Meta betreibt u.a. die Dienste Facebook, Instagram und WhatsApp und erwirtschaftet damit über 115 Mrd. USD Umsatz jährlich, ein Großteil durch Vermarktung von Werbung. Facebook sammelt Daten seiner Nutzer dabei nicht nur auf der Facebook-Seite selbst, sondern auch bei weiteren Meta-Diensten und sogar auf externen Webseiten mittels Schnittstellen. So werden detaillierte Nutzerprofile erstellt, die personalisierte Werbung ermöglichen.
Damit dürfte nach dem gestrigen EuGH-Urteil (Rechtssache C-252/21) Schluss sein. Eine ausdrückliche Einwilligung der Nutzer für die beschriebene Datenverarbeitung hat Facebook nicht eingeholt. Stattdessen stützte der Dienst sich auf seine AGB, und hat dabei die Nutzung des sozialen Netzwerks vertraglich davon abhängig gemacht, dass er für seine Zwecke jegliche Arten von Nutzerdaten aus Drittquellen erfassen und mit bereits vorhandenen Daten verknüpfen darf.
Die irische Datenschutzbehörde hat wegen dieser Praxis gegen den Konzern Meta im Januar 2023 ein Bußgeld in Höhe von insgesamt 390 Mio. € verhängt. Facebook wechselte daraufhin auf das „berechtigte Interesse“ nach Art. 6 Abs. 1 lit. f) DSGVO, um die Datenverarbeitung zu rechtfertigen.
Zum EuGH gelangte das Verfahren interessanterweise durch eine Entscheidung des Bundeskartellamts. Dieses hatte es Meta verboten, in den AGB die Nutzung von Facebook von der Verarbeitung sog. Off-Facebook-Daten abhängig zu machen und diese Daten ohne (ausdrückliche) Einwilligung der Nutzer zu verarbeiten. Meta klagte gegen diese Entscheidung, das OLG Düsseldorf legte dem EuGH verschiedene Fragen vor.
Dieser hat zunächst entschieden, dass Wettbewerbsbehörden wie das Bundeskartellamt bei der Prüfung, ob ein Unternehmen eine beherrschende Stellung missbraucht, auch prüfen dürfen, ob das Verhalten des Unternehmens mit anderen als den wettbewerbsrechtlichen Vorschriften, etwa mit den Vorschriften der DSGVO, vereinbar ist. Dabei müssen sich die Wettbewerbsbehörden allerdings mit den nationalen Datenschutzbehörden abstimmen und dürfen nicht von Entscheidungen des EuGH abweichen.
Die Beantwortung der datenschutzrechtlichen Vorlagefragen könnte das Ende des „surveillance capitalism“ einläuten. So stellt der EuGH fest, die Personalisierung der Werbung, mit der Facebook finanziert wird, könne nicht als berechtigtes Interesse von Meta die fragliche Datenverarbeitung rechtfertigen, sofern keine Einwilligung der betroffenen Person vorliegt. Denn die Personalisierung der Inhalte sei nicht erforderlich, um dem Nutzer die Dienste anzubieten. Kurz gesagt: Facebook könnte seine Dienste theoretisch auch ohne (personalisierte) Werbung anbieten.
Auch wenn die Dienste von Facebook unentgeltlich sind, könnten die Nutzer vernünftigerweise nicht damit rechnen, dass der Betreiber dieses sozialen Netzwerks ihre personenbezogenen Daten ohne Einwilligung zum Zweck der Personalisierung der Werbung verarbeitet.
Das Urteil des EuGH hat weitreichende Folgen für fast alle Anbieter von Online-Diensten, denn die Möglichkeit, die Datenverarbeitung auf AGB-Klauseln oder ein berechtigtes Interesse zu stützen, wurden erheblich eingeschränkt. Dienste müssen es nach Ansicht des EuGH ihren Nutzern ermöglichen, bestimmte Datenverarbeitungsvorgänge, die für die Erfüllung des Vertrags nicht erforderlich sind, einzeln zu verweigern, ohne dazu gezwungen zu sein, auf die Nutzung des angebotenen Dienstes vollständig zu verzichten. Der Anbieter muss daher gegebenenfalls eine (kostenpflichtige) Alternative bereitstellen, die ohne solche Datenverarbeitungsvorgänge auskommt.
Im Ergebnis ist dies zwar richtig, bedeutet letztlich aber auch eine Besserstellung der Wohlhabenden. Diese können sich online (kostenpflichtig) ohne „Überwachung“ bewegen, ärmere Personen müssen die Datenverarbeitung in Kauf nehmen, um die kostenfreie Version des Dienstes nutzen zu können – sie „zahlen“ schlussendlich mit ihren Daten. Ob eine solche Einwilligung „freiwillig“ erfolgt, erscheint zweifelhaft.