Legt man als Nutzer ein Profil auf Facebook an, muss man seit Inkrafttreten der DSGVO die neuen Nutzungsbedingungen inklusive der „Daten-Richtlinie“, der „Cookie-Richtlinie“ und der „Rechtsgrundlage-Information“ akzeptieren. Darin enthalten ist z.B. eine Zustimmungserklärung des Nutzers für die Verwendung seiner Daten zur Bereitstellung von personalisierter Werbung. Den Vertragsbedingungen nach kann Facebook hierfür auch sensible Daten, wie die politische Meinung oder die sexuellen Orientierung, sowie auch Daten, die Facebook von Dritten mittels z.B. Cookies, Social Plugins oder Pixel erhält, heranziehen. Facebook rechtfertigt diese Datenverarbeitung damit, dass sie zur Erfüllung ihrer Vertragsverpflichtungen erforderlich sei. Der Oberster Gerichtshof (OGH) hält diese Auffassung jedoch keinesfalls für selbstverständlich. Die Kernfrage des vorliegenden Verfahrens ist, so der OGH, ob die Willenserklärung zur Verarbeitung von der Beklagten unter das Rechtskonzept der „Vertragserfüllung“ geschoben werden kann, um damit den deutlich höheren Schutz, den eine „Einwilligung“ für den Kläger bietet, auszuhebeln. Hierfür erachtet der OGH den „objektiven Vertragszweck“ als maßgeblich und meint: die „Erforderlichkeit einer Datenverarbeitung zur Vertragserfüllung hängt davon ab, ob ein unmittelbarer sachlicher Zusammenhang zwischen der beabsichtigten Datenverarbeitung und dem konkreten Zweck des rechtsgeschäftlichen Schuldverhältnisses besteht. …Die Tatsache, dass die Zwecke der Verarbeitung durch vom Anbieter formulierte Vertragsklauseln abgedeckt sind, bedeutet nicht automatisch, dass die Verarbeitung für die Erfüllung des Vertrags erforderlich ist.“
Ebenfalls legt der OGH dem EuGH die Frage zur Auslegung vor, ob es mit dem Grundsatz der Datenminimierung vereinbar ist, dass Facebook alle personenbezogenen Daten von Nutzern (auch jene, welche von Dritten durch z.B. Cookies, Social Plugins oder Pixel gesammelt werden) ohne Einschränkung für personalisierte Werbung analysiert, aggregiert oder verarbeitet. Weitere zwei Vorlagefragen befassen sich mit der zulässigen Verwendung von sensiblen Daten für etwa Werbezwecke, wenn Facebook diese Daten nicht differenziert hat bzw Verbraucher diese nicht auf der Plattform veröffentlicht haben, die Informationen jedoch öffentlich bekannt sind. Für eine Entscheidung dieser vorgelegten Fragen ist nun der EuGH zuständig.
Teilurteil zu Schadenersatz
Im konkreten Anlassfall hat der betroffene Verbraucher an Facebook auch einen Antrag auf Auskunft der von ihm verarbeiteten Daten gestellt. Dieser wurde von Facebook über längere Zeit nicht ausreichend beantwortet. Hierbei beurteilt der OGH auch das von Facebook zur Auskunftserteilung bereitgestellte Online-Tool für unzureichend. In diesem musste der Kläger „mindestens 60 Datenkategorien mit Hunderten, wenn nicht Tausenden von Datenpunkten durchsuchen, was mehrere Stunden Arbeit erfordern würde.“ Als Folge der unzureichenden Auskunftserteilung hat das Gericht festgestellt, dass der Betroffenen „massiv genervt“ ist und, dass es den Kläger stört, dass er über einen Teil der Daten „keine Kontrolle hat, weil sie in den Tools nicht angezeigt werden“. Laut OGH ist es nicht erforderlich, dass der Kläger unter einer psychischen Beeinträchtigung leiden muss, um einen Schadenersatzanspruch zu begründen. Mit der vorliegenden Feststellung ist klargestellt, „dass tatsächlich ein spürbarer und objektiv nachvollziehbarer immaterieller Schaden vorliegt.“ Die Vorinstanzen haben dem Kläger hierfür bereits EUR 500,- Schadenersatz zugesprochen. Dies bestätigte der OGH nun mittels Teilurteil.
OGH 23.6.2021, 6 Ob 56/21k
Das (Teil-)Urteil im Volltext.
Der Vorlagebeschluss im Volltext.
