DIe Entscheidung ist schon älter, aber m.E. maßgeblich für die Voraussetzungen der Anwendbarkeit von Art. 6 DSGVO.
Hintergrund der Entscheidung ist eine Vorabentscheidungsvorlage des Oberlandesgericht Düsseldorf an den EuGH, bei der das OLG sieben Fragen zur Vorlage gebracht hat. Es geht um folgenden Fall: Das deutsche Bundeskartellamt war gegen Meta Platforms, Meta Platforms Ireland und Facebook Deutschland wegen marktbeherrschender Stellung eingeschritten. Das Bundeskartellamt untersagte den Unternehmen, die Nutzung von Facebook durch in Deutschland lebende Nutzer von der Verarbeitung der Off-Facebook-Daten abhängig zu machen und diese ohne Einwilligung zu verarbeiten. Es verpflichtete die Unternehmen darüber hinaus auch, die Nutzungsbedingungen so anzupassen, dass eindeutig sei, dass die fraglichen Daten nicht ohne Einwilligung des Nutzers erfasst und mit seinem Nutzerkonto verknüpft werden.
Zu den vorgelegten Fragen gehören auch Fragen zu Art. 6 DSGVO.
Mit seiner dritten und seiner vierten Frage, die zusammen zu prüfen sind, möchte das vorlegende Gericht im Wesentlichen wissen, ob und unter welchen Voraussetzungen Art. 6 Abs. 1 Unterabs. 1 Buchst. b und f DSGVO dahin auszulegen ist, dass die Verarbeitung personenbezogener Daten durch den Betreiber eines sozialen Online-Netzwerks, die darin besteht, dass Daten der Nutzer eines solchen Netzwerks, die aus anderen Diensten des Konzerns, zu dem dieser Betreiber gehört, stammen oder sich aus dem Aufruf dritter Websites oder Apps durch diese Nutzer ergeben, erhoben, mit dem jeweiligen Nutzerkonto des sozialen Netzwerks verknüpft und verwendet werden, als im Sinne von Buchst. b für die Erfüllung eines Vertrags, dessen Vertragsparteien die betroffenen Personen sind, erforderlich oder im Sinne von Buchst. f zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich angesehen werden kann. Das vorlegende Gericht fragt sich insbesondere, ob in dieser Hinsicht bestimmte Interessen, die es ausdrücklich anführt (Anm. der Red. U.a. die Verarbeitung der Minderjährigkeit der Nutzer für die Personalisierung von Inhalten und Werbung, Produktverbesserung, Netzwerksicherheit und Nicht-Marketing-Kommunikation mit dem Nutzer,– die Bereitstellung von Messungen, Analysen und sonstigen Unternehmens-Services an Werbekunden, Entwickler und sonstige Partner, damit diese ihre Leistungen bewerten und verbessern können), ein „berechtigtes Interesse“ im Sinne der letztgenannten Bestimmung darstellen.
Zu Art. 6 Abs. 1 Unterabs. 1 lit. b DSGVO:
Als Erstes ist zu Art. 6 Abs. 1 Unterabs. 1 Buchst. b DSGVO festzustellen, dass eine Verarbeitung personenbezogener Daten danach rechtmäßig ist, wenn sie „für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich [ist], die auf Anfrage der betroffenen Person erfolgen“.
Damit eine Verarbeitung personenbezogener Daten als für die Erfüllung eines Vertrags erforderlich im Sinne dieser Bestimmung angesehen werden kann, muss sie objektiv unerlässlich sein, um einen Zweck zu verwirklichen, der notwendiger Bestandteil der für die betroffene Person bestimmten Vertragsleistung ist. Der Verantwortliche muss somit nachweisen können, inwiefern der Hauptgegenstand des Vertrags ohne die betreffende Verarbeitung nicht erfüllt werden könnte.
Der etwaige Umstand, dass eine solche Verarbeitung im Vertrag erwähnt wird oder für dessen Erfüllung lediglich von Nutzen ist, ist insoweit für sich genommen unerheblich. Entscheidend für die Anwendung des in Art. 6 Abs. 1 Unterabs. 1 Buchst. b DSGVO genannten Rechtfertigungsgrundes ist nämlich, dass die Verarbeitung personenbezogener Daten durch den Verantwortlichen für die ordnungsgemäße Erfüllung des zwischen ihm und der betroffenen Person geschlossenen Vertrags wesentlich ist und dass daher keine praktikablen und weniger einschneidenden Alternativen bestehen.
Wie der Generalanwalt in Nr. 54 seiner Schlussanträge ausgeführt hat, ist im Fall eines Vertrags, der mehrere Dienstleistungen oder mehrere eigenständige Elemente einer Dienstleistung umfasst, die unabhängig voneinander erbracht werden können, die Anwendbarkeit von Art. 6 Abs. 1 Unterabs. 1 Buchst. b DSGVO für jede dieser Dienstleistungen gesondert zu beurteilen.
Zu Art. 6 Abs. 1 Unterabs. 1 lit. f DSGVO:
Wie der Gerichtshof bereits entschieden hat, sind Verarbeitungen personenbezogener Daten nach dieser Bestimmung unter drei kumulativen Voraussetzungen rechtmäßig: Erstens muss von dem für die Verarbeitung Verantwortlichen oder von einem Dritten ein berechtigtes Interesse (1) wahrgenommen werden, zweitens muss die Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses erforderlich (2) sein und drittens dürfen die Interessen oder Grundrechte und Grundfreiheiten der Person, deren Daten geschützt werden sollen, gegenüber dem berechtigten Interesse des Verantwortlichen oder eines Dritten nicht überwiegen (3) (Urteil vom 17. Juni 2021, M.I.C.M., C‑597/19, EU:C:2021:492, Rn. 106 und die dort angeführte Rechtsprechung).
(1) Was erstens die Voraussetzung der Wahrnehmung eines berechtigten Interesses betrifft, ist darauf hinzuweisen, dass es nach Art. 13 Abs. 1 Buchst. d DSGVO dem Verantwortlichen obliegt, einer betroffenen Person zu dem Zeitpunkt, zu dem personenbezogene Daten bei ihr erhoben werden, die verfolgten berechtigten Interessen mitzuteilen, wenn diese Verarbeitung auf Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO beruht.
(2) Was zweitens die Voraussetzung der Erforderlichkeit der Verarbeitung personenbezogener Daten zur Verwirklichung des wahrgenommenen berechtigten Interesses betrifft, so verlangt diese vom vorlegenden Gericht, zu prüfen, ob das berechtigte Interesse an der Verarbeitung der Daten nicht in zumutbarer Weise ebenso wirksam mit anderen Mitteln erreicht werden kann, die weniger stark in die Grundrechte und Grundfreiheiten der betroffenen Personen, insbesondere die durch die Art. 7 und 8 der Charta garantierten Rechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten, eingreifen (vgl. in diesem Sinne Urteil vom 22. Juni 2021, Latvijas Republikas Saeima [Strafpunkte], C‑439/19, EU:C:2021:504, Rn. 110 und die dort angeführte Rechtsprechung).
In diesem Zusammenhang ist auch darauf hinzuweisen, dass die Voraussetzung der Erforderlichkeit der Datenverarbeitung gemeinsam mit dem sogenannten Grundsatz der „Datenminimierung“ zu prüfen ist, der in Art. 5 Abs. 1 Buchst. c DSGVO verankert ist und verlangt, dass personenbezogene Daten „dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt“ sind (vgl. in diesem Sinne Urteil vom 11. Dezember 2019, Asociația de Proprietari bloc M5A-ScaraA, C‑708/18, EU:C:2019:1064, Rn. 48).
(3) Was drittens die Voraussetzung betrifft, dass die Interessen oder Grundfreiheiten und Grundrechte der Person, deren Daten geschützt werden sollen, gegenüber dem berechtigten Interesse des Verantwortlichen oder eines Dritten nicht überwiegen, so hat der Gerichtshof bereits entschieden, dass diese Voraussetzung eine Abwägung der jeweiligen einander gegenüberstehenden Rechte und Interessen gebietet, die grundsätzlich von den konkreten Umständen des Einzelfalls abhängt, und dass es daher Sache des vorlegenden Gerichts ist, diese Abwägung unter Berücksichtigung dieser spezifischen Umstände vorzunehmen (Urteil vom 17. Juni 2021, M.I.C.M., C‑597/19, EU:C:2021:492, Rn. 111 und die dort angeführte Rechtsprechung).
Mit seiner fünften Frage möchte das vorlegende Gericht im Wesentlichen wissen, ob Art. 6 Abs. 1 Unterabs. 1 Buchst. c bis e DSGVO dahin auszulegen ist, dass eine solche Verarbeitung personenbezogener Daten als im Sinne von Buchst. c zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt, als im Sinne von Buchst. d erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen, oder als im Sinne von Buchst. e für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde, angesehen werden kann, sofern diese Verarbeitung zur Beantwortung einer rechtsgültigen Anfrage für bestimmte Daten (Buchst. c), zur Bekämpfung schädlichen Verhaltens und zur Förderung der Sicherheit (Buchst. d) oder zur Forschung zum Wohle der Gesellschaft und zur Förderung von Schutz, Integrität und Sicherheit (Buchst. e) erfolgt.
Zu Art. 6 UNterabs. 1 lit. c, d, e DSGVO:
Aus der gebotenen engen Auslegung von Art. 6 Abs. 1 Unterabs. 1 Buchst. d DSGVO folgt, dass der Betreiber eines sozialen Online-Netzwerks, dessen Tätigkeit im Wesentlichen wirtschaftlicher und kommerzieller Natur ist, in Anbetracht der Art der von ihm erbrachten Dienste nicht den Schutz eines lebenswichtigen Interesses seiner Nutzer oder einer anderen Person geltend machen kann, um die Rechtmäßigkeit einer Datenverarbeitung wie der im Ausgangsverfahren in Rede stehenden pauschal in abstrakter und präventiver Weise zu rechtfertigen.
Nach alledem ist auf die fünfte Frage zu antworten, dass Art. 6 Abs. 1 Unterabs. 1 Buchst. c DSGVO dahin auszulegen ist, dass die Verarbeitung personenbezogener Daten durch den Betreiber eines sozialen Online-Netzwerks, die darin besteht, dass Daten der Nutzer eines solchen Netzwerks, die aus anderen Diensten des Konzerns, zu dem dieser Betreiber gehört, stammen oder sich aus dem Aufruf dritter Websites oder Apps durch diese Nutzer ergeben, erhoben, mit dem jeweiligen Nutzerkonto des sozialen Netzwerks verknüpft und verwendet werden, nach dieser Vorschrift gerechtfertigt ist, wenn sie zur Erfüllung einer rechtlichen Verpflichtung, der der Verantwortliche gemäß einer Vorschrift des Unionsrechts oder des Rechts des betreffenden Mitgliedstaats unterliegt, tatsächlich erforderlich ist, diese Rechtsgrundlage ein im öffentlichen Interesse liegendes Ziel verfolgt und in einem angemessenen Verhältnis zu dem verfolgten legitimen Ziel steht und diese Verarbeitung innerhalb der Grenzen des unbedingt Notwendigen erfolgt.
Desgleichen wird das vorlegende Gericht nach Maßgabe von Art. 6 Abs. 1 Unterabs. 1 Buchst. e DSGVO zu beurteilen haben, ob Meta Platforms Ireland mit einer Aufgabe betraut ist, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, etwa im Hinblick auf die Forschung zum Wohle der Gesellschaft oder die Förderung von Schutz, Integrität und Sicherheit, wobei es angesichts der Art und des im Wesentlichen wirtschaftlichen und kommerziellen Charakters der Tätigkeit dieses privaten Wirtschaftsteilnehmers allerdings wenig wahrscheinlich erscheint, dass ihm eine solche Aufgabe übertragen worden ist.
Frage 6: Kann gegenüber einem marktbeherrschenden Unternehmen wie Meta Platforms Ireland eine wirksame, insbesondere nach Art. 4 Nr. 11 DSGVO freiwillige, Einwilligung im Sinne der Art. 6 Abs. 1 Buchst. a, 9 Abs. 2 Buchst. a DSGVO erklärt werden?
Zu Art. 6 Abs. 1 Unterabs. 1 lit. a DSGVO:
Nach Art. 4 Nr. 11 DSGVO bezeichnet der Ausdruck „Einwilligung“ „jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist“.
Mit Blick auf die Zweifel des vorlegenden Gerichts ist erstens darauf hinzuweisen, dass nach dem 42. Erwägungsgrund der DSGVO die Einwilligung nicht als freiwillig erteilt angesehen werden kann, wenn die betroffene Person nicht über eine echte Wahlfreiheit verfügt oder nicht in der Lage ist, ihre Einwilligung zu verweigern oder zu widerrufen, ohne Nachteile zu erleiden.
Zweitens heißt es im 43. Erwägungsgrund dieser Verordnung, dass, um sicherzustellen, dass die Einwilligung freiwillig erfolgt ist, diese keine gültige Rechtsgrundlage für die Verarbeitung personenbezogener Daten darstellen sollte, wenn zwischen der betroffenen Person und dem Verantwortlichen ein klares Ungleichgewicht besteht. In diesem Erwägungsgrund wird auch klargestellt, dass die Einwilligung als nicht freiwillig erteilt gilt, wenn in Bezug auf verschiedene Vorgänge der Verarbeitung personenbezogener Daten nicht gesondert eine Einwilligung erteilt werden kann, obwohl dies im Einzelfall angebracht ist.
Drittens sieht Art. 7 Abs. 4 DSGVO vor, dass bei der Beurteilung, ob die Einwilligung freiwillig erteilt wurde, in größtmöglichem Umfang dem Umstand Rechnung getragen werden muss, ob u. a. die Erfüllung eines Vertrags, einschließlich der Erbringung einer Dienstleistung, von der Einwilligung zu einer Verarbeitung von personenbezogenen Daten abhängig ist, die für die Erfüllung des Vertrags nicht erforderlich ist.
Insoweit ist festzustellen, dass der Umstand, dass der Betreiber eines sozialen Online-Netzwerks als für die Verarbeitung Verantwortlicher eine beherrschende Stellung auf dem Markt für soziale Netzwerke einnimmt, zwar für sich genommen nicht ausschließt, dass die Nutzer dieses sozialen Netzwerks im Sinne von Art. 4 Nr. 11 DSGVO wirksam in die Verarbeitung ihrer personenbezogenen Daten durch diesen Betreiber einwilligen können.
Zu Art. 6 Abs. 1 Unterabs. 1 lit. a und auf der anderen Seite Art. 6 Abs. 1 Unterabs. 1 lit. b – f DSGVO:
Zudem hat der EuGH noch einmal zum Verhältnis von Einwilligung zu den anderen Rechtsgrundlagen in Art. 6 Abs. 1 DSGVO Stellung genommen.
Nach Art. 6 Abs. 1 Unterabs. 1 Buchst. a DSGVO ist die Verarbeitung personenbezogener Daten rechtmäßig, wenn und soweit die betroffene Person ihre Einwilligung dazu für einen oder mehrere bestimmte Zwecke gegeben hat.
Liegt keine solche Einwilligung vor oder wurde die Einwilligung nicht freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich im Sinne von Art. 4 Nr. 11 DSGVO erteilt, ist eine solche Verarbeitung gleichwohl gerechtfertigt, wenn sie eine der in Art. 6 Abs. 1 Unterabs. 1 Buchst. b bis f genannten Voraussetzungen in Bezug auf die Erforderlichkeit erfüllt.
EuGH-Urteil vom 04.07.2023 – C 251/22
Quelle: https://openjur.de/u/2471760.html
