Ein soziales Online-Netzwerk wie Facebook darf nicht alle personenbezogenen Daten zeitlich unbegrenzt und ohne Unterschied verwenden. So dürfen etwa Daten über die sexuelle Orientierung der User:innen nicht unbeschränkt gesammelt und verwendet werden. Das hat am Freitag der Europäische Gerichtshof (EuGH) in Luxemburg entschieden.
Wie dürfen sensible Daten für Online-Werbung verwendet werden?
Der Oberste Gerichtshof (OGH) in Wien hatte dem EuGH mehrere Fragen vorgelegt, um zu klären, unter welchen Voraussetzungen es nach der Datenschutz-Grundverordnung (DSGVO) erlaubt ist, personenbezogene Daten, darunter auch sensible Daten, zu verarbeiten.
Dabei ging es vor allem um die Fragen, ob alle personenbezogenen Daten ohne zeitliche Begrenzung verarbeitet werden dürfen und unter welchen Voraussetzungen Facebook veröffentlichte sensible Daten zu Werbezwecken verwenden darf.
Es ist verboten, alle persönlichen Daten ohne Unterschied unbegrenzt zu speichern
Zur ersten Frage antwortete der EuGH, dass eine zeitlich unbegrenzte Speicherung von innerhalb und außerhalb des Netzwerks erhobenen Daten ohne Unterscheidung dem in der DSGVO verankerten Grundsatz der Datensparsamkeit widerspricht.
Im konkreten Fall hatte der österreichische Datenschutzaktivist Max Schrems auf einer öffentlichen Podiumsdiskussion erwähnt, dass er schwul ist. Diese Daten darf Facebook nach der DSGVO verwenden. Daten über seine sexuelle Orientierung, die das Unternehmen auf andere Weise – etwa über andere Webseiten – erhalten hat, darf es jedoch nicht verwenden.
Freude bei Schrems und seiner Anwältin
Schrems hatte geklagt, weil die Verarbeitung seiner personenbezogenen Daten durch Meta seiner Ansicht nach gegen die DSGVO verstößt. Seine Anwältin Katharina Raabe-Stuppnig zeigte sich nach dem Urteil „sehr zufrieden, auch wenn dieses Ergebnis zu erwarten war“. Meta habe seit 20 Jahren einen riesigen Datenpool über die Nutzer:innen aufgebaut, sagte die Anwältin laut Mitteilung von Schrems’ Datenschutzorganisation noyb.
In der Vergangenheit hatte Schrems im Kampf gegen die Datensammelwut von Social-Media-Konzernen bereits zwei Erfolge vor dem EuGH erzielt. Dabei ging es um den Datenaustausch zwischen den USA und der Europäischen Union.
Der EuGH entscheidet nie über Einzelfälle. Er gibt lediglich eine Einschätzung darüber ab, wie EU-Recht auszulegen ist. Das Urteil fällt das vorlegende Gericht – in diesem Fall der OGH. Er ist an die Rechtsauffassung des EuGH gebunden.