SCHLUSSANTRÄGE DES GENERALANWALTS
ATHANASIOS RANTOS
vom 25. April 2024(1)
Rechtssache C‑446/21
Maximilian Schrems
gegen
Meta Platforms Ireland Limited, vormals Facebook Ireland Limited
(Vorabentscheidungsersuchen des Obersten Gerichtshofs [Österreich])
„Vorlage zur Vorabentscheidung – Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Verordnung (EU) 2016/679 – Soziale Netzwerke – Art. 5 Abs. 1 Buchst. b – Grundsatz der ‚Zweckbindung‘ – Art. 5 Abs. 1 Buchst. e – Grundsatz der ‚Datenminimierung‘ – Art. 9 Abs. 1 und 2 Buchst. e – Verarbeitung besonderer Kategorien personenbezogener Daten – Personenbezogene Daten, die die betroffene Person offensichtlich öffentlich gemacht hat – Personalisierte Werbung – Daten zur sexuellen Orientierung“
Einleitung
1. Das vorliegende Vorabentscheidungsersuchen des Obersten Gerichtshofs (Österreich) ergeht im Rahmen eines Rechtsstreits zwischen Herrn Maximilian Schrems (im Folgenden: Kläger), einem Nutzer des sozialen Netzwerks „Facebook“, und der Meta Platforms Ireland Limited, vormals Facebook Ireland Limited (im Folgenden: Meta Platforms Ireland oder Beklagte), über die angeblich rechtswidrige Verarbeitung seiner personenbezogenen Daten durch diese Gesellschaft.
2. Die im Rahmen der vorliegenden Rechtssache gestellten Vorlagefragen betreffen zum einen die Anwendung des Grundsatzes der „Datenminimierung“ nach Art. 5 Abs. 1 Buchst. c der Verordnung (EU) 2016/679(2) und zum anderen die Auslegung des Begriffs „personenbezogene Daten, die die betroffene Person offensichtlich öffentlich gemacht hat“ in Art. 9 Abs. 2 Buchst. e dieser Verordnung in Verbindung mit deren Art. 5 Abs. 1 Buchst. b, der den Grundsatz der „Zweckbindung“ einführt. Im Wesentlichen möchte das vorlegende Gericht zum einen wissen, ob der Grundsatz der Datenminimierung es erlaubt, personenbezogene Daten ohne Einschränkung nach Zeit oder Art der Daten zu verarbeiten, und zum anderen, ob die Äußerung einer Person zu ihrer eigenen sexuellen Orientierung bei einer Podiumsdiskussion die Verarbeitung von anderen Daten zur sexuellen Orientierung dieser Person zum Zweck der personalisierten Werbung erlaubt.
Rechtlicher Rahmen
3. In Art. 4 („Begriffsbestimmungen“) Nr. 11 DSGVO heißt es:
„Im Sinne dieser Verordnung bezeichnet der Ausdruck:
…
11. ‚Einwilligung‘ der betroffenen Person jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist.“
4. Art. 5 („Grundsätze für die Verarbeitung personenbezogener Daten“) Abs. 1 und 2 DSGVO sieht vor:
„(1) Personenbezogene Daten müssen
a) auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden (‚Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz‘);
b) für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; …
c) dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein (‚Datenminimierung‘);
…
2. Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können (‚Rechenschaftspflicht‘).“
5. Art. 6 („Rechtmäßigkeit der Verarbeitung“) Abs. 1 und 3 DSGVO bestimmt:
„(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:
a) Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;
b) die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen;
…
f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.
Unterabsatz 1 Buchstabe f gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung.
…
(3) Die Rechtsgrundlage für die Verarbeitungen gemäß Absatz 1 Buchstaben c und e wird festgelegt durch
a) Unionsrecht oder
b) das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt.
…
… Das Unionsrecht oder das Recht der Mitgliedstaaten müssen ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen.“
6. In Art. 7 („Bedingungen für die Einwilligung“) DSGVO heißt es:
„(1) Beruht die Verarbeitung auf einer Einwilligung, muss der Verantwortliche nachweisen können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat.
…
(3) Die betroffene Person hat das Recht, ihre Einwilligung jederzeit zu widerrufen. Durch den Widerruf der Einwilligung wird die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt. Die betroffene Person wird vor Abgabe der Einwilligung hiervon in Kenntnis gesetzt. Der Widerruf der Einwilligung muss so einfach wie die Erteilung der Einwilligung sein.
(4) Bei der Beurteilung, ob die Einwilligung freiwillig erteilt wurde, muss dem Umstand in größtmöglichem Umfang Rechnung getragen werden, ob unter anderem die Erfüllung eines Vertrags, einschließlich der Erbringung einer Dienstleistung, von der Einwilligung zu einer Verarbeitung von personenbezogenen Daten abhängig ist, die für die Erfüllung des Vertrags nicht erforderlich sind.“
7. In Art. 9 („Verarbeitung besonderer Kategorien personenbezogener Daten“) Abs. 1 und 2 DSGVO heißt es:
„(1) Die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person ist untersagt.
(2) Absatz 1 gilt nicht in folgenden Fällen:
a) Die betroffene Person hat in die Verarbeitung der genannten personenbezogenen Daten für einen oder mehrere festgelegte Zwecke ausdrücklich eingewilligt, es sei denn, nach Unionsrecht oder dem Recht der Mitgliedstaaten kann das Verbot nach Absatz 1 durch die Einwilligung der betroffenen Person nicht aufgehoben werden,
b) die Verarbeitung ist erforderlich, damit der Verantwortliche oder die betroffene Person die ihm bzw. ihr aus dem Arbeitsrecht und dem Recht der sozialen Sicherheit und des Sozialschutzes erwachsenden Rechte ausüben und seinen bzw. ihren diesbezüglichen Pflichten nachkommen kann, soweit dies nach Unionsrecht oder dem Recht der Mitgliedstaaten oder einer Kollektivvereinbarung nach dem Recht der Mitgliedstaaten, das geeignete Garantien für die Grundrechte und die Interessen der betroffenen Person vorsieht, zulässig ist,
…
e) die Verarbeitung bezieht sich auf personenbezogene Daten, die die betroffene Person offensichtlich öffentlich gemacht hat,
…“
8. Art. 13 („Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person“) Abs. 1 DSGVO sieht vor:
„Werden personenbezogene Daten bei der betroffenen Person erhoben, so teilt der Verantwortliche der betroffenen Person zum Zeitpunkt der Erhebung dieser Daten Folgendes mit:
…
c) die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, sowie die Rechtsgrundlage für die Verarbeitung;
d) wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe f beruht, die berechtigten Interessen, die von dem Verantwortlichen oder einem Dritten verfolgt werden;
…“
Ausgangsrechtsstreit, Vorlagefragen und Verfahren vor dem Gerichtshof
9. Meta Platforms Ireland, eine Gesellschaft irischen Rechts, betreibt das geschlossene Kommunikationsnetz „Facebook“, das im Wesentlichen ein soziales Online-Netzwerk für das Teilen von Inhalten darstellt(3). Ihr Geschäftsmodell besteht hauptsächlich darin, ihren privaten Nutzern unentgeltliche Dienste eines sozialen Netzwerks anzubieten und Online-Werbung, einschließlich auf ihre Nutzer ausgerichteter Werbung, zu verkaufen(4). Diese Werbung beruht in erster Linie auf der automatisierten Erstellung relativ detaillierter Profile der Nutzer dieses sozialen Netzwerks(5).
10. Im Laufe des Jahres 2018 – nach Inkrafttreten der DSGVO – legte Meta Platforms Ireland ihren Nutzern in der Europäischen Union neue Nutzungsbedingungen für Facebook vor, um deren Einwilligung einzuholen. Diese Einwilligung ist im Übrigen erforderlich, um sich registrieren oder auf von Facebook bereitgestellte Konten und Dienste zugreifen zu können(6). Diese neuen Nutzungsbedingungen ermöglichen es den Nutzern außerdem, einen Einblick und eine Kontrolle über die gespeicherten Daten zu erhalten(7).
11. Der Kläger ist ein Facebook-Nutzer, der die von Facebook vorgelegten neuen Nutzungsbedingungen akzeptiert hat. Wie aus der Vorlageentscheidung hervorgeht, hat er seine Homosexualität öffentlich erwähnt; auf seinem Facebook-Profil habe er jedoch nie seine sexuelle Orientierung erwähnt und keine sensiblen Daten veröffentlicht(8). Ebenso wenig habe der Kläger der Beklagten gestattet, Informationen zu den Profil-Feldern betreffend seinen Beziehungsstatus, seinen Arbeitgeber, seinen Beruf oder seine Ausbildung für gezielte Werbung zu verwenden.
12. Er habe jedoch eine Werbung für eine Politikerin erhalten, die an ihn auf der Grundlage einer Analyse gerichtet worden sei, dass er anderen „Kunden“ ähnele, die diese Politikerin mit „gefällt mir“ markiert hätten, und er habe regelmäßig Werbung, die auf homosexuelle Personen abgezielt habe, und Einladungen zu entsprechenden Veranstaltungen erhalten, obwohl er sich davor für diese Veranstaltungen nicht interessiert und nicht einmal die Orte, an denen sie stattgefunden hätten, gekannt habe. Diese Werbungen bzw. diese Einladungen stützten sich nicht unmittelbar auf die sexuelle Orientierung des Klägers oder seiner „Freunde“ auf dem sozialen Netzwerk, sondern auf die Analyse ihrer Interessen(9). Im Übrigen speichere Meta Platforms Ireland alle den Kläger betreffenden Daten, einschließlich derjenigen, die durch Dritte oder Plug-ins erhalten worden seien, um sie auf unbestimmte Zeit zu speichern.
13. Unter diesen Umständen erhob der Kläger beim Landesgericht für Zivilsachen Wien (Österreich) Klage auf Erfüllung, Feststellung und Unterlassung bezüglich der angeblich rechtswidrigen Verarbeitung seiner personenbezogenen Daten durch Meta Platforms Ireland(10).
14. In der Folge erwähnte der Kläger bei einer von der Vertretung der Europäischen Kommission in Wien (Österreich) am 12. Februar 2019 veranstalteten Podiumsdiskussion(11) seine sexuelle Orientierung in einem Beitrag, der darauf abzielte, die angeblich rechtswidrige Verarbeitung von Daten zu dieser sexuellen Orientierung durch Meta Platforms Ireland anzuprangern(12).
15. Da seine Klage in erster Instanz mit Urteil vom 30. Juni 2020 und in der Berufungsinstanz vom Oberlandesgericht Wien (Österreich) mit Urteil vom 7. Dezember 2020(13) abgewiesen worden ist, hat er beim Obersten Gerichtshof, dem vorlegenden Gericht, Revision eingelegt.
16. Unter diesen Umständen hat der Oberste Gerichtshof beschlossen, das Verfahren auszusetzen und dem Gerichtshof vier Fragen zur Vorabentscheidung vorzulegen(14). Da die erste und die dritte Vorlagefrage im Anschluss an das Urteil vom 4. Juli 2023, Meta Platforms u. a. (Allgemeine Nutzungsbedingungen eines sozialen Netzwerks)(15), zurückgenommen wurden, hat die vorliegende Rechtssache die zweite und die vierte Frage zum Gegenstand, die wie folgt lauten:
2. Ist Art. 5 Abs. 1 Buchst. c DSGVO (Datenminimierung) dahin auszulegen, dass alle personenbezogenen Daten, über die eine Plattform wie im Ausgangsverfahren verfügt (insbesondere durch den Betroffenen oder durch Dritte auf und außerhalb der Plattform), ohne Einschränkung nach Zeit oder Art der Daten für Zwecke der zielgerichteten Werbung aggregiert, analysiert und verarbeitet werden können?
4. Ist Art. 5 Abs. 1 Buchst. b in Verbindung mit Art. 9 Abs. 2 Buchst. e DSGVO dahin auszulegen, dass eine Äußerung über die eigene sexuelle Orientierung für die Zwecke einer Podiumsdiskussion die Verarbeitung von anderen Daten zur sexuellen Orientierung für Zwecke der Aggregation und Analyse von Daten zum Zwecke der personalisierten Werbung erlaubt?
17. Der Kläger, Meta Platforms Ireland, die österreichische, die französische, die italienische und die portugiesische Regierung sowie die Kommission haben schriftliche Erklärungen eingereicht. In der mündlichen Verhandlung vom 8. Februar 2024 haben der Kläger, Meta Platforms Ireland, die österreichische Regierung und die Kommission mündliche Ausführungen gemacht.
Würdigung
Zur zweiten Vorlagefrage
18. Mit seiner zweiten Vorlagefrage möchte das vorlegende Gericht im Wesentlichen wissen, ob Art. 5 Abs. 1 Buchst. c DSGVO, in dem der Grundsatz der Datenminimierung verankert ist, dahin auszulegen ist, dass alle personenbezogenen Daten, über die ein Netzwerk wie Facebook insbesondere durch die betroffene Person oder durch Dritte auf und außerhalb dieser Plattform verfügt, ohne Einschränkung nach Zeit oder Art der Daten für Zwecke der zielgerichteten Werbung aggregiert, analysiert und verarbeitet werden können.
19. Vorab ist darauf hinzuweisen, dass jede Verarbeitung personenbezogener Daten zum einen mit den in Art. 5 DSGVO aufgestellten Grundsätzen für die Verarbeitung der Daten im Einklang stehen und zum anderen eine der in Art. 6 DSGVO aufgeführten Voraussetzungen für die Rechtmäßigkeit der Verarbeitung erfüllen muss(16).
20. Was insbesondere die Grundsätze für die Verarbeitung personenbezogener Daten betrifft, hat der Gerichtshof u. a. klargestellt, dass der Grundsatz der Datenminimierung von Art. 5 Abs. 1 Buchst. c DSGVO vorsieht, dass personenbezogene Daten dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein müssen, womit im Wesentlichen der Grundsatz der Verhältnismäßigkeit zum Ausdruck gebracht wird(17). Der Grundsatz der Datenminimierung soll somit Einschränkungen des Rechts auf Schutz personenbezogener Daten durch die fragliche Verarbeitung minimieren.
21. Im vorliegenden Fall liegt es meines Erachtens auf der Hand, dass das etwaige Fehlen jeglicher Einschränkung, wie vom vorlegenden Gericht angenommen, definitionsgemäß der Anwendung des Grundsatzes der Datenminimierung zuwiderlaufen würde. Aus den dem Gerichtshof vorgelegten Akten geht jedoch nichts hervor, was eine solche Annahme – für deren Beurteilung jedenfalls das vorlegende Gericht zuständig ist – bestätigen oder ausschließen könnte. Ich werde dennoch versuchen, dem vorlegenden Gericht einige sachdienliche Hinweise zur Auslegung der untersuchten Bestimmung zu geben, die es diesem ermöglichen können, über die bei ihm anhängige Rechtssache zu entscheiden.
22. Was zum einen die zeitliche Einschränkung der Verarbeitung personenbezogener Daten betrifft, bin ich der Ansicht, dass die Unionsgerichte in Ermangelung einer entsprechenden speziellen Bestimmung in der DSGVO keine verbindliche Frist für die Speicherung dieser Daten festlegen können. Im Übrigen hat der Gerichtshof entschieden, dass selbst eine ursprünglich zulässige Verarbeitung korrekter Daten im Laufe der Zeit u. a. mit Art. 5 Abs. 1 Buchst. c bis e DSGVO unvereinbar werden kann, wenn die Daten im Hinblick auf die Zwecke, für die sie erhoben oder verarbeitet wurden, nicht mehr erforderlich sind(18). Mithin es ist Sache des vorlegenden Gerichts, unter Berücksichtigung der Umstände des Einzelfalls und unter Anwendung des Grundsatzes der Verhältnismäßigkeit(19) zu beurteilen, inwieweit der Zeitraum der Speicherung personenbezogener Daten durch Meta Platforms Ireland im Hinblick auf das legitime Ziel der Verarbeitung dieser Daten für Zwecke der personalisierten Werbung gerechtfertigt ist.
23. Was zum anderen die Einschränkung der Verarbeitung personenbezogener Daten nach der Art der Daten anbelangt, ist es ebenfalls Sache des vorlegenden Gerichts, unter den Umständen des vorliegenden Falles die personenbezogenen Daten festzustellen, bei denen davon ausgegangen werden kann, dass ihre Verarbeitung unter Beachtung des Grundsatzes der Verhältnismäßigkeit rechtmäßig ist.
24. Im Übrigen zeigen meines Erachtens die Bezugnahmen im Wortlaut von Art. 5 Abs. 1 Buchst. c DSGVO auf sehr allgemeine Bedingungen wie „Angemessenheit“, „Erheblichkeit“ und „Notwendigkeit“, dass der Unionsgesetzgeber den zuständigen Behörden bei der Anwendung dieser Bestimmung einen weiten Beurteilungsspielraum einräumen wollte, da diese Bedingungen nur auf Einzelfallbasis unter Berücksichtigung der Umstände des jeweiligen Falles ausgelegt werden können.
25. Dies vorausgeschickt, bin ich der Ansicht, dass, wie die Kommission in ihren schriftlichen Erklärungen ausführt, je nach der Schwere des Eingriffs in die Rechte der betroffenen Person durch die verschiedenen Verarbeitungsformen bestimmte Unterscheidungen getroffen werden können. Das vorlegende Gericht könnte daher, wenn es dies im vorliegenden Fall für angemessen hält, zum einen zwischen der Verwendung „statischer“ Daten der betroffenen Person (z. B. Alter(20) oder Geschlecht) und der Verwendung von „verhaltensorientierten“ Daten (z. B. Verfolgung des Surfverhaltens von Nutzern) unterscheiden, wobei die letztgenannte Verwendung in der Regel stärker in die Rechte der betroffenen Person eingreift. Was insbesondere „verhaltensorientierte“ Daten anbelangt, könnte anschließend unterschieden werden zwischen der Erhebung von Daten, die ein „aktives“ Verhalten (z. B. das Anklicken eines „Like-Button“) und der Erhebung von Daten, die ein „passives“ Verhalten (z. B. bloßer Besuch einer Website) betreffen, wobei die letztgenannte Datenerhebung normalerweise eingriffsintensiver für den Nutzer ist. Zum anderen könnte ein Unterschied gemacht werden zwischen der Verarbeitung personenbezogener Daten, die innerhalb der Facebook-Plattform und außerhalb der Facebook-Plattform, d. h. Daten, die von Websites, anderen Apps als Facebook oder von Geräten des Nutzers erhoben werden; Letztere ist eingriffsintensiver als Erstere(21).
26. Im Rahmen dieser Analyse ist es meines Erachtens auch wichtig, die vernünftigen Erwartungen der betroffenen Personen zu berücksichtigen(22).
27. Im Übrigen ist in einer Situation wie sie vor dem Inkrafttreten der DSGVO bestand, in der die Verarbeitung von außerhalb der Facebook-Plattform erhobenen Daten nicht auf der Einwilligung, sondern vielmehr auf der Erforderlichkeit der Verarbeitung zur Erfüllung des Vertrags gemäß Art. 6 Abs. 1 Buchst. b DSGVO beruhte(23), die enge Auslegung dieser Bestimmung durch den Gerichtshof zu berücksichtigen(24). Daher ist, wie die italienische Regierung in ihren schriftlichen Erklärungen hervorhebt, zu vermeiden, dass eine weite Auslegung des Grundsatzes der Datenminimierung nach Art. 5 dieser Verordnung es den für die Verarbeitung Verantwortlichen ermöglichen kann, die Kategorien personenbezogener Daten zu erweitern, die zur Erfüllung eines Vertrags für im Sinne von Art. 6 Abs. 1 Buchst. b DSGVO erforderlich gehalten werden.
28. Nach alledem schlage ich vor, auf die zweite Vorlagefrage zu antworten, dass Art. 5 Abs. 1 Buchst. c DSGVO dahin auszulegen ist, dass er der Verarbeitung personenbezogener Daten für Zwecke der zielgerichteten Werbung ohne Einschränkung nach Zeit oder Art der Daten entgegensteht, und dass es Sache des vorlegenden Gerichts ist, unter Berücksichtigung der Umstände des Einzelfalls und unter Anwendung des Grundsatzes der Verhältnismäßigkeit zu beurteilen, inwieweit der Zeitraum der Speicherung der Daten und die Menge der verarbeiteten Daten im Hinblick auf das legitime Ziel der Verarbeitung dieser Daten für Zwecke der personalisierten Werbung gerechtfertigt sind.
Zur vierten Vorlagefrage
29. Mit seiner vierten Vorlagefrage möchte das vorlegende Gericht im Wesentlichen wissen, ob Art. 5 Abs. 1 Buchst. b in Verbindung mit Art. 9 Abs. 2 Buchst. e DSGVO dahin auszulegen ist, dass der Umstand, dass sich eine Person im Rahmen einer Podiumsdiskussion zu ihrer sexuellen Orientierung geäußert hat, die Verarbeitung von anderen Daten zu ihrer sexuellen Orientierung durch Meta Platforms Ireland erlaubt, um ihr personalisierte Werbung anzubieten. Ganz allgemein fragt das vorlegende Gericht nach der Tragweite der letztgenannten Bestimmung und wirft insbesondere die Frage auf, auf welche Weise die Öffentlichkeit die sensiblen Daten dieser Person erhalten haben muss, damit Art. 9 Abs. 2 DSGVO anzuwenden ist.
Zur Erheblichkeit der Vorlagefrage
30. Meta Platforms Ireland hat in ihren schriftlichen und mündlichen Erklärungen ausgeführt, ohne dass dies von den anderen Parteien in der mündlichen Verhandlung bestritten worden wäre, dass sie sich im Verfahren vor den nationalen Gerichten zu keinem Zeitpunkt auf die in Art. 9 Abs. 2 Buchst. e DSGVO vorgesehene Ausnahmeregelung als Rechtsgrundlage für die in Rede stehende Datenverarbeitung berufen habe(25).
31. In einem solchen Fall wäre die vierte Vorlagefrage jedoch eindeutig unerheblich, da diese Ausnahmeregelung im vorliegenden Fall nicht anwendbar wäre(26).
32. Abgesehen davon ist darauf hinzuweisen, dass nach ständiger Rechtsprechung des Gerichtshofs im Rahmen des Verfahrens nach Art. 267 AEUV, das auf einer klaren Aufgabentrennung zwischen den nationalen Gerichten und dem Gerichtshof beruht, eine Vermutung für die Entscheidungserheblichkeit der Vorlagefragen eines nationalen Gerichts spricht, die es zur Auslegung des Unionsrechts in dem rechtlichen und sachlichen Rahmen stellt, den es in eigener Verantwortung festlegt(27) und dessen Richtigkeit der Gerichtshof nicht zu prüfen hat(28).
33. Daher werde ich in den folgenden Nummern eine Antwort auf die vierte Vorlagefrage des vorlegenden Gerichts vorschlagen, unbeschadet der Entscheidung des Gerichtshofs zur Erheblichkeit dieser Frage.
Beantwortung der Vorlagefrage
34. Vorab weise ich darauf hin, dass nach Art. 5 Abs. 1 Buchst. b DSGVO, in dem der Grundsatz der Zweckbindung verankert ist, personenbezogene Daten für festgelegte, eindeutige und legitime Zwecke erhoben werden müssen und nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden dürfen. Nach Art. 9 Abs. 1 DSGVO ist die Verarbeitung personenbezogener Daten u. a. zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person untersagt, es sei denn, eine solche Verarbeitung fällt in den Anwendungsbereich einer der in Art. 9 Abs. 2 dieser Verordnung genannten Ausnahmen(29).
35. Insbesondere gilt nach Art. 9 Abs. 2 Buchst. e DSGVO das Verbot der Verarbeitung sensibler personenbezogener Daten nicht, wenn sich die Verarbeitung auf personenbezogene Daten bezieht, die die betroffene Person offensichtlich öffentlich gemacht hat. Wie ich in meinen Schlussanträgen in der Rechtssache Meta Platforms u. a. (Allgemeine Nutzungsbedingungen eines sozialen Netzwerks)(30) ausgeführt habe, erfordern das im Wortlaut dieser Bestimmung verwendete Adverb „offensichtlich“ und die Tatsache, dass diese Bestimmung eine Ausnahme vom Grundsatz des allgemeinen Verbots der Verarbeitung sensibler personenbezogener Daten darstellt, aufgrund der erheblichen Risiken für die Grundrechte und Grundfreiheiten der betroffenen Personen eine besonders strikte Anwendung dieser Ausnahme(31). Die Anwendung dieser Ausnahme setzt meines Erachtens voraus, dass sich der Nutzer voll bewusst sein muss, dass er durch eine ausdrückliche Handlung personenbezogene Daten für jedermann öffentlich macht(32).
36. Im Ausgangsverfahren wurden die sensiblen Daten zur sexuellen Orientierung des Klägers außerhalb der Facebook-Plattform („off-site“) und jeder anderen IT‑Plattform oder IT‑App im Rahmen einer von der Kommission organisierten Podiumsdiskussion(33) und mit dem Ziel offengelegt, die angeblich rechtswidrige Verarbeitung von Daten zu dieser sexuellen Orientierung durch Meta Platforms Ireland anzuprangern(34).
37. Insoweit hatte der Gerichtshof in seinem Urteil Meta Platforms u. a. (Allgemeine Nutzungsbedingungen eines sozialen Netzwerks) bereits Gelegenheit, sich zur Verwendung von „Off-Site“-Daten im Kontext anderer Plattformen zu äußern(35). In diesem Rahmen hat der Gerichtshof entschieden, dass Art. 9 Abs. 2 Buchst. e DSGVO dahin auszulegen ist, dass ein Nutzer eines sozialen Online-Netzwerks, wenn er Websites oder Apps in Verbindung zu einer oder mehreren der in Art. 9 Abs. 1 DSGVO genannten Kategorien von Daten aufruft, die diesen Aufruf betreffenden Daten, die der Betreiber dieses sozialen Online-Netzwerks über Cookies oder ähnliche Speichertechnologien erhebt, nicht im Sinne der erstgenannten Bestimmung offensichtlich öffentlich macht, und dass ein solcher Nutzer, wenn er Daten auf solchen Websites oder in solchen Apps eingibt oder darin eingebundene Schaltflächen betätigt – wie etwa „Gefällt mir“ oder „Teilen“ oder Schaltflächen, die es dem Nutzer ermöglichen, sich auf diesen Websites oder in diesen Apps unter Verwendung der Anmeldedaten, die mit seinem Konto als Nutzer des sozialen Netzwerks, seiner Telefonnummer oder seiner E‑Mail-Adresse verknüpft sind, zu identifizieren –, die eingegebenen oder sich aus der Betätigung dieser Schaltflächen ergebenden Daten nicht im Sinne von Art. 9 Abs. 2 Buchst. e DSGVO offensichtlich öffentlich macht, es sei denn, er hat zuvor, gegebenenfalls durch in voller Kenntnis der Sachlage vorgenommene individuelle Einstellungen, seine Entscheidung ausdrücklich zum Ausdruck gebracht, die ihn betreffenden Daten einer unbegrenzten Zahl von Personen öffentlich zugänglich zu machen(36).
38. Dies vorausgeschickt, hat es das vorlegende Gericht für erforderlich gehalten, seine vierte Vorlagefrage aufrechtzuerhalten, da die vom Gerichtshof in der letztgenannten Rechtssache geprüften Handlungen den Aufruf von Websites oder Apps oder die Betätigung von Schaltflächen betroffen hätten, während es im vorliegenden Fall um eine bei einer Podiumsdiskussion gemachte Äußerung der betroffenen Person zu ihrer sexuellen Orientierung gehe. Insoweit ist das vorlegende Gericht der Auffassung, dass aus einer solchen Äußerung keine Einwilligung im Sinne dieses Art. 9 Abs. 2 Buchst. e DSGVO abgeleitet werden könne.
39. Insoweit erscheint es mir angebracht, zwischen der Vorfrage, ob die Äußerung des Klägers zu seiner sexuellen Orientierung eine Handlung darstellt, mit der er diese Orientierung im Sinne von Art. 9 Abs. 2 Buchst. e DSGVO offensichtlich öffentlich macht, und – bei deren Bejahung – der Frage zu unterscheiden, ob die Tatsache, dass der Kläger seine sexuelle Orientierung offensichtlich öffentlich gemacht hat, die Verarbeitung von Daten zu dieser sexuellen Orientierung für Zwecke der personalisierten Werbung im Sinne u. a. der Art. 5 und 6 dieser Verordnung erlaubt.
40. Was erstens die Frage betrifft, wie die Äußerung des Klägers im Sinne von Art. 9 Abs. 2 Buchst. a DSGVO zu qualifizieren ist, stelle ich mangels sachdienlicher Hinweise, die sich aus der Entstehungsgeschichte dieser Bestimmung und ihrer Anwendung in der Rechtsprechung(37) hätten ergeben können, fest, dass die in Art. 9 Abs. 2 Buchst. e dieser Verordnung verankerte Ausnahme im Wesentlichen erfordert, dass zwei Bedingungen kumulativ erfüllt sind, nämlich zum einen die „objektive“ Bedingung, dass die betreffenden personenbezogenen Daten „offensichtlich öffentlich gemacht“ werden müssen, und zum anderen die „subjektive“ Bedingung, dass diese Daten durch die „betroffene Person“ offensichtlich öffentlich gemacht werden müssen.
41. Im Ausgangsverfahren sind diese beiden Bedingungen – vorbehaltlich der dem vorlegenden Gericht obliegenden Prüfungen – meines Erachtens erfüllt. Denn ich bin der Auffassung, dass die Äußerung des Klägers, obwohl sie beiläufig im Rahmen eines umfassenderen und kritischen Beitrags über die Verarbeitung sensibler Daten durch Meta Platforms Ireland offengelegt wurde, eine Handlung darstellt, mit der er in voller Kenntnis der Sachlage seine sexuelle Orientierung offensichtlich öffentlich macht.
42. Was die erste Bedingung angeht, halte ich es für sehr wahrscheinlich, dass die Äußerung des Klägers angesichts des offenen Charakters der live und dann als Streaming übertragenen Podiumsdiskussion(38) sowie des Interesses der Öffentlichkeit an dem dort behandelten Thema ein unbestimmtes Publikum hat erreichen können, das weit über das im Saal anwesende Publikum hinausging(39).
43. Was die zweite Bedingung betrifft, ist es meines Erachtens sehr wohl möglich, davon auszugehen, dass der Kläger, indem er unter den Umständen des vorliegenden Falles (insbesondere im Rahmen einer offenen und der Presse zugänglichen Veranstaltung) seine sexuelle Orientierung offen erwähnte, wenn schon nicht die Absicht, so doch zumindest das volle Bewusstsein hatte, diese Orientierung im Sinne der in Nr. 35 der vorliegenden Schlussanträge angeführten Rechtsprechung „offensichtlich öffentlich“ zu machen(40).
44. Im Übrigen besteht der Zweck des durch Art. 9 Abs. 1 DSGVO gewährten Schutzes meines Erachtens darin, zu verhindern, dass die betroffene Person nachteiligen Folgen (wie insbesondere öffentlicher Stigmatisierung oder diskriminierenden Handlungen) ausgesetzt wird, die sich u. a. aus einer negativen Wahrnehmung der dort aufgeführten Situationen aus sozialer oder wirtschaftlicher Sicht ergeben(41). Diese Bestimmung sieht daher einen besonderen Schutz dieser personenbezogenen Daten durch ein grundsätzliches, nicht absolutes Verbot vor, dessen Anwendung auf den konkreten Fall der Beurteilung durch die betroffene Person unterliegt, die am besten in der Lage ist, die nachteiligen Folgen zu beurteilen, die sich aus der Offenlegung der fraglichen Daten ergeben könnten, und gegebenenfalls in voller Kenntnis der Sachlage auf diesen Schutz verzichten oder sich nicht darauf berufen kann, indem sie ihre Situation, insbesondere ihre sexuelle Orientierung, im Sinne von Art. 9 Abs. 2 Buchst. e DSGVO offensichtlich öffentlich macht.
45. Was zweitens die Prüfung der Folgen auf der Ebene der von Meta Platforms Ireland vorgenommenen Verarbeitung dieser sensiblen Daten im Sinne der Art. 5 und 6 DSGVO betrifft, die sich daraus ergeben, dass die eigene sexuelle Orientierung offensichtlich öffentlich gemacht wird, bin ich der Ansicht, dass der Umstand, dass Daten im Sinne von Art. 9 Abs. 2 Buchst. e DSGVO offensichtlich öffentlich gemacht wurden, für sich genommen nicht erlaubt, eine Verarbeitung dieser Daten im Sinne dieser Verordnung vorzunehmen.
46. Die Anwendung der letztgenannten Bestimmung hat nämlich lediglich zur Folge, dass der „besondere Schutz“, der bestimmten besonders sensiblen personenbezogenen Daten gewährt wird, aufgehoben wird. Wird dieser Schutz durch die betroffene Person selbst (die diese Daten offensichtlich öffentlich gemacht hat) bewusst aufgehoben, so werden diese ursprünglich „geschützten“ personenbezogenen Daten zu „gewöhnlichen“ (d. h. nicht sensiblen) Daten, die wie alle anderen personenbezogenen Daten nur unter den u. a. in den Art. 6 und 7 DSGVO vorgesehenen Voraussetzungen und unter Beachtung der u. a. in Art. 5 dieser Verordnung verankerten Grundsätze(42) – einschließlich des in Art. 5 Abs. 1 Buchst. b DSGVO verankerten Grundsatzes der Zweckbindung, der vorschreibt, dass personenbezogene Daten für festgelegte, eindeutige und legitime Zwecke erhoben werden müssen, wofür gemäß Abs. 2 dieser Bestimmung der für die Verarbeitung Verantwortliche den Nachweis zu erbringen hat – Gegenstand einer rechtmäßigen Verarbeitung sein können(43).
47. Daher kann der Umstand, dass sich der Kläger im Rahmen einer Podiumsdiskussion zu seiner sexuellen Orientierung geäußert hat, obwohl dies zu dem Schluss führen kann, dass diese Person diese Daten unter den Umständen des vorliegenden Falles im Sinne von Art. 9 Abs. 2 Buchst. e DSGVO „offensichtlich öffentlich gemacht“ hat, für sich genommen nicht die Verarbeitung personenbezogener Daten rechtfertigen, aus denen die sexuelle Orientierung dieser Person hervorgeht(44).
48. In Anbetracht des Vorstehenden schlage ich vor, auf die vierte Vorlagefrage zu antworten, dass Art. 5 Abs. 1 Buchst. b in Verbindung mit Art. 9 Abs. 2 Buchst. e DSGVO dahin auszulegen ist, dass eine Äußerung über die eigene sexuelle Orientierung für die Zwecke einer öffentlichen Podiumsdiskussion zwar eine Handlung darstellen kann, mit der die betroffene Person dieses Datum im Sinne von Art. 9 Abs. 2 Buchst. e dieser Verordnung „offensichtlich öffentlich gemacht“ hat, jedoch für sich genommen nicht die Verarbeitung dieser Daten oder anderer Daten zur sexuellen Orientierung dieser Person für Zwecke der Aggregation und Analyse von Daten zum Zweck der personalisierten Werbung erlaubt.
Ergebnis
49. Nach alledem schlage ich dem Gerichtshof vor, die zweite und die vierte Vorlagefrage des Obersten Gerichtshofs (Österreich) wie folgt zu beantworten:
1. Art. 5 Abs. 1 Buchst. c der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung)
ist dahin auszulegen,
– dass er der Verarbeitung personenbezogener Daten für Zwecke der zielgerichteten Werbung ohne Einschränkung nach Zeit oder Art der Daten entgegensteht und
– dass es Sache des vorlegenden Gerichts ist, unter Berücksichtigung der Umstände des Einzelfalls und unter Anwendung des Grundsatzes der Verhältnismäßigkeit zu beurteilen, inwieweit der Zeitraum der Speicherung der Daten und die Menge der verarbeiteten Daten im Hinblick auf das legitime Ziel der Verarbeitung dieser Daten für Zwecke der personalisierten Werbung gerechtfertigt sind.
2. Art. 5 Abs. 1 Buchst. b in Verbindung mit Art. 9 Abs. 2 Buchst. e der Verordnung 2016/679
ist dahin auszulegen,
– dass eine Äußerung über die eigene sexuelle Orientierung für die Zwecke einer öffentlichen Podiumsdiskussion zwar eine Handlung darstellen kann, mit der die betroffene Person dieses Datum im Sinne von Art. 9 Abs. 2 Buchst. e dieser Verordnung „offensichtlich öffentlich gemacht“ hat, jedoch für sich genommen nicht die Verarbeitung dieser Daten oder anderer Daten zur sexuellen Orientierung dieser Person für Zwecke der Aggregation und Analyse von Daten zum Zweck der personalisierten Werbung erlaubt.