Facebook vs. Max Schrems: Kernfrage landet vorm EuGH

Facebook muss dem österreichischen Datenschutz-Aktivisten Max Schrems 500 Euro Schadenersatz zahlen wegen einem mangelnden Zugang zu seinen eigenen Daten. Dies bestätigte der OGH in einem Teilurteil in dritter Instanz. Facebook muss außerdem beweisen, alle Daten wirklich herausgegeben zu haben. Doch die eigentliche Kernfrage des jahrelang andauernden Prozesses, schickt der OGH einmal mehr zum Europäischen Gerichtshof (EuGH) (PDF).

Bei der Kernfrage geht es darum, ob Facebook die europäische Datenschutzgrundverordnung (DSGVO) ausgehebelt - also umgangen hat - oder nicht. Der OGH zweifelt daran, dass Facebook für die Datenverarbeitung der Nutzer*innen-Daten eine geeignete Rechtsgrundlage hat.

Vertrag oder Einwilligung

Facebook muss mit den Nutzer*innen entweder einen Vertrag schließen, um ihre Daten nutzen zu können; oder aber ihre Einwilligung einholen. Bevor die DSGVO in Kraft getreten war, hat Facebook immer erklärt, die Nutzer*innen hätten in die Datenverarbeitung eingewilligt. Doch die DSGVO hat die Situation verändert: Die Anforderungen, was als Einwilligung gilt und was nicht, wurden verschärft. Daraufhin hat Facebook plötzlich argumentiert, mit den Nutzer*innen Verträge geschlossen zu haben.

Damit umgeht laut Ansicht von Max Schrems Facebook die Möglichkeit der Nutzer*innen, eine „freie, informierte“ Einwilligung zu treffen. Der OGH lässt diese Kernfrage nun vom EuGH prüfen und scheint die Bedenken von Schrems diesbezüglich zu teilen. "Eine Kernfrage des vorliegenden Verfahrens ist, ob die Willenserklärung zur Verarbeitung von der Beklagten verschoben werden kann, um damit den deutlich höheren Schutz, den die  Rechtsgrundlage 'Einwilligung' für den Kläger bietet, 'auszuhebeln'“, heißt es seitens des OGH.

Doch warum ist das überhaupt wichtig? Max Schrems, der mittlerweile mit noyb.eu eine Datenschutz-NGO gegründet hat, erklärt das folgendermaßen: „Fast jede Datennutzung, mit der Facebook in der EU Gewinne erzielt, beruht auf dieser Umgehung. Verliert Facebook vor dem EuGH, müssten sie nicht nur damit aufhören Daten zu missbrauchen und illegal gesammelte Daten löschen, sondern auch Millionen von Nutzern Schadenersatz zahlen. Wir sind über die Vorlage daher sehr glücklich.“

Sexuelle Orientierung und personenbezogene Werbung

Der EuGH wird aber auch noch weitere Fragen in dem Verfahren klären. Darunter befindet sich die Frage, ob durch Like-Buttons auf externen Websites gesammelten Daten mit dem Grundsatz der Datenminimierung vereinbar sind oder nicht. Zwei weitere Fragen beziehen sich auf Fragen der Filterung und Verwendung sensibler Daten (wie politische Ansichten oder sexuelle Orientierung) für personalisierte Werbung.

Auch diese Fragen sind laut Schrems sehr wichtig. „Facebook darf dann möglicherweise selbst bei einer gültigen Einwilligung nicht mehr alle Daten für Werbung nutzen“, so Schrems. Bisher nutzt Facebook nämlich auch diese Daten, um personalisierte Werbung anzuzeigen.

Verfahren von Schrems vor dem EuGH

Damit ist es das dritte Mal, das ein Verfahren von Max Schrems vor dem EuGH landet: Beim ersten Mal wurde „Safe Harbor“ gekippt, beim zweiten Mal das „Privacy Shield“, zwei Datenabkommen zum Austausch der Daten zwischen der EU und den USA.