu seiner sexuellen Orientierung geäußert. Meta nutzte diese Informationen für personalisierte Werbung auf seinem Netzwerk Facebook. Das Unternehmen nahm die öffentliche Aussage des Klägers zudem zum Anlass, um weitere Daten über die sexuelle Orientierung des Klägers zu verarbeiten, die die Plattform von Partnerwebsites erhalten hatte. Der Kläger gab an, auf Facebook Werbung erhalten zu haben, die sich gezielt an homosexuelle Personen richtete, ohne dass er auf seinem Profil eine entsprechende sexuelle Orientierung angegeben habe. Er klagte daraufhin vor den österreichischen Gerichten. Der österreichische Oberste Gerichtshof wandte sich schließlich an den EuGH, um im Wesentlichen zwei Auslegungsfragen betreffend die DSGVO klären zu lassen: Erstens sollte der EuGH klären, ob die DSGVO eine unbegrenzte Analyse und Verarbeitung personenbezogener Daten zu Werbezwecken zulässt. Zweitens wurde die Frage aufgeworfen, ob Facebook die Informationen über die sexuelle Orientierung des Klägers deshalb verarbeiten durfte, weil dieser die entsprechenden Informationen auf der Podiumsdiskussion öffentlich gemacht hat (EuGH, Urteil vom 04.10.2024 – C-446/21).
Keine zeitlich unbegrenzte Datenverarbeitung
Für die Beantwortung der ersten Frage verweist der EuGH auf den in der DSGVO festgelegten Grundsatz der „Datenminimierung“. Dieser verbiete es, dass sämtliche personenbezogene Daten, die ein Online-Werbeunternehmen erhält, „zeitlich unbegrenzt und ohne Unterscheidung nach ihrer Art für Zwecke der zielgerichteten Werbung aggregiert, analysiert und verarbeitet werden“. Die DSGVO selbst gibt hierfür keine konkrete Frist vor. Auch der EuGH stellt eine solche nicht auf. Er führt im Urteil aber aus, dass jedenfalls eine zeitlich unbegrenzte Verarbeitung von personenbezogenen Daten einen schweren Eingriff in die durch die Art. 7 und 8 der Charta der Grundrechte der Europäischen Union gewährleisteten Rechte auf Achtung des Privatlebens und auf den Schutz personenbezogener Daten darstelle.
Veröffentlichung von sexueller Orientierung rechtfertigt keine Verarbeitung weiterer Daten
In Bezug auf die zweite Frage führt der EuGH zunächst aus, dass Meta solche Informationen über die sexuelle Orientierung ausnahmsweise verarbeiten dürfe, die die betroffene Person von sich aus (etwa im Rahmen einer Podiumsdiskussion) veröffentlicht hat. Dies berechtige Facebook jedoch nicht dazu, weitere Daten über die sexuelle Orientierung zu verarbeiten. Die bei „offensichtlich öffentlich gemachten“ Daten eingreifende Ausnahme zum grundsätzlichen Verbot der Verarbeitung von Daten zur sexuellen Orientierung in Art. 9 Abs. 2 lit. e DSGVO sei eng auszulegen und beschränkte sich auf die konkret veröffentliche Information. Auch stelle die Veröffentlichung keine Einwilligung zur Verarbeitung weiterer Daten über die sexuelle Orientierung gemäß Art. 9 Abs. 2 lit. a DSGVO dar.Dies ist nicht der einzige Einschlag in Meta’s Darenpraxis in der letzten Zeit. Erst kürzlich ist der Facebook-Mutterkonzern Meta von der irischen Datenschutzkommission (DPC) mit einem Bußgeld in Höhe von 91 Millionen Euro belegt worden, da Meta Passwörter von Facebook- und Instagram-Nutzern unverschlüsselt auf eigenen Servern gespeichert hatte. Der vorliegende Fall könnte weitere Bußgelder und umfangreiche Sammelklagen gegen Meta auslösen.