Ein soziales Online-Netzwerk wie Facebook darf nicht sämtliche personenbezogenen Daten, die es für Zwecke der zielgerichteten Werbung erhalten hat, zeitlich unbegrenzt und ohne Unterscheidung nach ihrer Art verwenden.

Der Umstand, dass Herr Maximilian Schrems bei einer öffentlichen Podiumsdiskussion seine sexuelle Orientierung mitgeteilt hat, gestattet dem Betreiber einer Online-Plattform für ein soziales Netzwerk nicht, andere Daten über die sexuelle Orientierung von Herrn Schrems zu verarbeiten, die er gegebenenfalls außerhalb dieser Plattform im Hinblick darauf erhalten hat, sie zu aggregieren und zu analysieren, um Herrn Schrems personalisierte Werbung anzubieten.

Herr Maximilian Schrems wendet sich vor den österreichischen Gerichten gegen die seiner Ansicht nach rechtswidrige Verarbeitung seiner personenbezogenen Daten durch Meta Platforms Ireland im Rahmen des sozialen Online-Netzwerks Facebook. Dabei geht es u. a. um Daten zu seiner sexuellen Orientierung.

Meta Platforms erhebt personenbezogene Daten der Nutzer von Facebook, darunter Herr Schrems, über deren Tätigkeiten innerhalb und außerhalb dieses sozialen Netzwerks. Dazu gehören u. a. Daten über den Abruf der Online-Plattform sowie von Websites und Anwendungen Dritter. Zu diesem Zweck verwendet Meta Platforms auf den betreffenden Websites eingebaute „Cookies“¹, „Social Plugins“² und „Pixel“³.

Meta Platforms kann anhand der ihr zur Verfügung stehenden Daten auch das Interesse von Herrn Schrems an sensiblen Themen wie sexuelle Orientierung erkennen, was es ihr ermöglicht, hierzu zielgerichtete Werbung⁴ an ihn zu richten. Somit stellt sich die Frage, ob Herr Schrems ihn betreffende sensible personenbezogene Daten dadurch offensichtlich öffentlich gemacht hat, dass er bei einer öffentlichen Podiumsdiskussion⁵ die Tatsache, dass er homosexuell sei, mitgeteilt und somit die Verarbeitung dieser Daten gemäß der Datenschutz-Grundverordnung (DSGVO)⁶ genehmigt hat.

In diesem Kontext⁷ hat der österreichische Oberste Gerichtshof den Gerichtshof um Auslegung der DSGVO ersucht⁸.

Erstens antwortet der Gerichtshof, dass der in der DSGVO festgelegte Grundsatz der „Datenminimierung“ dem entgegensteht, dass sämtliche personenbezogenen Daten, die ein Verantwortlicher wie der Betreiber einer Online-Plattform für ein soziales Netzwerk von der betroffenen Person oder von Dritten erhält und die sowohl auf als auch außerhalb dieser Plattform erhoben wurden, zeitlich unbegrenzt und ohne Unterscheidung nach ihrer Art für Zwecke der zielgerichteten Werbung aggregiert, analysiert und verarbeitet werden.

Zweitens ist es nach Auffassung des Gerichtshofs nicht ausgeschlossen, dass Herr Schrems durch seine Aussage bei der fraglichen Podiumsdiskussion seine sexuelle Orientierung offensichtlich öffentlich gemacht hat. Es ist Sache des österreichischen Obersten Gerichtshofs, dies zu beurteilen.

Der Umstand, dass eine betroffene Person Daten zu ihrer sexuellen Orientierung offensichtlich öffentlich gemacht hat, führt dazu, dass diese Daten unter Einhaltung der Vorschriften der DSGVO verarbeitet werden können. Dieser Umstand allein berechtigt jedoch nicht, andere personenbezogene Daten zu verarbeiten, die sich auf die sexuelle Orientierung dieser Person beziehen.

Somit gestattet der Umstand, dass sich eine Person bei einer öffentlichen Podiumsdiskussion zu ihrer sexuellen Orientierung geäußert hat, dem Betreiber einer Online-Plattform für ein soziales Netzwerk nicht, andere Daten über ihre sexuelle Orientierung zu verarbeiten, die er gegebenenfalls außerhalb dieser Plattform von Anwendungen und Websites dritter Partner im Hinblick darauf erhalten hat, sie zu aggregieren und zu analysieren, um dieser Person personalisierte Werbung anzubieten.

Fußnoten

¹ Cookies, die auf dem verwendeten Gerät installiert sind, erlauben Meta, die Quelle der Aufrufe zuzuordnen.

² Die „Social Plugins“ von Facebook werden von dritten Betreibern von Websites in ihre Seiten „eingebaut“. Am weitesten verbreitet ist die Schaltfläche „Gefällt mir“ von Facebook. Bei jedem Abruf von Websites, die diese Schaltfläche enthalten, werden die auf dem verwendeten Gerät hinterlegten Cookies, die URL der besuchten Seite und weitere Daten wie IP-Adressen und Zeitangaben an Meta übertragen. Zu diesem Zweck ist es nicht erforderlich, dass der Nutzer die Schaltfläche „Gefällt mir“ angeklickt hat, da die bloße Betrachtung einer Website, die ein solches Plugin enthält, ausreicht, um diese Daten anschließend an diese Gesellschaft zu übermitteln.

³ Pixel können, ebenso wie Social Plugins, in die Seiten von Websites integriert werden und ermöglichen es, Informationen über die Nutzer zu erheben, die diese Seiten besucht haben, insbesondere um die Werbung auf diesen Seiten zu messen und zu optimieren. Beispielsweise können Betreiber von Websites, indem sie einen Facebook-Pixel in ihre eigene Website integrieren, von Meta Berichte darüber erhalten, wie viele Personen ihre Werbung auf Facebook gesehen haben und sich dann anschließend mit ihrer eigenen Website verbunden haben, um diese zu besuchen oder einen Kauf zu tätigen.

⁴ Seit dem 6. November 2023 sind die Dienste von Facebook nur noch für die Nutzer kostenlos, die zugestimmt haben, dass ihre personenbezogenen Daten erhoben und verwendet werden, um personalisierte Werbung an sie zu richten. Nutzer haben seitdem die Möglichkeit, ein kostenpflichtiges Abonnement abzuschließen, um Zugang zu einer Version dieser Dienste ohne zielgerichtete Werbung zu erhalten.

⁵ Herr Schrems nahm im Rahmen einer öffentlich zugänglichen Podiumsdiskussion, an der er in Wien am 12. Februar 2019 auf Einladung der Vertretung der Europäischen Kommission in Österreich teilnahm, auf seine sexuelle Orientierung Bezug. Es ging ihm darum, die Verarbeitung personenbezogener Daten durch Facebook, einschließlich der Verarbeitung seiner eigenen Daten, zu kritisieren. Diese Podiumsdiskussion wurde per Streaming übertragen, und später wurde eine Aufzeichnung als Podcast sowie auf dem YouTube-Kanal der Kommission veröffentlicht. Herr Schrems hat jedoch diesen Gesichtspunkt seines Privatlebens in seinem Facebook-Profil nie angegeben.

⁶ Art. 9 Abs. 2 Buchst. e der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung).

⁷ Im Rahmen desselben Verfahrens hatte der österreichische Oberste Gerichtshof den Gerichtshof bereits zur Zuständigkeit der österreichischen Gerichte befragt, was zum Urteil vom 25. Januar 2018, Schrems, C-498/16 führte (vgl. auch Pressemitteilung Nr. 7/18).

⁸ Im Hinblick auf das Urteil vom 4. Juli 23, Meta Platforms u. a. (Allgemeine Nutzungsbedingungen eines sozialen Netzwerks), C-252/21 (vgl. auch Pressemitteilung Nr.°113/23), hat der österreichische Oberste Gerichtshof einen Teil seiner Fragen zurückgezogen.

Quelle: EuGH

DSGVO: Die Mitgliedstaaten können Mitbewerbern eines mutmaßlichen Verletzers von Vorschriften zum Schutz personenbezogener Daten die Möglichkeit einräumen, diesen Verstoß als verbotene unlautere Geschäftspraxis gerichtlich zu beanstanden.

Der Verkauf apothekenpflichtiger Arzneimittel über das Internet erfordert die ausdrückliche Einwilligung des Kunden in die Verarbeitung seiner Daten, auch wenn es sich um nicht verschreibungspflichtige Arzneimittel handelt.

Der deutsche Bundesgerichtshof, der den Rechtsstreit zwischen zwei konkurrierenden Apothekern zu entscheiden hat, ersucht den Gerichtshof um Auslegung der Verordnung zum Schutz personenbezogener Daten (DSGVO). Der Gerichtshof stellt fest, dass die DSGVO einer nationalen Regelung nicht entgegensteht, die es Mitbewerbern eines mutmaßlichen Verletzers von Vorschriften zum Schutz personenbezogener Daten ermöglicht, diesen Verstoß als verbotene unlautere Geschäftspraxis gerichtlich zu beanstanden. Die Möglichkeit der Mitbewerber, eine solche Klage zu erheben, besteht zusätzlich zu den Eingriffsbefugnissen der zur Überwachung und Durchsetzung dieser Verordnung zuständigen Aufsichtsbehörden sowie den Rechtsschutzmöglichkeiten der betroffenen Personen, die in der DSGVO vorgesehen sind.

Der Gerichtshof entscheidet außerdem, dass Daten, die Kunden bei der Onlinebestellung apothekenpflichtiger Arzneimittel eingeben, Gesundheitsdaten im Sinne der DSGVO darstellen, auch wenn der Verkauf dieser Arzneimittel keiner ärztlichen Verschreibung bedarf. Folglich muss der Verkäufer diese Kunden klar, vollständig und in leicht verständlicher Weise über die spezifischen Umstände und Zwecke der Verarbeitung dieser Daten informieren und ihre ausdrückliche Einwilligung in diese Verarbeitung einholen.

Der deutsche Bundesgerichtshof hat einen Rechtsstreit zwischen zwei deutschen Apothekern zu entscheiden. Der Apotheker, dem die « Lindenapotheke » gehört, vertreibt seit dem Jahr 2017 apothekenpflichtige Medikamente über Amazon. Die Kunden müssen im Rahmen der Onlinebestellung dieser Medikamente verschiedene Informationen eingeben.

Gestützt auf die deutschen Rechtsvorschriften über unlautere Geschäftspraktiken beantragte ein Mitbewerber des Apothekers bei den deutschen Gerichten, dem Inhaber der Lindenapotheke aufzutragen, diese Tätigkeit einzustellen, solange nicht gewährleistet sei, dass die Kunden vorab in die Verarbeitung von Gesundheitsdaten einwilligen können. Die Gerichte erster und zweiter Instanz vertraten die Ansicht, dass dieser Vertrieb eine unlautere und unzulässige Praxis darstelle, da er gegen die Verordnung zum Schutz personenbezogener Daten (DSGVO)¹ verstoße. Wenn keine ausdrückliche Einwilligung der die Arzneimittel erwerbenden Kunden vorliege, komme es beim Verkauf nämlich zu einer Verarbeitung von Gesundheitsdaten, die gemäß der DSGVO verboten sei.

Der deutsche Bundesgerichtshof stellt sich die Frage, ob die nationalen Rechtsvorschriften, die es einem Mitbewerber ermöglichen, auf der Grundlage des Verbots unlauterer Geschäftspraktiken Klage gegen den mutmaßlichen Verletzer von Vorschriften der DSGVO zu erheben, mit dieser Verordnung im Einklang stehen. Nach der DSGVO obliege die Überwachung und Durchsetzung dieser Verordnung nämlich grundsätzlich den nationalen Aufsichtsbehörden und die betroffenen Personen (in diesem Fall die Kunden) seien für die Durchsetzung ihrer Rechte verantwortlich. Der deutsche Bundesgerichtshof möchte außerdem wissen, ob die Daten, die beim Kauf apothekenpflichtiger Arzneimittel über das Internet eingegeben werden, Gesundheitsdaten im Sinne der DSGVO darstellen, auch wenn diese Arzneimittel keiner ärztlichen Verschreibung bedürfen. Er hat sich daher an den Gerichtshof gewandt.

Der Gerichtshof antwortet als Erstes, dass die DSGVO einer nationalen Regelung nicht entgegensteht, nach der – zusätzlich zu den Rechten und Befugnissen, die die DSGVO den nationalen Aufsichtsbehörden, den betroffenen Personen und den diese Personen vertretenden Verbänden einräumt – Mitbewerber des mutmaßlichen Verletzers von Vorschriften zum Schutz personenbezogener Daten auf der Grundlage des Verbots unlauterer Geschäftspraktiken wegen eines Verstoßes gegen die DSGVO gerichtlich gegen diese Person vorgehen können. Im Gegenteil – dies trägt unbestreitbar dazu bei, die Rechte der betroffenen Personen zu stärken und ihnen ein hohes Schutzniveau zu gewährleisten. Im Übrigen kann sich dies als besonders wirksam erweisen, da so zahlreiche Verstöße gegen die DSGVO verhindert werden können.

Als Zweites stellt der Gerichtshof fest, dass die von den Kunden bei der Onlinebestellung apothekenpflichtiger Arzneimittel eingegebenen Daten (wie z. B. Name, Lieferadresse und für die Individualisierung der Arzneimittel notwendige Informationen) Gesundheitsdaten im Sinne der DSGVO darstellen, auch wenn der Verkauf dieser Arzneimittel keiner ärztlichen Verschreibung bedarf.

Aus diesen Daten kann nämlich mittels gedanklicher Kombination oder Ableitung auf den Gesundheitszustand einer identifizierten oder identifizierbaren natürlichen Person geschlossen werden, da eine Verbindung zwischen dieser Person und einem Arzneimittel, seinen therapeutischen Indikationen und Anwendungen hergestellt wird, unabhängig davon, ob diese Informationen den Kunden oder eine andere Person betreffen, für die der Kunde die Bestellung tätigt. Folglich ist unerheblich, dass ohne ärztliche Verschreibung Arzneimittel nur mit einer gewissen Wahrscheinlichkeit und nicht mit absoluter Sicherheit für die Kunden bestimmt sind, die sie bestellt haben. Nach der Art der Arzneimittel und danach zu differenzieren, ob ihr Verkauf einer ärztlichen Verschreibung bedarf, liefe dem mit der DSGVO verfolgten Ziel eines hohen Schutzniveaus zuwider. Der Verkäufer muss diese Kunden daher klar, vollständig und in leicht verständlicher Weise über die spezifischen Umstände und Zwecke der Verarbeitung dieser Daten informieren und ihre ausdrückliche Einwilligung in diese Verarbeitung einholen.

Fußnote

¹ Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr.

Quelle: EuGH

Das Landessozialgericht Niedersachsen-Bremen (LSG) hat entschieden, dass verschwiegene Schöffenbezüge zur Rückzahlung von Grundsicherungsleistungen führen können.

Geklagt hatte ein Ingenieur (geb. 1967) aus Hannover, der seit 2012 Grundsicherungsleistungen bezieht. Anderthalb Jahre später nahm er am Landgericht eine Tätigkeit als Schöffe auf, die er dem Jobcenter jedoch zu keiner Zeit mitteilte. Im Rahmen der Schöffenentschädigung gab er gegenüber dem Landgericht an, als Bauingenieur und Energieberater ein Monatseinkommen von 3.500 Euro zu erzielen. Auf dieser Grundlage erhielt er eine Zeit- und Verdienstausfallentschädigung, die sich für die einzelnen Tätigkeiten in den Jahren 2015 und 2016 auf rund 2.800 Euro belief.

Nachdem das Jobcenter Kenntnis von den Zahlungen erlangt hatte, machte es – unter Berücksichtigung der monatlichen Freibeträge – eine Erstattungsforderung von rund 800 Euro geltend.

Hiergegen klagte der Mann und meinte, ihm stehe ein Jahresfreibetrag von 2.400 Euro für Aufwandsentschädigungen zu. Eine Erstattung halte er unter dem Gesichtspunkt des Vertrauensschutzes für ausgeschlossen. Auch habe er wissentlich keine Entschädigung für Verdienstausfall beantragt. Vielmehr sei dem Landgericht bekannt gewesen, dass er Grundsicherungsempfänger sei, und dem Jobcenter sei bekannt, dass er Schöffe sei.

Das LSG hat die Rechtsauffassung des Jobcenters bestätigt. Nach dem klaren Gesetzeswortlaut sei kein Jahresfreibetrag, sondern ein Monatsfreibetrag von 200 Euro zu berücksichtigen. Erst 2023 sei mit dem Bürgergeldgesetz eine Neuausrichtung auf das Jahresprinzip erfolgt. Auf Vertrauensschutz könne sich der Kläger nicht berufen, da er gegenüber dem Jobcenter unvollständige Angaben gemacht habe. Er habe lediglich mitgeteilt, dass er „vielleicht irgendwann“ als Schöffe tätig werden könne. Über die genaue Ausübung der Tätigkeit oder erhaltene Entschädigungen habe er jedoch nicht informiert. Auch ein allgemeines Beratungsgespräch befreie ihn nicht von seinen konkreten Anzeige- und Mitteilungspflichten.

Quelle: Landessozialgericht Niedersachsen-Bremen