SBS Firmengruppe Logos

| Datenschutzrecht

EuGH: Facebook Modell zum Datensammeln unzulässig?


Diese Daten sammelt Facebook

Der Konzern Meta, ehemals Facebook, finanziert sich größtenteils über Werbeeinnahmen. Hierbei wird auf den zu Meta gehörenden sozialen Netzwerken wie Facebook oder Instagram zielgerichtet Werbung geschaltet. Das funktioniert, weil Meta Nutzerdaten sammelt und daher den Werbetreibenden ermöglicht, Zielgruppen auszuwählen.

Meta sammelt aber nicht nur Daten direkt aus dem Facebook-Verhalten. Es werden auch weitere nutzer- und gerätebezogene Daten innerhalb und außerhalb des sozialen Netzwerks gesammelt. Diese lassen insgesamt detaillierte Rückschlüsse auf die Präferenzen und Interessen der Nutzer zu. Der Europäische Gerichtshof (EuGH) entschied nun am 4. Juli 2023 dazu (Az. C‑252/21).

Alles einvernehmlich – oder?

Um einen Account zu erstellen, muss man dem Nutzungsvertrag von Meta zustimmen. Darin sind auch die Allgemeinen Nutzungsbedingungen enthalten. Ohne eine Zustimmung kann man das soziale Netzwerk nicht nutzen.

Insbesondere bezüglich des Sammelns sog. Off-Facebook-Daten war das kritisch. Das Bundeskartellamt verabschiedete schon Anfang 2019 einen Beschluss, in dem festgelegt wurde, dass solche Daten nicht von der Einwilligung der Nutzer erfasst waren. Die erteilten Einwilligungen waren unwirksam, soweit sie eine Bedingung für die Nutzung des sozialen Netzwerks darstellten.

Marktmissbrauch durch Facebook?

Das Bundeskartellamt sah in dem Verhalten des Unternehmens einen Missbrauch seiner marktbeherrschenden Stellung. Nach nationalem Kartellrecht, also dem Gesetz gegen Wettbewerbsbeschränkungen (GWB), würde das Verhalten nicht mit den Werten der Datenschutzgrundverordnung (DSGVO) im Einklang stehen.

Meta Platforms, Meta Platforms Ireland und Facebook Deutschland legten gegen diesen Beschluss Beschwerde beim Oberlandesgericht Düsseldorf ein. Sie führten am 31. Juli 2019 auch neue Nutzungsbedingungen ein, durch die sich Nutzer ausdrücklich mit der Anzeige von Werbung einverstanden erklärten.

Schließlich bietet Meta seit dem 28. Januar 2020 weltweit die „Off-Facebook-Activity“ an, die es den Nutzern des sozialen Netzwerks Facebook ermöglicht, sich eine Zusammenfassung der sie betreffenden Off-Facebook-Daten anzeigen zu lassen. Man kann diese Daten auf Wunsch von seinem Facebook-Konto trennen, sowohl für die Vergangenheit als auch für die Zukunft.

Das OLG Düsseldorf hegte Zweifel hinsichtlich einiger Kernpunkte des Verfahrens. Vor allem, ob Meta die Off-Facebook-Daten sammeln darf und ob eine AGB-Einwilligung darin wirksam ist. Darum legte das OLG die Kernfragen des Verfahrens dem EuGH zur Beantwortung vor.

Bundeskartellamt zuständig

Zunächst war unklar, ob das Bundeskartellamt als nationale Wettbewerbsbehörde überhaupt befugt war, über die Vereinbarkeit von Metas Nutzungsbedingungen mit der DSGVO zu urteilen. Die DSGVO berechtigt sog. Aufsichtsbehörden, solche Dinge zu prüfen.

Zum Beispiel in Art. 51 Abs. 1 DSGVO

Jeder Mitgliedstaat sieht vor, dass eine oder mehrere unabhängige Behörden für die Überwachung der Anwendung dieser Verordnung zuständig sind, damit die Grundrechte und Grundfreiheiten natürlicher Personen bei der Verarbeitung geschützt werden und der freie Verkehr personenbezogener Daten in der Union erleichtert wird (im Folgenden „Aufsichtsbehörde“).


> Das musst du bei der Datenschutzerklärung beachten.

Nationale Wettbewerbsbehörden sind jedoch von Aufsichtsbehörden zu unterscheiden. Laut dem EuGH hat das Bundeskartellamt hier jedoch seine Pflicht zur loyalen Zusammenarbeit mit den betreffenden nationalen Aufsichtsbehörden und der federführenden Aufsichtsbehörde erfüllt.

Personenbezogene Daten

Weiter war zu klären, wie es sich mit den Off-Facebook-Daten verhält. Das sind z.B. Daten, die von der Nutzung der Instagram-App gesammelt werden und dann mit den gesammelten Daten aus dem Facebook-Profil verknüpft werden. Fraglich war, ob dieses Modell zum Datensammeln unter „Verarbeitung besonderer Kategorien personenbezogener Daten“ nach Art. 9 DSGVO fällt, der das grundsätzlich untersagt.

Grundsatz: Art. 9 Abs. 1 DSGVO

Die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person ist untersagt.


Der EuGH stellte fest, dass es sich bei den Off-Facebook-Daten um solche personenbezogenen Daten handelt. Denn daraus lassen sich Rückschlüsse auf diverse persönliche Verhältnisse der Nutzer ziehen.

Offensichtlich öffentlich gemacht

In Art. 9 Abs. 2 DSGVO werden dann Ausnahmen aufgelistet, die eine solche Datenverarbeitung doch gestatten. Vorliegend war Art. 9 Abs. 2 lit. e DSGVO einschlägig: Eine Verarbeitung personenbezogener Daten ist ausnahmsweise gestattet, wenn die betroffene Person sie offensichtlich öffentlich gemacht hat.

Laut dem EuGH beabsichtige der Nutzer mit dem Aufruf von Websites oder Apps keineswegs, diese Daten öffentlich zu machen. Höchstens könnte er damit rechnen, dass der jeweilige Betreiber seine Daten sammelt – nicht aber Facebooks Verarbeitungsmechanismen. Eine Ausnahme kann nur bestehen, wenn der Nutzer in voller Kenntnis der Sachlage explizit seine Entscheidung zum Ausdruck gebracht hat, die ihn betreffenden Daten einer unbegrenzten Zahl von Personen öffentlich zugänglich zu machen.

Sind solche Daten erforderlich?

Die nächste wichtige Frage war, ob die Verarbeitung solcher Daten als „erforderlich“ i.S.v. Art. 6 Abs. 1 Unterabs. 1 lit. b, f DSGVO einzustufen ist. 

Erforderlichkeit der Daten gem. Art. 6 Abs. 1 DSGVO

Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist: [...]

lit. b: die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen; [...]

lit. f: die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.


Damit eine Verarbeitung personenbezogener Daten als für die Erfüllung eines Vertrags erforderlich i.S.d. Art. 6 Abs. 1 Unterabs. 1 lit. b DSGVO angesehen werden kann, muss sie objektiv unerlässlich sein, um einen Zweck zu verwirklichen, der notwendiger Bestandteil der für die betroffene Person bestimmten Vertragsleistung ist. Hierfür trägt der Verantwortliche die Beweislast.

Es reicht nicht, dass die Datenverarbeitung für den Nutzungsvertrag hilfreich ist – nein, sie muss wesentlich sein, es darf also keine weniger einschneidenden Alternativen geben.

Rechtfertigung für Meta

Als Rechtfertigung für die Datenverarbeitung kämen zwei Gründe in Betracht: Die Personalisierung der Inhalte sowie die durchgängige und nahtlose Nutzung der Dienste des Meta-Konzerns.

Eine Personalisierung mache laut EuGH das Erlebnis für den Nutzer zwar angenehmer. Jedoch sei sie nicht erforderlich, um den Dienst anbieten zu können. Sie sei somit nicht objektiv unerlässlich.

Auch die nahtlose Nutzung der Meta-Dienste reiche nicht aus. Sie können voneinander völlig unabhängig genutzt werden – man braucht nicht etwa Facebook, um Instagram nutzen zu können.

Wenigstens berechtigtes Interesse?

Es gäbe auch noch eine weitere Möglichkeit. Und zwar ein berechtigtes Interesse von Meta an der Datenverarbeitung nach Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO.

Als Rechtfertigung kommen bei Meta in Betracht:

> Die Personalisierung der Werbung

> Die Netzwerksicherheit

> Die Produktverbesserung

> Die Information von Strafverfolgungs- und Strafvollstreckungsbehörden

> Die etwaige Minderjährigkeit des Nutzers

> Forschung und Innovation für soziale Zwecke

> Das an Werbekunden und sonstige Geschäftspartner gerichtete Angebot von Dienstleistungen für die Marketing-Kommunikation mit dem Nutzer und von Analyseinstrumenten


Der EuGH ließ offen, ob Meta sich vorliegend darauf berufen darf. Einige dieser Rechtfertigungen könnten tatsächlich als berechtigte Interessen des Verantwortlichen eingestuft werden. Es sei jedoch zweifelhaft, ob sie wirklich erforderlich sind und ob die Interessen oder Grundrechte und Grundfreiheiten der Nutzer nicht überwiegen.

Zu anderen Rechtfertigungsmöglichkeiten konnte sich der EuGH mangels Angaben des vorlegenden Gerichts nicht konkret äußern. Eine Antwort werden wir also erst mit dessen Urteil erhalten.

Marktbeherrschende Stellung schließt Einwilligung aus?

Als letzte Frage war vom EuGH zu prüfen, ob eine Einwilligung noch als freiwillig erteilt gesehen werden kann, wenn der Betreiber auf dem Markt für soziale Online-Netzwerke eine beherrschende Stellung einnimmt. Die Einwilligung ist nach Art. 6 Abs. 1 Unterabs. 1 Buchst. a und Art. 9 Abs. 2 Buchst. a DSGVO zu verstehen und muss gem. Art. 4 Nr. 11 DSGVO freiwillig sein.

Art. 6 Abs. 1 Unterabs. 1 lit. a DSGVO

Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:

Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben; [...]

Art. 9 Abs. 2 lit. a DSGVO

Absatz 1 gilt nicht in folgenden Fällen:

Die betroffene Person hat in die Verarbeitung der genannten personenbezogenen Daten für einen oder mehrere festgelegte Zwecke ausdrücklich eingewilligt, es sei denn, nach Unionsrecht oder dem Recht der Mitgliedstaaten kann das Verbot nach Absatz 1 durch die Einwilligung der betroffenen Person nicht aufgehoben werden [...]


Nach Art. 4 Nr. 11 DSGVO bezeichnet der Ausdruck „Einwilligung“ „jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist“.

Laut EuGH schließe allein die marktbeherrschende Stellung nicht aus, dass die Nutzer wirksam einwilligen können. Allerdings könne das die Wahlfreiheit eines Nutzers beeinflussen, was berücksichtigt werden müsse. Zudem kann dadurch ein klares Ungleichgewicht zustande kommen.

Der EuGH konnte sich nicht zum konkreten Fall äußern, jedoch legte er fest: Die Nutzer müssen gesondert für die Verarbeitung der Facebook-Daten einerseits und die Off-Facebook-Daten andererseits Einwilligung erteilen können. Sollte dies nicht der Fall sein, müsste die Einwilligung der Nutzer in die Verarbeitung der Off-Facebook-Daten als nicht freiwillig erteilt gelten. Insgesamt sieht es also stark so aus, als wäre Facebooks aktuelles Modell unzulässig.


SBS LEGAL – Ihre Kanzlei für das Datenschutzrecht

Datenschutz ist bereits seit einiger Zeit ein Thema, das Unternehmen fast täglich mit neuen rechtlichen Herausforderungen konfrontiert. Als Kanzlei für Datenschutz befasst sich SBS LEGAL im Datenschutzrecht mit den Anforderungen der Datenschutzgrundverordnung (DSGVO) und des Bundesdatenschutzgesetzes (BDSG). Für Unternehmen aus dem Bereich des Direktvertriebs und des Mittelstandes ist hierbei besonders das Erstellen einer korrekten Datenschutzerklärung attraktiv.

Haben Sie noch Fragen zum Datenschutzrecht?

Sie brauchen eine Beratung im Datenschutzrecht oder einen Datenschutzanwalt, etwa für den korrekten Umgang mit AGB und Nutzerdaten? Dann sind Sie bei uns richtig.

Der Erstkontakt zu SBS Legal ist immer kostenlos.

SBS Direktkontakt

telefonisch unter (+49) 040 / 7344086-0 oder
per E-Mail unter mail@sbs-legal.de oder
per unten angebotenem SBS Direktkontakt.

Ich habe die Datenschutz-Richtlinien gelesen und stimmen diesen hiermit zu.

Zurück zur Blog-Übersicht