Wer Teil einer Panel-Diskussion ist, nimmt möglicherweise verschiedene Gefühle in sich wahr. Aufregung, Anspannung, Unsicherheit, Vorfreude. Manche versuchen, mit Anekdoten und Beispielen das Publikum in ihr Innenleben mitzunehmen und geben ihm – und damit der Öffentlichkeit – mitunter Einblick in ihr Privatleben.

Was passiert mit solchen sensiblen Informationen, die aus der Öffentlichkeit gewonnen und in Daten überführt werden könnten, unter der Datenschutz-Grundverordnung? Dieser Frage widmet sich das Urteil des EuGH vom heutigen Freitag, das dadurch auch eine wichtige Ausnahme der Verordnung näher definiert – die Konstellation, in der eine Person die Information "offensichtlich öffentlich gemacht" hat (Urteil vom 04.10.2024 - C-446/21).

Sensible Informationen aus dem öffentlichen Raum

Konkret betrifft die anfänglich beschriebene Situation Max Schrems – Datenschutz-Aktivist und Gründer der NGO noyb –, der während einer öffentlichen und per Facebook-Livestream übertragenen Podiumsdiskussion seine Homosexualität erwähnt hat. Schrems – selbst Facebook-Nutzer – bemerkte später, dass die Werbung, die ihm nun auf der Plattform angezeigt wurde, auf homosexuelle Personen zugeschnitten war, außerdem gab es passende Wahlwerbung für eine Politikerin. Jedoch hatte er in seinem Facebook-Profil nie seine sexuelle Orientierung angegeben, entsprechende sensible Daten veröffentlicht oder die Nutzung dazugehöriger Profil-Felder erlaubt. Es stellte sich also die Frage, auf welche Weise Facebook bzw. die Muttergesellschaft Meta Platforms an die Information für die personalisierte Werbung gelangt war.

Zur Klärung der Frage reichte Schrems via noyb Klage ein, verlor aber sowohl das Verfahren vor dem Erstgericht als auch die Berufung. In beiden Fällen wurde sein Begehren abgelehnt mit der Begründung, dass die Personalisierung der Werbung für das Geschäftsmodell von Facebook wesentlich sei. Mit Eingehen des Vertragsverhältnisses bestehe auch Kenntnis über diese Praxis; mit der Nutzung der Plattform werde sie zumindest geduldet. Eine Klage auf Unterlassung sei daher nicht berechtigt. Zudem liege keine Verletzung des Art. 9 DS-GVO – des Verbots der unrechtmäßigen Verarbeitung sensibler personenbezogener Daten – vor, weil Schrems seine Homosexualität "selbst öffentlich gemacht" habe. Im Rahmen der Revision versucht der Oberste Gerichtshof (Österreich) nun, das Verständnis der "Öffentlichkeit" im Rahmen des Art. 9 DS-GVO zu klären.

Bereits geklärt: Personalisierte Werbung als Vertragspraxis

Ein Teil der Fragen wurde seit der Vorlage bereits durch ein Urteil des EuGH vom 4. Juli 2023 (C-252/21) geklärt. Zum einen wurde die Erfassung von sensiblen Informationen von Plattform-Nutzerinnen und -Nutzern unter das Erfordernis des Art. 9 Abs. 1 DS-GVO gestellt. Auch diese Informationen bedürfen also einer Rechtsgrundlage für die Verarbeitung, im Falle sensibler Informationen aus Art. 9 Abs. 2 DS-GVO. Im damaligen Verfahren berief sich Facebook bzw. Meta Platforms ebenfalls darauf, dass die Eingabe ein bewusstes Öffentlichmachen der Information und über die Regelung des Art. 9 Abs. 2 lit. e DS-GVO begründet sei. Der EuGH legte dagegen Wert darauf, dass die Angaben zur Person "in voller Kenntnis der Sachlage" erfolgen und "klar ihre Entscheidung zum Ausdruck" bringen. Es braucht also eine unmissverständliche Handlung und transparente Kommunikation der Plattform, an wen die jeweilige Information übermittelt wird. Eine Angabe in einem Profil-Feld wird, sofern nicht freigegeben, zunächst nur zwischen Plattformbetreiber und Profilinhaberin bzw. -inhaber geteilt.

Der Unterschied zum nun entschiedenen Fall von Max Schrems: Damals ging es um sensible Informationen, die sich aus der Nutzung digitaler Anwendungen innerhalb oder außerhalb von Facebook, aber durch in Webseiten eingebaute "Cookies", "Social Plugins" oder "Pixel" mit Verknüpfungen zu Meta, ergeben. Das am heutigen Freitag ergangene Urteil beschäftigt sich dagegen mit Informationen, die gänzlich außerhalb von digitalen Anwendungen geäußert worden sind. Insoweit versucht die Klage, eine Grenze zwischen digitalem und öffentlichem Raum zu ziehen. Gleichzeitig scheint das Verfahren als ein Versuch, die Analyse- und Verknüpfungspraktiken von Facebook und Meta Platforms offenzulegen.

EuGH: Keine zeitlich unbegrenzte Speicherung von Daten zu Werbezwecken

Grundlegend stellt der EuGH in seinem Urteil fest, dass die Speicher- und Verarbeitungspraktiken von Facebook für personenbezogene Werbung nicht mit dem Grundsatz der Datenminimierung der DS-GVO vereinbar sind. Nach diesem Grundsatz dürfen personenbezogene Daten nur in dem Umfang verarbeitet werden, wie sie für die jeweilige Anwendung nötig ist. Aus Sicht von Meta ließe sich zwar argumentieren, dass mehr personenbezogene Daten zu besseren Werbeangeboten und höheren Einnahmen aus dem Verkauf der Werbeflächen führen. Diese Praxis begrenzt der EuGH nun aber mit einer strengen Anwendung des Grundsatzes der Datensparsamkeit: Eine zeitlich unbegrenzte und nicht nach Nutzungszweck getrennte Speicherung, Verknüpfung und Analyse ist nicht mit der der DS-GVO vereinbar.

In der Konsequenz schließt sich der EuGH damit den Schlussanträgen des Generalanwalts Rantos an. Daneben ist auffällig, dass die Luxemburger Richterinnen und Richter den Grundsatz der Datensparsamkeit nicht nur in Bezug auf Zeit und Datenmenge, sondern auch mit einer Tendenz zum Grundsatz der Zweckbindung lesen. Ähnlich wie in seinem Urteil vom 30. April 2024 (C-470/21) verlangt der Gerichtshof auch hier, dass Daten je nach Verarbeitungszweck getrennt gespeichert werden müssen.

"Öffentlichmachen" bezieht auch Öffentlichkeit mit ein

Ob Schrems‘ Homosexualität auf der Podiumsdiskussion öffentlich im Sinne der DS-GVO wurde, diskutiert der EuGH nur verhalten. Es sei "nicht ausgeschlossen, dass Herr Schrems durch seine Aussage bei der fraglichen Podiumsdiskussion seine sexuelle Orientierung öffentlich gemacht" habe. Weiteres müsse der österreichische Oberste Gerichtshof klären. Die Frage, ob der Begriff der Öffentlichkeit in der DS-GVO weit und über den digitalen Raum hinaus zu verstehen ist, bleibt damit offen.

Einen Hinweis auf ein enges Verständnis enthalten zumindest die Schlussanträge des Generalanwalts. Seiner Auffassung nach ist zwischen den Äußerungskontexten zu differenzieren: Eine öffentliche Äußerung "off-site" außerhalb der Plattform sei eben für diesen Kontext bestimmt, nicht jedoch für die Nutzung zu Werbezwecken.

Diesem Aspekt schließt sich der EuGH an, indem er die Öffentlichkeit der Äußerung jedenfalls nicht als Grundlage für eine weitere Datensammlung und -analyse anerkennt. Dies betrifft vor allem "andere personenbezogene Daten […], die sich auf die sexuelle Orientierung […] beziehen." Damit spielt der Gerichtshof auf die aus der Nutzung der Plattform sowie die "off-site" über Cookies und Pixel gewonnenen Informationen an, die zumindest indirekt Rückschlüsse auf eine sexuelle Orientierung geben können. Darüber schlägt das Urteil auch die Brücke zu den bereits im Urteil des EuGH vom Juli 2023 entschiedenen Punkten.

Keine Abgrenzung zwischen Realität und Digitalität

Insgesamt ist das Urteil damit teilweise ein Erfolg für Schrems, beispielsweise zur klaren Trennung zwischen verschiedenen Verarbeitungszwecken auf allen Ebenen. Die Anforderung der DS-GVO, dass die Information "offensichtlich öffentlich gemacht" sein sollte, wurde aber nur wenig konkretisiert. Mit seinem Urteil greift der EuGH wie zuvor auch der Generalanwalt die Aspekte der willentlich-bewussten Äußerung und der öffentlichen Situation auf. Auf die zunehmende Vermischung von digitalen Nutzungsformen, Plattformen und der realen Welt reagiert der EuGH damit allerdings nicht. Die DS-GVO gibt hierauf in ihrem Anwendungsbereich zwar selbst eine Antwort, wenn sie die "nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen" einbezieht. Bezogen auf die Podiumsdiskussion braucht es damit das Bewusstsein, dass die Äußerungen in der Realität in Daten überführt, mit dem Profil von Max Schrems verknüpft und den Werbezwecken zugeführt werden sollen. Auf eben diesen Transfer kam es aber wohl weder Schrems noch dem Organisations-Team des Livestreams an. Spannend ist dennoch, dass der Livestream über Facebook selbst erfolgte. Dem heutigen Urteil nach wären aber auch diese personenbezogenen Daten von den zu Werbezwecken erhobenen Daten zu trennen, um dem Grundsatz der Datenminimierung zu genügen.

Dr. Oliver Vettermann ist wissenschaftlicher Mitarbeiter bei FIZ Karlsruhe – Leibniz-Institut für Informationsinfrastruktur mit Expertise in Verfassungsrecht, Datenschutz- und IT-Sicherheitsrecht mit Bezügen zu Popkultur, Feminismus und (Rechts-)Philosophie.