In einem aktuellen Urteil vom 4. Oktober 2024 musste sich der Europäische Gerichtshof (EuGH) mit der Frage auseinandersetzen, inwieweit der Grundsatz der Datenminimierung gemäß Art. 5 Abs. 1 lit. c) DS-GVO auch im Rahmen personalisierter Werbung und bei Vorliegen einer entsprechenden Rechtsgrundlage umzusetzen ist. Im Detail ging es einerseits um die mögliche Verarbeitungsdauer zu Zwecken personalisierter Werbung, andererseits um die zweckbeschränkte Nutzung von seitens betroffener Personen öffentlich zugänglich gemachter personenbezogener Daten. Hintergrund des Verfahrens (C-446/21) ist eine Klage des österreichischen Datenschutz-Aktivisten Maximilian Schrems gegen die Datenverarbeitungspraktiken des Facebook-Mutterkonzerns Meta. Der Oberste Gerichtshof Österreichs hatte in diesem Kontext den EuGH um Auslegung der datenschutzrechtlichen Normen ersucht.
Zeitnah nach der Verkündung des Urteils äußerte sich der EuGH in einer kurzen Pressemitteilung zu seinen Entscheidungen. Mit der Veröffentlichung des vollständigen Urteils wird in Kürze zu rechnen sein.
Grundsatz der Datenminimierung gilt auch für personalisierte Werbung
Der EuGH musste sich zunächst mit folgender Vorlagefrage auseinandersetzen: „Ist Art. 5 Abs. 1 lit. c) DS-GVO (Datenminimierung) dahin auszulegen, dass alle personenbezogenen Daten, über die eine Plattform […] verfügt […], ohne Einschränkung nach Zeit oder Art der Daten für Zwecke der zielgerichteten Werbung aggregiert, analysiert und verarbeitet werden können?“
Diese Frage wird seitens des EuGH deutlich verneint und hebt zugleich hervor, dass der Grundsatz der Datenminimierung eine zeitlich unbegrenzte und nach Art der Daten undifferenzierte Verarbeitung ausschließe: „First, the Court replies that the principle of data minimisation provided for by the GDPR precludes all of the personal data obtained by a controller, such as the operator of an online social network platform, from the data subject or third parties and collected either on or outside that platform, from being aggregated, analysed and processed for the purposes of targeted advertising without restriction as to time and without distinction as to type of data.”
Dies verdeutlicht, dass Verantwortliche grundsätzlich verpflichtet sind, für sämtliche zu verarbeitende personenbezogene Daten eine maximale Aufbewahrungsdauer festzulegen, die sich an einem zwingend erforderlichen Minimum zu orientieren hat. Eine Verarbeitung personenbezogener Daten über einen Zeitraum von bis zu 20 Jahren – wie im vorliegenden Fall – entspricht nicht dem Grundsatz der Datenminimierung.
Nutzung öffentlich zugänglich gemachter Informationen nur zweckgebunden möglich
Weiterhin bat der Oberste Gerichtshof Österreichs den EuGH um Beantwortung folgender Frage: „Ist Art. 5 Abs. 1 lit. b) [Zweckbindung, Anm. d. Autors] i.V.m. Art. 9 Abs. 2 lit. e) DS-GVO dahin auszulegen, dass eine Äußerung über die eigene sexuelle Orientierung für die Zwecke einer Podiumsdiskussion die Verarbeitung von anderen Daten zur sexuellen Orientierung für Zwecke der Aggregation und Analyse von Daten zum Zwecke der personalisierten Werbung erlaubt?“
Diesbezüglich verweist der EuGH darauf, dass zwar öffentlich zugänglich gemachte Informationen im Einklang mit der DS-GVO verarbeitet werden können, eine solche Legitimation aber nicht für solche Informationen gelten kann, die ein Verantwortlicher an anderer Stelle erlangt hat: „The consequence of the fact that a data subject has manifestly made public data concerning his or her sexual orientation is that those data may be processed in compliance with the provisions of the GDPR. However, that fact alone does not authorise the processing of other personal data relating to that data subject’s sexual orientation.”
Und weiter: „Thus, the fact that a person has made a statement about his or her sexual orientation on the occasion of a public panel discussion does not authorise the operator of an online social network platform to process other data relating to that person’s sexual orientation, obtained, as the case may be, outside that platform using partner third-party websites and apps, with a view to aggregating and analysing those data, in order to offer that person personalized advertising.”
Auch diesbezüglich setzt der EuGH seine bisherige Rechtsprechungstendenz zur umfassenden Wahrung der Grundrechte betroffener Personen fort und erteilt der weit verbreiteten Ansicht, alle ansatzweise veröffentlichen Informationen einer Person dürften umfassend zu eigenen Zwecken, insbesondere zur personalisierter Werbung, verarbeitet werden, eine Absage.
Über den Autor: Max Just, LL.M. ist Wirtschaftsjurist und als externer Datenschutz- und Informationssicherheitsbeauftragter beim DID Dresdner Institut für Datenschutz tätig. Neben diversen öffentlichen Stellen berät er ebenfalls verschiedene IT- und mittelständische Unternehmen. Im Silicon Saxony e.V. nimmt er die Funktion als Leiter des Arbeitskreises Security & Privacy wahr. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.
