Es gibt wieder eine spannende EuGH-Entscheidung im Zusammenhang mit Facebook. Zum einen geht es darum inwieweit Kartellbehörden überhaupt Datenschutzverstöße prüfen dürfen und es gibt Neuigkeiten zum Thema personalisierter Werbung.

Kartellbehörden dürfen DSGVO-Verstöße prüfen
Der EuGH hält in seiner Entscheidung (C-252/21) fest, dass Aufsichtsbehörden und die nationalen Wettbewerbsbehörden unterschiedliche Pflichten wahrnehmen und jeweils eigene Ziele und Aufgaben verfolgen. Wettbewerbsbehörden müssten hierbei prüfen, ob das Verhalten des Unternehmens in beherrschender Stellung die Aufrechterhaltung des auf dem Markt bestehenden Grades an Wettbewerb oder die Entwicklung des Wettbewerbs durch den Einsatz von Mitteln behindert. Hierbei kann es sich aber auch nötig sein, DSGVO-Vorschriften zu prüfen und die Einhaltung dieser Vorschriften zu bewerten. Damit tritt eine Wettbewerbsbehörde nicht an die Stelle der Datenschutzbehörde, es ist nicht die Aufgabe der Wettbewerbsbehörden die DSGVO durchzusetzen.

Dennoch darf die Wettbewerbsbehörden Datenschutz prüfen und bewerten. Um Unterschiede in der Auslegung zu vermeiden, ist die zuständige Datenschutzbehörde in das Verfahren mit einzubeziehen. Sofern diese Behörde nicht reagiert oder keine Einwände gegen die Prüfung hat, kann die Prüfung durch die Wettbewerbsbehörde fortgesetzt werden. Im Vorliegenden Fall hatten die hinzugezogenen Datenschutzbehörden in Hamburg und Irland keine Einwände.

Damit konnte die Wettbewerbsbehörde die Prüfung fortsetzen und im Zuge ihrer Prüfung bewerten, ob DSGVO-Vorschriften eingehalten wurden.

Verarbeitung sensibler Daten problematisch
Zunächst stellte der EuGH fest, dass sofern User auf Facebook dazu aufgefordert werden Angaben zu machen, welche besondere Kategorien personenbezogener Daten darstellen (zB Daten bzgl sexueller Orientierung), diese auch dem Verbot der Verarbeitung nach Art 9 Abs 1 DSGVO unterliegen. Die Verarbeitung wäre nur auf Grundlage einer Erlaubnis nach Art 9 Abs 2 DSGVO möglich. Allein durch die Verwendung von Social Media wird man nicht auf Art 9 Abs 2 lit e DSGVO schließen können. Dies kann gegebenenfalls anders sein, wenn eine Person bestimmte besondere Kategorien personenbezogener Daten durch ihre vorgenommenen individuellen Einstellungen, explizit die Entscheidung zum Ausdruck gebracht hat, die sie betreffenden Daten einer unbegrenzten Zahl von Personen öffentlich zugänglich zu machen.

Personalisierte Werbung – Probleme mit der Rechtsgrundlage
Auch bezüglich anderer nicht-sensibler Daten stellt sich natürlich die Frage nach der Rechtsgrundlage (Art 6 Abs 1 DSGVO). Der EuGH hat verschiedene Rechtsgrundlagen geprüft, welche gegebenenfalls für die Ausspielung personalisierter Werbung in Betracht kommen. Der EuGH gibt hierbei seine Rechtsmeinung bekannt, die konkrete Auslegung bleibt dem vorlegenden Gericht vorbehalten.

Vertrag (Art 6 Abs 1 lit b DSGVO): Der EuGH lehnt eine Stützung der Verarbeitung auf den Vertrag zwischen Nutzer und Meta ab. Schließlich sei auch bei vertraglich intendierten Datenverarbeitungen immer zu beachten, dass diese für den Vertrag erforderlich sein müssen. Das ist personalisierte Werbung aber gerade nicht.

Berechtigtes Interesse (Art 6 Abs 1 lit f DSGVO): Auch berechtigtes Interesse als Rechtsgrundlage wird kritisch gesehen. Zwar ist Direktwerbung als berechtigtes Interesse durch die Erwägungsgründe anerkannt, jedoch muss die Verarbeitung zur Verwirklichung dieses Interesses erforderlich sein, und die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person dürfen gegenüber diesem Interesse nicht überwiegen. Meta würde jedoch die gesamte Onlinetätigkeit der Kunden überwachen und auf Basis dieser Daten dann die Werbung ausspielen. So eine Vorgehensweise widerspricht bereits dem Grundsatz der Datenminimierung. Das Gericht prüft noch weitere Aspekte von Art 6 Abs 1 lit f DSGVO und kommt zum Ergebnis, dass eine Berufung auf berechtigtes Interesse bei personalisierter Werbung nur in engen Grenzen möglich ist.

Einwilligung (Art 6 Abs 1 lit a DSGVO): Auch eine Berufung auf die Einwilligung ist zwar nicht ausgeschlossen, trotz der marktbeherrschenden Stellung von Facebook, jedoch muss dieser Umstand vom vorlegenden Gericht berücksichtigt werden, wenn es darum geht die Freiwilligkeit und damit die Wirksamkeit der Einwilligung zu bewerten. Die Beweislast liege beim Plattformbetreiber.

In unserem Blog haben wir euch noch zusammengefasst, was dies für die Praxis bedeutet.