Personenbezogene Daten, die ein Verantwortlicher wie der Betreiber einer Onlineplattform für ein soziales Netzwerk von der betroffenen Person oder von Dritten erhält und die sowohl auf als auch außerhalb der Plattform erhoben wurden, dürfen nicht zeitlich unbegrenzt und ohne Unterscheidung nach ihrer Art für Zwecke der zielgerichteten Werbung angehäuft, analysiert und verarbeitet werden. Dem steht der Grundsatz der Datenminimierung gemäß Artikel 5 Absatz 1 Buchstabe c Datenschutz-Grundverordnung (DSGVO) entgegen.
Dies hat der Gerichtshof der Europäischen Union (EuGH) in der Rechtssache C-446/21, dem die Klage einer Privatperson gegen Meta Platforms Ireland Ltd. (im Folgenden „Meta“) wegen rechtswidriger Verarbeitung seiner personenbezogenen Daten zugrunde liegt, unter anderem festgestellt.
Ob Meta tatsächlich alle ihr zur Verfügung stehenden personenbezogenen Daten zeitlich unbegrenzt und ohne Unterscheidung nach ihrer Art zu Werbezwecken verwendet, müsse jedoch vom vorlegenden Gericht noch geprüft werden.
Rechtlich hat der EuGH wie folgt argumentiert:
Zunächst sei – wie aus Erwägungsgrund 1 und 10 hervorgehe – das Ziel der DSGVO die Gewährung eines hohen Schutzniveaus der Grundrechte und Grundfreiheiten natürlicher Personen bei der Verarbeitung personenbezogener Daten, insbesondere des aus Art. 8 Abs. 1 der Charta der Grundrechte der Europäischen Union und Art. 16 AEUV hervorgehenden Rechts auf Privatleben.
Kapitel II und III (Art. 5-23) der DSGVO würden daher Grundsätze enthalten, die, außer in Ausnahmefällen nach Art. 23 DSGVO, bei jeder Verarbeitung zu beachten seien. Dies beinhalte die kumulativ einzuhaltenden Grundsätze über Verarbeitung gemäß Artikel 5, die in Art. 6 aufgeführten Rechtmäßigkeitsvoraussetzungen sowie die Rechte der betroffenen Personen nach Art. 12-22.
Art. 5 Abs. 1 lit. a sehe vor, dass personenbezogene Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden. Lit. b des Artikels kodifiziere, dass die Daten nur für festgelegte, eindeutige und legitime Zwecke erhoben werden und nicht in einer mit diesem Zweck nicht zu vereinbarenden Weise weiterverarbeitet werden.
Der Grundsatz der Datenminimierung gemäß Art. 5 lit. c bedinge, dass personenbezogene Daten dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein müssen. Hierin werde auch der Grundsatz der Verhältnismäßigkeit zum Ausdruck gebracht.
Für die Einhaltung dieser Grundsätze sei, wie aus Art. 5 Abs. 2 folge, der für die Verarbeitung Verantwortliche rechenschaftspflichtig und darüber hinaus gemäß Art. 13 Abs. 1 lit. c gegenüber dem Betroffenen auch informationspflichtig über die Zwecke und Rechtsgrundlagen der Verarbeitung.
Hinsichtlich der zeitlichen Begrenzung einer Verarbeitung personenbezogener Daten sei bereits mit Urteil vom 24.02.2022, Az. C-175/20 entschieden worden, dass der Verantwortliche unter Berücksichtigung des Grundsatzes der Datenminimierung verpflichtet ist, den Zeitraum der Erhebung im Hinblick auf den Zweck der Verarbeitung auf das absolut Notwendige zu beschränken.
Die Interessen und das Privatleben Betroffener sei um so schwerer betroffen, je länger die Daten gespeichert werden. Daher würden mit der Fortdauer der Speicherung auch die Anforderungen an deren Rechtmäßigkeit ansteigen.
Weiterhin dürfe die Speicherung personenbezogener Daten wegen Art. 5 Abs. 1 lit. e nur in einer Form erfolgen, die die Identifizierung Betroffener nur so lange ermöglicht, wie es für die Verarbeitungszwecke erforderlich ist. Dieser Grundsatz der „Speicherbegrenzung“ verlange, dass der Verantwortliche nachweisen kann, dass die personenbezogenen Daten nur so lange gespeichert werden, wie es für die Erreichung der Zwecke erforderlich ist.
Demnach könne eine ursprünglich zulässige Verarbeitung von personenbezogenen Daten mit der Zeit einen Verstoß gegen die DSGVO begründen. Wenn der Zweck der Datenverarbeitung erreicht ist, oder die Daten selbst zur Erreichung des Zwecks nicht mehr benötigt werden, so seien diese zu löschen.
Es sei daher Sache der nationalen Gerichte, zu beurteilen, ob nach diesen Maßgaben die Dauer der Speicherung durch den Verantwortlichen im Hinblick auf das Ziel gerechtfertigt ist.
Im Ergebnis sei eine zeitlich unbegrenzte Speicherung personenbezogener Daten der Nutzer einer Plattform für ein soziales Netzwerk zu Zwecken der zielgerichteten Werbung als unverhältnismäßiger Eingriff in die Rechte, die die DSGVO diesen Nutzern garantiert, anzusehen.
Bei der Verarbeitung habe der Verantwortliche zudem davon abzusehen, solche Daten zu erheben, die für die Zwecke der Verarbeitung nicht unbedingt notwendig sind. Aus diesem Grund sei auch eine Unterscheidung nach Art der Daten stets erforderlich. Er müsse zudem, wie aus Art. 25 Abs. 2 hervorgehe, durch geeignete Maßnahmen dafür Sorge tragen, dass nur die für den jeweiligen Verarbeitungszweck erforderlichen Daten verarbeitet werden.
Zusammenfassend urteilte der EuGH, dass
Art. 5 Abs. 1 Buchst. c DSGVO
"ist dahin auszulegen, dass
der darin festgelegte Grundsatz der „Datenminimierung“ dem entgegensteht, dass sämtliche personenbezogenen Daten, die ein Verantwortlicher wie der Betreiber einer Onlineplattform für ein soziales Netzwerk von der betroffenen Person oder von Dritten erhält und die sowohl auf als auch außerhalb dieser Plattform erhoben wurden, zeitlich unbegrenzt und ohne Unterscheidung nach ihrer Art für Zwecke der zielgerichteten Werbung aggregiert, analysiert und verarbeitet werden."
2. Art. 9 Abs. 2 Buchst. e DSGVO
"ist dahin auszulegen, dass
der Umstand, dass sich eine Person bei einer öffentlich zugänglichen Podiumsdiskussion zu ihrer sexuellen Orientierung geäußert hat, dem Betreiber einer Onlineplattform für ein soziales Netzwerk nicht gestattet, andere Daten über die sexuelle Orientierung dieser Person zu verarbeiten, die er gegebenenfalls außerhalb dieser Plattform von Anwendungen und Websites dritter Partner im Hinblick darauf erhalten hat, sie zu aggregieren und zu analysieren, um dieser Person personalisierte Werbung anzubieten."
"Facebook / Meta darf keine Daten unbegrenzt für Werbung verarbeiten"
von Dominik Skornia, wissenschaftlicher Mitarbeiter