EuGH: Prüfungsmaßstab für das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO

Am 4. Juli 2023 hat der Europäische Gerichtshof (EuGH) ein Urteil (C‑252/21) gefällt, das Auswirkungen auf Meta-Plattformen (auch bekannt als Facebook) hat. Dem Urteil zufolge kann sich Meta nicht mehr auf die vertragliche Notwendigkeit oder ein berechtigtes Geschäftsinteresse berufen, um die personenbezogenen Daten seiner Nutzer für personalisiertes Online-Marketing zusammenzuführen und zu verarbeiten. Die Datenschutz-Grundverordnung (DSGVO) kennt gemäß Artikel 6 DSGVO sechs Rechtsgrundlagen für die Verarbeitung personenbezogener Daten und das Urteil befasst sich mit allen sechs, inwieweit in diesem Fall personalisierte Werbung datenschutzrechtlich möglich wäre.

Hintergrund der EuGH-Entscheidung

Der Fall hat seinen Ursprung im Jahr 2019, als das Bundeskartellamt Meta (Facebook Deutschland) anordnete, die Verarbeitung personenbezogener Daten ohne Einwilligung der Nutzerinnen und Nutzer zu unterlassen. Facebook hatte die Datenverarbeitung auf seine Allgemeinen Nutzungsbedingungen und nicht auf eine Einwilligung gestützt. Das Kartellamt forderte Meta auf, seine Nutzungsbedingungen dahingehend zu aktualisieren, dass die Datenverarbeitung nicht ohne Einwilligung erfolgen würde. Zu dem Gerichtsverfahren kam es aufgrund einer Beschwerde von Meta gegen diese Entscheidung, die das Oberlandesgericht Düsseldorf dem EuGH zur Prüfung vorlegte. Dabei ging es unter anderem um die Frage, ob andere Behörden wie das Bundeskartellamt die Einhaltung der DSGVO, den Umgang mit sensiblen Daten und die Rechtsgrundlagen für die Verarbeitung personenbezogener Daten durch Betreiber sozialer Netzwerke überprüfen dürften.

Zusammenfassung des Falles

Der EuGH bestätigte, dass das Bundeskartellamt das Recht habe, die Einhaltung der Datenschutz-Grundverordnung im Zusammenhang mit dem Missbrauch einer marktbeherrschenden Stellung zu prüfen. Die Behörde muss zunächst die federführende Datenschutzbehörde um eine Stellungnahme bitten, die innerhalb einer “angemessenen Frist” (in der Regel drei Monate) abgegeben werden müsse.  Danach stünde es einer anderen Behörde frei, in Ermangelung einer Entscheidung selbst tätig zu werden, wobei jedoch eine weitere Abstimmung mit den Datenschutzbehörden erforderlich ist.

In Bezug auf sensible Daten stellte das Gericht klar, dass die Nutzung bestimmter Anwendungen oder Aktivitäten in sozialen Netzwerken nicht als öffentliche Zugänglichmachung der Daten gilt. Das Gericht betonte die Notwendigkeit einer ausdrücklichen Einwilligung in die Verarbeitung sensibler Daten im Zusammenhang mit personalisierter Werbung. Es wies das Argument von Meta zurück, dass die Ausnahme für “öffentlich zugängliche” Daten in diesem Fall anwendbar sei.

Das Urteil befasste sich außerdem mit den Rechtsgrundlagen für die Verarbeitung von Nutzerdaten durch Betreiber sozialer Netzwerke. Im Einzelnen wurden insbesondere drei Rechtsgrundlagen erörtert: Vertragserfüllung, berechtigtes Interesse und rechtliche Verpflichtungen. Das Gericht stellte fest, dass die Verarbeitung nicht sensibler personenbezogener Daten auf die Rechtsgrundlage der Vertragserfüllung gestützt werden kann, wenn sie für die Erfüllung der vertraglichen Verpflichtung “objektiv unerlässlich” ist. Das Gericht stellte jedoch fest, dass personalisierte Inhalte im Allgemeinen nicht erforderlich sind, um die Dienste eines sozialen Online-Netzwerks bereitzustellen.

In Bezug auf das berechtigte Interesse stellte der Gerichtshof drei Bedingungen für die Datenverarbeitung auf: 1) ein echtes Interesse (auch des Dritten, der die Daten erhält, oder des für die Verarbeitung Mitverantwortlichen), 2) eine “strikte Notwendigkeit” zur Erreichung dieses Interesses (Nachweis, dass keine anderen Mittel zur Erreichung dieses Ziels zur Verfügung stehen und dass der Grundsatz der Datenminimierung angewandt wurde) und 3) eine Abwägung mit den Rechten der betroffenen Person (die Rechte von Kindern und sensiblen Daten überwiegen die wirtschaftlichen Interessen). Das Gericht legte dar, dass die “umfangreiche” Verarbeitung personenbezogener Daten für personalisierte Werbung nicht mehr unter das berechtigte Interesse falle.

Der Gerichtshof merkte an, dass eine rechtmäßige Einwilligung eingeholt werden kann, wenn ein marktbeherrschendes Unternehmen beteiligt ist. Darüber hinaus betonte der EuGH, dass die Einwilligung freiwillig, in Kenntnis der Sachlage, eindeutig und ausdrücklich erfolgen müsse. Außerdem müssten die Einwilligungsoptionen granular sein, insbesondere bei Daten, die in großem Umfang und gebündelt aus mehreren Quellen erhoben werden (Facebook-Daten “on” und “off”). Der Gerichtshof bestätigte auch die Möglichkeit alternativer Modelle wie “Pay-or-Play”-Abonnements, wenn Nutzer nicht in nicht wesentliche Verarbeitungen einwilligen wollen.

Was bedeutet das für Meta?

Meta prüft das Urteil derzeit noch intern, wird aber aller Voraussicht nach, wie andere große Anbieter von Online-Plattformen auch, in Zukunft auf einwilligungsbasierte Werbemodelle umstellen und Alternativen zur Einwilligung anbieten, wie z.B. ein “Pay-or-Go”-Abonnement. Solange dem Nutzer nicht der gesamte Dienst vorenthalten wird, wenn er der Werbung nicht zustimmt, hat der EuGH kostenpflichtige Abonnements gegen ein “notwendiges und angemessenes” Entgelt als tragfähiges Geschäftsmodell anerkannt.

Die Zulässigkeit des “Pay-or-Go”-Abonnementmodells und der Grad der Granularität einer Einwilligung sowie die Frage, welche Gebühr erhoben werden darf, sind derzeit Gegenstand eines Rechtsstreits vor dem österreichischen Bundesverwaltungsgericht, so dass wir diese Frage möglicherweise bald auch vor dem EuGH sehen werden.

Wichtige Erkenntnisse – „Take-Aways“:

• Andere Regulierungsbehörden, wie z.B. das Kartellamt, können auch in Datenschutzfragen entscheiden, so dass sie unter Umständen gleichzeitig tätig werden können – so entstehen Synergien zwischen Verbraucherschutz, Datenschutz und Kartellamt.
• Die Einwilligung ist die bevorzugte Rechtsgrundlage, wenn die Verarbeitung personenbezogener Daten nicht zur Vertragserfüllung erforderlich ist. Alle anderen Rechtsgrundlagen nach 6 DSGVO sind eng auszulegen.
• Der Gerichtshof bestätigte das Vorliegen eines berechtigten Interesses für personalisierte Werbung als Rechtsgrundlage, wobei jedoch der Dreistufentest anzuwenden ist und die Menge der erhobenen Daten und die Quellen, aus denen sie stammen, eine wichtige Rolle bei der Bestimmung der Rechtmäßigkeit spielen.
• Das berechtigte Interesse als Rechtsgrundlage sollte nicht verwendet werden, wenn es sich um personenbezogene Daten von Kindern oder um sensible Daten handelt.
• Online-Plattformen für soziale Medien können sich nicht auf die Ausnahme für den “öffentlichen Bereich” berufen, um personalisierte Werbung ohne Einwilligung zu rechtfertigen.
• Ein berechtigtes Geschäftsinteresse ist eine gültige Rechtsgrundlage für “Screen Scraping” oder Aktivitäten, bei denen Daten aus verschiedenen Quellen zu Produktverbesserungs- oder Forschungszwecken massenhaft gesammelt und gebündelt werden.
• Unternehmen mit marktbeherrschender Stellung müssen eine hohe Granularität der Einwilligungsmöglichkeiten und den Schutz der Wahlfreiheit der Nutzer sicherstellen.
• Die “Vertragsfreiheit” bleibt möglich, solange sie für den Dienst “objektiv unerlässlich” ist, was wiederum einer Kollision zwischen der Umsetzung der Datenschutz-Grundverordnung und der Möglichkeit des freien Vertragsschlusses bestätigt.