Rechtsanwältin und Expertin für E-Commerce, Wettbewerbsrecht und Vertriebsrecht
T (+49) 040 / 7344 086-0
Rechtsanwältin & Expertin für IT-Recht und Datenschutz
T (+49) 040 / 7344 086-0
Rechtsanwältin, Fachanwältin für Informationstechnologierecht & Zertifizierte Datenschutzbeauftragte (TÜV)
T (+49) 040 / 7344 086-0
Blog News
Meta weiß mehr, als vielen lieb ist. Und diesmal geht es im Kontext von Meta-Werbung in einem aktuellen Rechtsfall nicht um abstrakte Tracking-Debatten oder technische Feinheiten, sondern um knallharte Rechte von Nutzerinnen und Nutzern. Wer entscheidet eigentlich, wie tief Plattformen in persönliche Lebensbereiche blicken dürfen? Wer kontrolliert, was mit Daten aus Apps, Webseiten und scheinbar harmlosen Klicks passiert? Und wer zieht die Grenze, wenn wirtschaftliche Interessen auf Privatsphäre treffen?
Diese Fragen standen vor Gericht im Mittelpunkt und das Urteil verändert das Kräfteverhältnis zwischen Plattformen und Nutzern spürbar. Und es zeigt, wie ernst Gerichte den Anspruch auf Kontrolle über die eigenen Daten inzwischen nehmen.
Ausgangspunkt war ein Auskunftsverlangen eines Facebook-Nutzers gegen Meta. Im Kern ging es darum, welche personenbezogenen Daten Meta für Werbung verarbeitet, woher diese Daten stammen, an wen sie fließen und wofür sie eingesetzt werden. Ein wesentlicher Streitpunkt entstand vor allem dort, wo Daten aus dem Umfeld des Nutzers kommen, etwa durch Business-Tools wie Social Plugins, Facebook-Login, APIs, SDKs oder Pixel, also Schnittstellen, über die auch Dritte Informationen an Meta übermitteln.
Parallel stand die Frage im Raum, auf welcher Grundlage Daten für personalisierte Meta-Werbung sowie für Werbeauswertung und Datenanalyse verarbeitet. In der Entscheidung wird deutlich, dass die Werbeverarbeitung rund um Meta-Werbung als eigenständiger Zweck betrachtet wird und damit eigene Anforderungen an Rechtsgrundlage und Einwilligung auslöst.
Das Wichtigste zum Fall
Im Verfahren wurde Art. 9 DSGVO zum Dreh- und Angelpunkt, da Meta über Tracking, Plugins und ähnliche Techniken auch Daten erfasst, die Rückschlüsse auf besonders geschützte Bereiche zulassen. Entscheidend war dabei der Maßstab des EuGH, den der OGH übernimmt. Seinem Urteil zufolge kommt es darauf an, ob die Verarbeitung Informationen, die unter die besonderen Kategorien fallen, offengelegt werden. Das gilt unabhängig davon, ob Meta solche Daten gezielt erhebt oder ob die Information am Ende zutrifft.
Konkret reichte schon die Speicherung von Informationen über den Besuch bestimmter Drittseiten, etwa von Angeboten mit Bezug zur sexuellen Orientierung oder zu politischen Inhalten, um Art. 9 als Grundlage heranzuziehen. Selbst wenn eine Person einzelne Aspekte ihrer Identität öffentlich gemacht haben kann, erlaubt das keine pauschale Weiterverarbeitung damit zusammenhängender Nutzungsdaten für etwa Meta-Werbung. Genau hier zieht das Urteil die Grenze und stellt klar, dass Meta Art. 9 auch dann beachten muss, wenn die Systeme technisch nicht zwischen sensiblen und sonstigen Daten trennen.
Art. 9 DSGVO Verarbeitung besonderer Kategorien personenbezogener Daten
Die Mitgliedstaaten können zusätzliche Bedingungen, einschließlich Beschränkungen, einführen oder aufrechterhalten, soweit die Verarbeitung von genetischen, biometrischen oder Gesundheitsdaten betroffen ist.
Der OGH verpflichtet Meta, dem Kläger binnen vierzehn Tagen schriftlich und kostenlos eine vollständige Auskunft nach Art. 15 DSGVO zu erteilen und dabei neben der Kopie der verarbeiteten personenbezogenen Daten auch die zugehörigen Metainformationen offenzulegen, insbesondere Verarbeitungszwecke, Empfänger sowie die Herkunft von Daten, die aus Drittquellen stammen.
Der Gerichtshof stellt klar, dass Betroffene Auskunft über alle vorhandenen Daten und Metadaten verlangen können und dass ein Verweis auf verstreute Informationsquellen, allgemeine Richtlinien oder Download- und Zugriffstools die DSGVO-Anforderungen an präzise, transparente und verständliche Information nicht erfüllt.
Zudem präzisiert der OGH die Auskunft zu Empfängern, indem er sich an der EuGH-Linie orientiert, wonach grundsätzlich die Identität der Empfänger mitzuteilen ist, sobald diese bestimmbar sind.
Das Urteil markiert einen deutlichen Wendepunkt für datengetriebene Geschäftsmodelle in Europa. Der OGH hat unmissverständlich klargestellt, dass umfassende Transparenz wie bei Meta-Werbung kein optionaler Service, sondern eine einklagbare Pflicht ist. Plattformen müssen offenlegen, welche personenbezogenen Daten sie verarbeiten, woher diese stammen, wofür sie genutzt werden und an wen sie weitergegeben werden. Pauschale Datenschutzerklärungen, Download-Tools oder technische Ausreden reichen dafür nicht aus.
Zugleich wird das Fundament personalisierter Meta-Werbung weiter eingeengt. Tracking und Profilbildung setzen eine echte, freiwillige Einwilligung voraus. Ohne diese fehlt es an einer tragfähigen Rechtsgrundlage. Besonders brisant ist die klare Linie zu sensiblen Daten. Auch wenn solche Informationen nicht gezielt erhoben werden, greifen die strengen Schutzvorgaben des Art. 9 DSGVO. Eine fehlende technische Trennung oder fehlender Vorsatz entlastet nicht.
Für Betroffene zeigt die Entscheidung, dass Datenschutzrechte praktisch durchsetzbar sind und Schadensersatz realistisch bleibt. Für Unternehmen bedeutet sie steigenden Anpassungsdruck. Transparenz, saubere Rechtsgrundlagen und eine belastbare Trennung sensibler Daten sind kein Compliance-Detail, sondern ein zentrales Haftungsthema. Wer sein Werbe- und Datenmodell hier nicht konsequent neu ausrichtet, riskiert weitreichende rechtliche und wirtschaftliche Folgen.
Haben Sie Fragen dazu, welche Daten Ihr Unternehmen im Rahmen von Tracking und Werbetechnologie tatsächlich verarbeitet? Sind Sie sicher, dass Einwilligungen wirksam eingeholt, protokolliert und technisch durchgesetzt werden? Wissen Sie, ob Auskunftsanfragen vollständig beantwortet werden können, inklusive Datenquellen, Empfänger und Zwecke? Und sind Ihre Prozesse so aufgesetzt, dass sensible Daten getrennt behandelt werden und keine ungewollten Rückschlüsse entstehen?
Wir von SBS LEGAL unterstützen Sie bei der Abwehr behördlicher Bußgeldverfahren, begleiten Einzelmaßnahmen in der Öffentlichkeitsarbeit und im Marketing wie Werbemails, Umfragen, Gewinnspiele oder Fotoaufnahmen und beraten zu datenschutzrechtlichen Fragen rund um Online-Business, Online-Shop und E-Commerce. Wir prüfen Vertragsbeziehungen auf DSGVO-Konformität, klären die Erforderlichkeit eines Datenschutzbeauftragten oder Datenschutzvertreters, führen Audits zur Datenschutz-Compliance durch, auch gemeinsam mit der SBS Data GmbH, und sichern internationalen Datentransfer sowie Datennutzung rechtlich ab. Darüber hinaus gestalten und prüfen wir AV-Verträge, Joint-Controller-Agreements und erforderliche Rechtstexte wie Einwilligungen und unterstützen bei internen Verpflichtungen von Arbeitnehmern im Datenschutz sowie bei Compliance-Richtlinien.
Für weitere Rückfragen stehen wir Ihnen jederzeit gerne auch telefonisch zur Verfügung. Wünschen Sie die Rechtsberatung von dem erfahrenen Team aus Fachanwälten und Spezialisten von SBS LEGAL?