Nach dem Urteil des Gerichtshofs der Europäischen Union (EuGH) vom 4. Oktober 2024[1] in der Rechtssache C 446/21 zwischen Maximilian Schrems und Meta Platforms Ireland Ltd („Meta“) wurden der Umfang der Erhebung personenbezogener Daten auf Social-Media-Plattformen und die dafür geltenden Beschränkungen, insbesondere im Zusammenhang mit gezielter Werbung, einer strengeren Prüfung unterzogen.
Dabei wurden die Grundsätze der Datenschutz-Grundverordnung (DSGVO) der Datenminimierung und der Zweckbindung besonders eingehend geprüft.
Meta verwaltet im Allgemeinen die Bereitstellung von Diensten des sozialen Online-Netzwerks Facebook in der EU und gilt als für die Verarbeitung Verantwortlicher im Sinne der Datenschutz-Grundverordnung. Im vorliegenden Fall geht es um Daten, die Meta aus den Aktivitäten von Facebook-Nutzern nicht nur auf Facebook, sondern auch ausserhalb von Facebook erhebt, einschliesslich der Daten im Zusammenhang mit Besuchen von Online-Plattformen und Navigationsmustern sowie Websites und Anwendungen Dritter. Dazu verwendet Meta Cookies, Social Plug-ins und Pixel, die auf den betreffenden Websites eingebettet sind, um gezielte Werbung zu schalten.
Die Entscheidung des EuGH bringt weitere Klarheit in folgenden Punkten:
. der Anwendungsbereich des Grundsatzes der Datenminimierung gemäss Art. 5 Absatz 1 Buchstabe c DSGVO umfasst alle personenbezogenen Daten, die ein für die Verarbeitung Verantwortlicher bei betroffenen Personen oder Dritten auf oder ausserhalb der Plattform zum Zwecke der Aggregation, Analyse und Verarbeitung im Zusammenhang mit gezielter Werbung erhebt, wobei die Aufbewahrungsfrist in jedem Fall begrenzt und die Art der personenbezogenen Daten unterschieden werden muss. Darüber hinaus gilt der Grundsatz unabhängig von der Rechtsgrundlage für die Verarbeitung, und selbst wenn eine betroffene Person gezielter Werbung zugestimmt hat, dürfen ihre personenbezogenen Daten nicht unbegrenzt verwendet werden.
. Artikel 9 Absatz 2 Buchstabe e der Datenschutz-Grundverordnung über die Verarbeitung besonderer Kategorien personenbezogener Daten müsste restriktiv ausgelegt werden, wobei die blosse Erwähnung einer Tatsache durch eine betroffene Person in einem öffentlichen Umfeld nicht ohne Weiteres dazu führen sollte, dass andere Informationen im Zusammenhang mit dieser besonderen Tatsache als „offenkundig öffentlich gemacht“ eingestuft werden und somit rechtmässig verarbeitet werden dürfen.
Als Folge des EuGH-Urteils müsste jeder Betreiber einer Social-Media-Plattform oder eines Online-Werbeunternehmens seinen Datenbestand einschränken und eine wirksame Richtlinie zur Datenlöschung einführen.
[1] Siehe hier https://curia.europa.eu/juris/document/document.jsf;jsessionid=5CE53D5E3FCC1ABA77F2ACD5AAC2F038?text=&docid=290674&pageIndex=0&doclang=DE&mode=req&dir=&occ=first&part=1&cid=1306139.
