EuGH erklärt Facebooks/Metas DSGVO-Regeln für illegal

Juristische Schlappe für Facebooks Mutterkonzern Meta vor dem europäischen Gerichtshof (EuGH). Die Richter in Luxemburg haben den von Meta benutzten Ansatz, eine DSGVO-Zustimmung per AGB abzusegnen, für illegal erklärt. Damit können auch deutsche Wettbewerbs-Behörden (das Bundeskartellamt) und die Richter des OLG Düsseldorf in einem anhängigen Verfahren prüfen, ob Meta und seine Töchter ggf. gegen die Datenschutzgrundverordnung (DSGVO) verstoßen.

Kern der Klage gegen Meta und dem jetzt ergangenen Urteil war der Ansatz des US-Unternehmens, die DSGVO zu umgehen, in dem in den AGB von Facebook beispielsweise entsprechende Klauseln zum Erfassen persönlicher Daten und zum Ausspielen von personalisierter Werbung festgelegt wurden.

Darum ging es

Meta Platforms Ireland betreibt das soziale Online-Netzwerk Facebook in der Europäischen Union. Registrieren Nutzer sich auf Facebook, akzeptieren diese die von Facebook aufgestellten allgemeinen Geschäftsbedingungen und damit auch die dort festgelegten Daten- und
Cookies-Richtlinien. Gemäß diesen Richtlinien sammelt Meta Platforms Ireland Daten über die Aktivitäten der Nutzer innerhalb und außerhalb des sozialen Netzwerk und verknüpft sie mit den Facebook-Konten der betreffenden Nutzer. Die letztgenannten Daten, auch bekannt als
Off-Facebook-Daten, sind Daten über Besuche auf Webseiten und Apps von Drittanbietern sowie Daten über die Nutzung
anderer Online-Dienste, die zur Meta-Gruppe gehören (einschließlich Instagram und WhatsApp).

Die so erhobenen Daten dienen u.a. dazu, personalisierte Werbebotschaften für Facebook-Nutzer zu erstellen. Das deutsche Kartellamt hatte Meta im Jahr 2019 die Sammlung von Nutzerdaten ohne deren explizite Zustimmung untersagt und das Unternehmen aufgefordert, seine Praxis einzustellen. Diese Praxis stelle zudem einen Missbrauch der Marktmacht dar, lautete die Einschätzung des Bundeskartellamts.

Meta Platforms Ireland hatte gegen diese Untersagung geklagt und das Oberlandesgericht Düsseldorg angerufen. Das Oberlandesgericht Düsseldorf fragte dann beim Europäischen Gerichtshof (EuGH) nach, ob die nationalen Wettbewerbsbehörden in einem Verfahren prüfen können bzw. dürfen, ob eine Datenverarbeitung den Anforderungen der DSGVO entspricht.

Darüber hinaus legt das deutsche Gericht dem Europäischen Gerichtshof Fragen zur Auslegung und Anwendung einiger Bestimmungen der Datenschutz-Grundverordnung auf die Verarbeitung von Daten durch den Betreiber eines sozialen Online-Netzwerks vor.

Das EuGH-Urteil vom 4. Juli 2023

In seinem Urteil (C-252/21 Meta Platforms and others (User conditions for a social network) vom 4. Juli 2023 stellt der Gerichtshof fest, dass Wettbewerbsbehörden im Rahmen der Prüfung des Missbrauchs einer Markt-beherrschenden Stellung  auch schauen dürfen, ob das betreffende Unternehmen  z. B. die Vorschriften der Datenschutz-Grundverordnung. (DSGVO) einhält.

"Eine nationale Wettbewerbsbehörde kann im Rahmen der Prüfung eines Missbrauchs einer marktbeherrschenden Stellung feststellen, dass gegen die DSGVO verstoßen wurde", so die Richter, die sich auf die EU-Datenschutzvorschriften bezogen. Die Richter des EuGH sagte allerdings auch, dass die Kartellbehörden "jede Entscheidung oder Untersuchung der zuständigen Aufsichtsbehörde gemäß dieser Verordnung berücksichtigen müssen".

Jetzt können die Richter am OLG Düsseldorf im Verfahren des Bundeskartellamts gegen Meta ihr Urteil auf Basis des EuGH-Richterspruchs fällen. Ein Meta-Sprecher sagte dazu "Wir werten die Entscheidung des Gerichts aus und werden zu gegebener Zeit mehr dazu sagen". Spiegel Online hat hier einige Kernaussagen der Richter aus dem Urteil herausgezogen. Der Auffassung von Meta, dass die von Facebook verarbeiteten Daten bereits öffentlich seien und im Rahmen der AGB weitergegeben werden dürfen, widersprachen die Richter:

Die bloße Tatsache, dass ein Nutzer Websites oder Apps aufruft, die solche Informationen offenbaren können, bedeutet keineswegs, dass er seine Daten im Sinne der DSGVO offensichtlich öffentlich macht.

Verneint wird von den EuGH-Richtern, dass die personalisierte Werbung, die der Konzern in den Timelines seiner Nutzerinnen und Nutzerinnen ausspielt, so unmittelbar zum Betrieb eines sozialen Netzwerks gehört., dass man sie über die allgemeinen Geschäftsbedingungen zur Pflicht für alle machen könne. Sobald Meta aber z.B. auf Facebook eine individuelle (aber widerrufbare) Zustimmung zur Datenerhebung und Verwendung für personalisierte Werbung einholt, sehen die Richter am EuGH allerdings keine Probleme. Der Tenor: Selbst eine marktbeherrschende Stellung eines Unternehmens reicht nicht, um die Verarbeitung von Nutzerdaten mit Zustimmung grundsätzlich zu verbieten.

Weichenstellung pro Datenschutz

Die Datenschutzinitiative noyb des Österreichers Max Schrems hat sich vorläufig zum Urteil geäußert und sieht sich in seiner Position gestärkt. Schrems schreibt dazu:

Wir begrüßen das Urteil des EuGH. Damit ist klargestellt, dass Meta die DSGVO nicht einfach mit ein paar Paragraphen in seinen Dokumenten umgehen kann. Das bedeutet, dass Meta eine ordnungsgemäße Einwilligung einholen muss und seine marktbeherrschende Stellung nicht ausnutzen darf, um Nutzer zu etwas zu zwingen. Dieses Urteil wird sich auch positiv auf anhängige Rechtsstreitigkeiten zwischen noyb und Meta in Irland auswirken.

Max Schrems vertritt die Einschätzung, dass dies ein schwerer Schlag für Meta, aber auch für andere Online-Werbeunternehmen, sei. Das Urteil stelle klar, dass verschiedene juristische Ansätze der Branche zur Umgehung der DSGVO null und nichtig seien. In der Tat dürfte das EuGH-Urteil die Diskussion um eine mittelfristige Durchsetzung der DSGVO stärken.

Da die Datenschutzbehörden der Länder oft überlastet oder unwillig sind (siehe das Beispiel irische Datenschutzbehörde, IDPC, Irische Datenschutzbehörde soll Kritikern Maulkorb verpassen können), die DSGVO durchzusetzen, können andere Behörden den Urteilsspruch aufgreifen. Das Bundeskartellamt hat beispielsweise auch Prüfverfahren gegen Apple, Google und Microsoft im Hinblick auf eine marktbeherrschende Stellung eingeleitet (siehe auch Apple hat laut Bundeskartellamt eine marktübergreifende Bedeutung für den Wettbewerb).

Hier wird es spannend, ob das Bundeskartellamt beispielsweise Microsoft in Office 365 oder Windows die Erfassung von Benutzerdaten untersagt. Spinnt man beispielsweise den Gedanken weiter, dass Funktionen wie die Rechtschreibprüfung oder die AI-Funktion CoPilot in Office Dokumente mit persönlichen Daten an Microsoft übertragen, dürfte es mit einer "Zustimmungslösung" schwierig werden. Ein Unternehmen könnte zwar in die DSGVO-Zustimmung einwilligen. Sobald ein Sachbearbeiter dann aber persönliche Daten von Kunden in Office 365 verarbeitet, wird es schwierig. Ich sehe die Einwilligung der Kunden, dass die Daten gemäß DSGVO gespeichert und verarbeitet werden, nicht als Zustimmung, die den Transfer auf Microsoft-Server in die USA rechtfertigt. Da lauert noch einiges an juristischen Feinheiten, und ich bin sicher, dass man diesbezüglich noch einiges zu hören bekommt. Und auch die Pläne für eine Opt-out-Lösung bei der elektronischen Patientenakte (ePA) von Gesundheitsminister Lauterbach könnten

Ähnliche Artikel:
Apple hat laut Bundeskartellamt eine marktübergreifende Bedeutung für den Wettbewerb
Microsoft im Fokus des Bundeskartellamts (28.3.2023)
Google im Fokus des Bundeskartellamts, 2 Verfahren eingeleitet
Bundeskartellamt prüft Facebook wegen Oculus FB-Kontenzwang
Bundeskartellamt setzt Facebook unter Druck

Irische DPC verhängt nach Datenschutzvorfall 265 Millionen Euro Geldbuße gegen Meta/Facebook
Max Schrems und noyb stellen Strafanzeige gegen irische DPC
Irische DPC fordert noyb zur Löschung von Facebook-Entscheidungsentwurf auf
Wie Irlands IDPC systematisch Google, Facebook & Co. vor DSGVO-Verfahren schützt

Studie ergibt: Microsofts Software-Monopolsteuer kostet uns Milliarden Euro
Microsoft erhält Big Brother Award 2023 für sein "Lebenswerk"
Nextcloud legt Wettbewerbsbeschwerde gegen Microsoft wegen OneDrive und Teams in Windows 11 ein
Datenschutzkonferenz 2022: Microsoft 365 weiterhin nicht datenschutzkonform
Nachbetrachtung zur DSK-Einstufung "Microsoft 365 weiterhin nicht datenschutzkonform"
EU-Kommission fällt vorläufige Angemessenheitsentscheidung zum Trans-Atlantic Data Privacy Framework
Microsoft 365 an Schulen, Baden-Württembergs Datenschützer sagt Nein