Die Facebook-Nutzungsbedingungen und die Datenverarbeitung auf der Plattform werden abermals den EuGH beschäftigen: Der österreichische Oberste Gerichtshof (OGH) legt dem EuGH eine Reihe von Fragen zu der Vereinbarkeit der Nutzungsbedingungen der Plattform mit der DSGVO vor. Die Beantwortung der Vorlagefragen durch den EuGH könnte grundlegende Bedeutung auch für eine Vielzahl anderer Bereiche des Datenschutzes zukommen. Im Kern steht auf dem Prüfstand, welche Verarbeitungsvorgänge Gegenstand eines Vertrages sein können und wann eine Einwilligung alternativlos ist. Wir stellen die Hintergründe und Aussichten des Verfahrens in diesem Beitrag vor.
In den letzten Jahren ist vielen der Name Maximilian Schrems ein Begriff geworden: Der österreichische Jurist und Datenschützer ist vor allem wegen seiner Klagen gegen die Datenverarbeitungspraxis des Internetriesen Facebook bekannt – über die sogenannten Schrems I und Schrems II-Urteile berichteten wir unter anderem in unseren Newslettern aus Januar 2020 sowie August 2020. Die Folgen dieser Entscheidungen sind in der Praxis umfassend spürbar: Der Datentransfer in die USA ist nur noch unter erschwerten Bedingungen, wenn überhaupt, datenschutzkonform möglich. Jüngst richtete Schrems mit der Organisation NOYB das Augenmerk auch auf die Ausgestaltung von Cookie-Bannern – darüber berichteten wird im Juni 2021.
In einem weiteren Verfahren vor österreichischen Gerichten griff Maximilian Schrems, gemeinsam mit seiner Datenschutz-NGO NOYB, umfassend die Datenverarbeitung der Nutzerdaten auf Facebook an. Wie das online-Magazin heise.de erklärt ging es ganz grundsätzlich um die Frage, ob Facebook bei der Verarbeitung von Nutzerdaten gegen die Vorgaben der DSGVO verstößt. Nun hat der österreichische Oberste Gerichtshof (OGH) einen vorläufigen Schlusspunkt in diesem Verfahren gesetzt: Zum einem wurde Maximilian Schrems ein „symbolisches Schmerzensgeld“ von 500 Euro zuerkannt, zum anderen wurden dem EuGH eine Reihe von Fragen vorgelegt (Rechtssache 6 Ob 56/21k – auszugsweise Veröffentlichung durch NOYB – Vorlagefragen, Entscheidung über das Schmerzensgeld).
OGH legt Fragen dem EuGH zur Klärung vor – Einwilligung oder Nutzungsvertrag
Kernanliegen des OGH ist die Klärung der Auslegung der Nutzungsbedingungen von Facebook im Verhältnis zur DSGVO. Wie NOYB auf ihrer Website darstellt, interpretiert Facebook nämlich seit der Anwendbarkeit der DSGVO im Mai 2018 die „Einwilligung“ ihrer Nutzer in die Datenverarbeitung als Abschluss eines Vertrages – mit der Konsequenz, dass die Nutzer aus Sicht von Facebook personalisierte Werbung „bestellen“ würden. Weil nun ein Vertrag zwischen Facebook und den Nutzern vorläge, gelten die strengen Anforderungen, die die DSGVO an die Einwilligung stellt, nicht. Insbesondere die in Art. 6 Abs. 1 UAbs. 1 lit. a, Art. 7 DSGVO aufgestellten Erfordernisse der Freiwilligkeit, Informiertheit und Bestimmtheit der Einwilligung müssten deshalb nicht mehr beachtet werden.
Maximilian Schrems und NOYB zweifeln, ob dies mit der DSGVO vereinbar ist und kritisieren, dass Facebook mit dieser Taktik die DSGVO umgeht. Der OGH teilt diese Zweifel und gibt die Frage an den EuGH weiter. Dieser wird nun zu klären haben, ob die Verarbeitung von personenbezogenen Daten zu Zwecken der personalisierten Werbung auf Plattformen nur auf der Grundlage einer Einwilligung im Sinne des Art. 6 Abs. 1 UAbs. 1 lit. a DSGVO erfolgen darf oder auch ein Vertrag als Verarbeitungsgrundlage im Sinne des Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO herangezogen werden kann und wie die Nutzungsbedingungen von Facebook in diesem Kontext auszulegen sind.
Die Beantwortung dieser Frage kann weit über den Social Media-Bereich hinaus Bedeutung erlangen: Immer wieder kommt es zu der grundlegenden Frage, ob eine bestimmte Datenverarbeitung auf vertraglicher Grundlage erlaubt werden kann oder aber die Einwilligung unumgänglich ist. Der EDSA vertritt hierzu bekanntlich eine restriktive Position, die den Vertrag nur bei objektiver Notwendigkeit eines konkreten Verarbeitungsvorgangs als Erlaubnisgrundlage akzeptieren will, während dies in der Literatur vielfach kritisiert wird.
Nutzung sensibler Daten und Datenminimierung
Klären soll der EuGH zudem, ob Facebook mit der umfassenden Aggregierung von personenbezogenen Daten gegen die Grundsätze der Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO verstößt. Facebook führt nämlich eine Vielzahl von Daten, die auf der Plattform selbst oder auf anderen Webseiten, etwa über Like-Buttons, gesammelt wurden, ohne Einschränkung nach Zeit oder Art der Daten zusammen und nutzt diese Daten für zielgerichtete Werbung. Der OGH möchte dabei auch wissen, ob Art. 9 Abs. 1 DSGVO, der die besondere Schutzwürdigkeit bestimmter Kategorien von Daten wie die politische Überzeugung oder die sexuelle Orientierung bestimmt, auch dann zum Tragen kommt, wenn Daten ohne Differenzierung gesammelt, aggregiert und für die Schaltung personenbezogener Werbung eingesetzt werden. Art. 9 Abs. 2 DSGVO stellt nämlich besondere Anforderungen an die Verarbeitung der Daten, die unter Art. 9 Abs. 1 DSGVO fallen, was auch bei der Aggregation und Verarbeitung zum Zweck der personalisierten Werbung relevant werden könnte.
Symbolisches Schmerzensgeld für Maximilian Schrems wegen „Ostereiersuche“
Neben den Vorlagefragen an den EuGH entschied der OGH in einem Teilurteil, dass Facebook Maximilian Schrems 500 Euro symbolisches Schmerzensgeld zu zahlen hätte. Dies diene dem Ausgleich, weil Facebook Schrems auf Anfrage nicht, wie in der DSGVO vorgesehen, alle vom Netzwerk verarbeiteten personenbezogenen Daten zur Verfügung gestellt hatte, sondern eine Eigeneinschätzung über die „relevanten“ Daten vornahm. Der OGH legt dar, dass es in der Verantwortung des Konzerns war, die Vollständigkeit der Datenauskunft nachzuweisen.
Auch die Art und Weise, wie der Konzern die Auskunft erteilte, spielte für das Schmerzensgeld eine Rolle: Wie die österreichische Zeitung Der Standard berichtete, verglich der Gerichtshof das über 1.000 Seiten lange Dokument mit mindestens 60 Datenkategorien und einer Vielzahl von Datenpunkten mit einer „Ostereiersuche“. Auch dies sei nicht mit der DSGVO vereinbar.
Schrems III in Aussicht?
Mit der Vorlageentscheidung des OGH kommt eine Schrems III-Entscheidung des EuGH zumindest näher. Diesmal steht indes nicht der US-Transfer, sondern die Reichweite verschiedener Erlaubnisgrundlagen der DSGVO auf dem Prüfstand. Dabei zeigen sich beide Seiten kämpferisch: Auf der NOYB-Webseite prognostiziert Maximilian Schrems, dass die Niederlage von Facebook vorm EuGH zur Pflicht zur Datenlösung und Schadensersatzverpflichtungen gegenüber Millionen von Facebook-Nutzern führen könnte – und zeigt sich entsprechend glücklich mit der Vorlageentscheidung. Ähnlich selbstsicher gibt sich ein Facebook-Sprecher gegenüber dem Nachrichtendienst Reuters und erinnert daran, dass der Konzern bereits erheblich Veränderungen hin zur besseren Transparenz und Nutzerkontrolle über ihre Daten unternommen habe.