Beteiligt ist einer, betroffen sind alle!
Die Presse spricht von einer „Niederlage für Facebook“. Der EuGH hat mit Urteil vom 04.07.2023 (Rs. C‑252/21) entschieden, dass nationale Wettbewerbsbehörden Verstöße gegen das Datenschutzrecht feststellen und ahnden dürfen. Doch die Entscheidung geht weit über das Kartellrecht hinaus: Die Entscheidung hat erhebliche Auswirkungen auf das Datenschutzrecht und betrifft Unternehmen weit über Meta hinaus. Ob Ihr Unternehmen betroffen ist und welche Schritte jetzt notwendig sind, erfahren Sie in diesem Artikel.
Die unternehmerische Freiheit im Fadenkreuz des EuGH
Die Entscheidung des EuGH lässt die gebotene Abwägung zwischen dem Grundrecht auf Datenschutz und der ebenfalls durch die EU-Grundrechtecharta geschützten unternehmerischen Freiheit vermissen. Stattdessen nimmt der EuGH eine sehr restriktive Auslegung vor, die bei konsequenter Anwendung die wirtschaftliche Nutzung personenbezogener Daten nahezu unmöglich macht. Unternehmen sind durch die Entscheidung gezwungen, die Inhalte ihrer Angebote stärker an datenschutzrechtlichen Regelungen auszurichten und dabei folgende Anforderungen zu beachten:
- Eine Verarbeitung zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) ist nach Auffassung des EuGH nur dann zulässig, wenn die Verarbeitung objektiv unerlässlich ist, um den Hauptzweck der vertraglichen Leistung zu erfüllen. In allen anderen Fällen kann auch eine eindeutige vertragliche Vereinbarung die Verarbeitung nicht legitimieren. Bei konsequenter Anwendung des Urteils scheidet damit für viele innovative Geschäftsmodelle die Vertragserfüllung als Rechtsgrundlage aus.
- Auch hinsichtlich des berechtigten Interesses an der Verarbeitung (Art. 6 Abs. 1 lit. f DSGVO) lässt der EuGH eine klare Tendenz erkennen. Ein berechtigtes Interesse an der wirtschaftlichen Nutzung von personenbezogenen Daten schließt der EuGH zwar nicht gänzlich aus, es soll aber nur dann vorliegen, wenn der Nutzer mit dem konkreten Umfang der Datenverarbeitung rechnen musste. Gleiche Maßstäbe gelten für ein berechtigtes Interesse an der Gewährleistung der Netzsicherheit oder an der Durchführung von Produktverbesserungen. Das Interesse des Betroffenen ist deutlich stärker zu berücksichtigen als bisher.
- Auch die Möglichkeit einer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) in die wirtschaftliche Nutzung personenbezogener Daten schließt der EuGH nicht kategorisch aus, verlangt aber, dass die Betroffenen einzelne Verarbeitungsvorgänge ablehnen können müssen und dass ihnen eine (auch kostenmäßig) gleichwertige Alternative angeboten wird. Die ohnehin schon hohen und in der Praxis in vielen Fällen kaum sinnvoll umsetzbaren Anforderungen an eine Einwilligung werden damit weiter verschärft.
Besonders sensible Daten sind neuerdings überall
Die Entscheidung des EuGH hat auch erhebliche Auswirkungen auf die Verarbeitung besonders sensibler Daten (Art. 9 DSGVO). Bereits der Aufruf einer Website oder App mit Bezug zu den in Art. 9 DSGVO genannten Datenkategorien soll nach Auffassung des EuGH einem besonders hohen Schutz unterliegen. Wendet man die Entscheidung des EuGH konsequent an, dürften künftig deutlich mehr personenbezogene Daten als besonders sensibel einzustufen sein. Eine Verarbeitung dieser Daten ist dann nur unter den zusätzlichen Voraussetzungen des Art. 9 DSGVO zulässig. Weitere Hürden stellt der EuGH für die Verarbeitung besonders sensibler Daten auf, die der Betroffene offensichtlich öffentlich gemacht hat (Art. 9 Abs. 2 lit. e DSGVO). Die Verarbeitung solcher Daten ist nur zulässig, soweit der Betroffene in Kenntnis der Sachlage auf der Grundlage individueller Einstellungen seine Entscheidung zur Veröffentlichung eindeutig zum Ausdruck gebracht hat. Aus dem bloßen Aufruf einer Website mit besonders sensiblen Daten, z.B. einer Online-Apotheke, kann daher nach Auffassung des EuGH noch nicht auf einen eindeutigen Veröffentlichungswillen geschlossen werden. Der EuGH stellt weiter fest, dass ein Datensatz, der besonders sensible und „gewöhnliche“ personenbezogene Daten enthält, insgesamt unter Art. 9 DSGVO fällt. Ist eine Trennung der Daten nicht möglich, müssen die Voraussetzungen des Art. 9 DSGVO für den gesamten Datensatz erfüllt sein. Eine einzige sensible Information kann also einen ganzen Datensatz infizieren. Unklar ist, wie eine derart extensive Auslegung des Art. 9 DSGVO mit dem Ziel der DSGVO, auch den freien Verkehr personenbezogener Daten zu fördern (Art. 1 Abs. 1 DSGVO), vereinbar sein soll.
Fazit
Häme oder Schadenfreude sind angesichts der Meta-Entscheidung fehl am Platz. Denn insgesamt stellt der EuGH so hohe Anforderungen an die Voraussetzungen der jeweiligen Rechtsgrundlagen, dass diese bei konsequenter Anwendung nicht nur für Meta, sondern auch für andere Unternehmen kaum zu erfüllen sind. Die Entscheidung hat deshalb weitreichende Bedeutung für alle Unternehmen, die personenbezogene Daten verarbeiten, und muss entsprechend berücksichtigt werden. Gleichzeitig unterstreicht die Entscheidung, wie wichtig neue Gesetzgebungsvorhaben wie der Data Act oder der European Health Data Space für die innovative Nutzung von personenbezogenen Daten sind.
zurück