Der österreichische Jurist und Datenschützer Maximilian Schrems ist für die Facebook-Mutter Meta das, was Siegfried für den Drachen aus der Nibelungensage ist: Ob Schrems dritter Schwerthieb dem Geschäftsmodell des Internetgiganten zum Verhängnis wird, könnte sich in einem Verfahren vor dem Europäischen Gerichtshof (EuGH) entscheiden. Die Schlussanträge des Generalanwalts Athanasios Rantos geben nun erste wichtige und womöglich entscheidende Hinweise.
Schrems ist kein Unbekannter, schon zweimal hat er gegen den Konzern geklagt, gewonnen und zwei internationale Datenschutzabkommen zwischen der EU und den USA gekippt. Worum geht es jetzt? Die strengen europäischen Datenschutzregeln machen den Internetkonzernen schon lange das Geschäft schwer. Der aktuelle Fall könnte nun darüber entscheiden, ob die Daumenschrauben noch einmal deutlich angezogen werden.
Im Kern geht es in dem Verfahren mit dem Aktenzeichen C-446/21 um die Frage, inwieweit Plattformen wie Meta Daten, die außerhalb der eigenen Plattform erhoben wurden, in ihren Werbeprofilen verwenden dürfen. Schrems ist der Ansicht, dass in seinem persönlichen Profil Daten über ihn gespeichert wurden, die nach europäischem Recht besonders schutzwürdig sind und die er selbst nicht explizit auf der Plattform veröffentlicht hat. Dazu gehören zum Beispiel politische Einstellungen, Gesundheitsdaten, Religion oder sexuelle Orientierung.
„Meta hat insgesamt ein System der Datensammlung geschaffen, das weit über die Möglichkeiten anderer Wirtschaftsakteure und der meisten demokratischen Staaten hinausgeht“, heißt es in Schrems' schriftlichem Plädoyer. Er will vom Gericht wissen, ob sich das Unternehmen in Bezug auf die Art der gesammelten Daten, die Rechtsgrundlage der Sammlung und die Dauer der Datenverarbeitung dabei noch regelkonform verhält.
Das Milliardengeschäft Online-Werbung
Doch warum sollte Meta an diesen sensiblen Daten so interessiert sein, dass der Konzern es auf einen erneuten Prozess ankommen lässt? Laut Bernd Skiera, Professor am Lehrstuhl für Electronic Commerce an der Goethe-Universität Frankfurt, lässt sich mit diesen Daten Werbung viel gezielter und um ein Vielfaches teurer schalten. Als Beispiel nennt er eine Kampagne für Damenbinden, ein Produkt, das nur für maximal die Hälfte der Menschen in Deutschland relevant ist oder zumindest sein könnte.
Wenn eine Plattform wie Facebook ihren Werbekunden anbieten kann, die Anzeigen zielgerichtet auszuspielen, wird ein Streuverlust von 50 Prozent vermieden. Entsprechend teuer können Meta, Google und Co. diese Werbeprodukte verkaufen. Und je kleiner die Zielgruppe, desto höher der potenzielle Preis. Eine Werbebotschaft, die sich an nur 25 Prozent der Bevölkerung richtet, könnte laut Skiera rein rechnerisch den vierfachen Preis auf einem einzigen Werbeplatz erzielen, wenn die richtigen Daten für eine zielgerichtete Ausspielung vorliegen. Und so weiter und so fort: Ein Milliardenpotenzial.
Lesen Sie auch: Chatbot ChatGPT entwickelt Gedächtnis für seine Gesprächspartner
Allerdings setzt das Datenschutzrecht der Praxis Grenzen: „Grundsätzlich gilt im Datenschutzrecht die Zweckbindung. Wenn Sie Daten verarbeiten, tun Sie das immer für einen bestimmten vorher definierten Zweck“, erläutert Daniel Rücker, er ist IT-Rechtsanwalt bei der Kanzlei NOERR in München. Bei personalisierter Werbung – dem Kerngeschäft von Plattformen wie Facebook – stelle sich schon grundsätzlich die Frage, ob die Nutzung der Daten einer ausdrücklichen Einwilligung bedürfe. Dies gelte auch für den Fall C-446/21: „Auch hier stellt sich in noch verschärfter Form die Frage, inwieweit solche sensiblen Daten auch ohne ausdrückliche Einwilligung für personalisierte Werbung genutzt werden dürfen.“
Die europäische Datenschutzgrundverordnung DSGVO lässt hier bislang ein Schlupfloch: Wurden die Daten bereits im Netz veröffentlicht, darf auch ein Konzern wie Meta sie nutzen. „Die Frage, die dem Gericht gestellt wird, ist, wo und auf welche Art und Weise diese Veröffentlichung stattgefunden haben muss“, sagt Rücker. Sollte Schrems Erfolg haben, verlieren die Plattformbetreiber einen Teil ihres Geschäftsmodells.
Droht nun das Aus?
Dies zeichnet sich nun ab. Aufhänger der Schrems-Klage ist eine öffentliche Podiumsdiskussion, in der der Jurist seine sexuelle Orientierung öffentlich gemacht hatte. Dies erlaube jedoch „für sich genommen nicht die Verarbeitung dieser Daten oder anderer Daten zur sexuellen Orientierung dieser Person für Zwecke der Aggregation und Analyse von Daten zum Zweck der personalisierten Werbung“, heißt es in den Schlussanträgen des Generalanwalts, die die Funktion eines Gutachtens für die Entscheidung der Richter haben. Darüber hinaus kam Rantos zu dem Schluss, dass die EU-Regeln so auszulegen seien, dass sie einer Datenverarbeitung zu Werbezwecken „ohne Einschränkung nach Zeit oder Art der Daten“ entgegenstünden.
Schrems Anwältin Katharina Raabe-Stuppnig zeigt sich zufrieden: „Nur weil bestimmte Informationen öffentlich sind, heißt das nicht, dass sie für andere Zwecke verwendet werden können.“ Als Beispiel nennt sie einen politischen Kommentar in sozialen Medien: Würden Nutzer die Rechte daran verlieren und könnten diese etwa für politische Werbung verwendet werden, hätte das ihrer Meinung nach eine abschreckende Wirkung auf die Meinungsfreiheit.
Auch bei der Klarstellung zur Datensparsamkeit sieht Raabe-Stuppnig weitreichende Folgen, sollte das Gericht der Empfehlung folgen: „Für Meta würde das bedeuten, dass ein großer Teil der Informationen, die es in den letzten zehn Jahren gesammelt hat, für die Werbung tabu wird.“ Den möglichen Verlust für Werbetreibende bei einem Sieg von Schrems hält Skiera allerdings für verkraftbar: „Die allermeisten Werbetreibenden brauchen für ihr Targeting nicht unbedingt diese sensiblen Merkmale.“
Diese Rechte haben Bürger dank der DSGVO
Wenn Organisationen Daten verarbeiten, müssen sie Informationen zur Verfügung stellen, zu welchen Zwecken Daten verarbeitet werden, auf welcher Rechtsgrundlage die Verarbeitung beruht, wie lange die Daten gespeichert werden und vieles mehr. Diese Informationen müssen die Unternehmen auf Anfrage herausgeben und in der Datenschutzerklärung bereitstellen.
Jeder hat das Recht, kostenfrei Datenauskunft zu beantragen. So können Sie auch erfahren, was ein Online-Shop oder ein soziales Netzwerk über Sie weiß.
Wenn eine Website Sie mit Werbung bombardiert, haben Sie das Recht, die Firma dazu aufzufordern, dies zu unterlassen. Dem Wunsch muss das Unternehmen dann nachkommen.
Wenn eine Organisation möglicherweise falsche personenbezogene Daten gespeichert hat, können Sie eine Berichtigung verlangen. Ein Beispiel kann sein, dass eine Lebensversicherung eine Person irrtümlicherweise als Raucher führt und die Kosten für die Police dadurch höher sind.
Solange eine Person nicht von öffentlichem Interesse ist, hat sie das Recht, dass öffentlich zugängliche Informationen gelöscht werden. Eine Suchmaschine kann beispielsweise aufgefordert werden, Links über die Person zu löschen, wenn diese das wünscht.
Wenn jemand den Stromanbieter wechseln möchte, hat er das Recht, dass der alte Anbieter dem neuen alle relevanten Daten übermittelt. Sollte dies technisch nicht möglich sein, muss der Anbieter dem Betroffenen die Daten in einem maschinenlesbaren Format zurückgeben.
Der Aufwand geht ins Geld
Folgen erwartet IT-Rechtler Rücker aber an anderer Stelle: Sollte der EuGH klarstellen, dass sich Plattformanbieter nicht mehr oder nur noch sehr eingeschränkt auf die von ihnen bislang oft weit ausgelegten gesetzlichen Erlaubnistatbestände berufen können, würde dies seiner Ansicht nach einen Rattenschwanz an Anforderungen und damit einen hohen Aufwand – auch für die Nutzer – nach sich ziehen.
Änderungen in der Art und Weise der Datenerhebung sowie der Verwendung der Daten zu Marketingzwecken würden häufig eine erneute ausdrückliche Einwilligung erforderlich machen. Ähnlich wie beim Cookie-Pop-up auf Webseiten müssten die Plattformbetreiber also zahlreiche Einwilligungen einholen und in der Praxis auch regelmäßig erneuern oder ergänzen. Aus Sicht von Rücker zeichnet sich bereits ein Trend ab: „Der Rahmen dessen, was ohne Einwilligung erlaubt ist, wird immer enger. Und hier wird es jetzt eine neue Grenzziehung durch den EuGH geben.“
Der Digitalverband Bitkom sieht Werbung an sich nicht als Problem – auch nicht aus Nutzersicht. Für Viele sei sie ein wichtiger Bestandteil von sozialen Netzwerken: „So haben 63 Prozent in einer Bitkom-Befragung aus dem Januar 2022 angegeben, dass sie auf Werbung in sozialen Netzwerken nicht verzichten wollen, weil sie so immer wieder Angebote und Themen entdecken, die sie sonst nicht gefunden hätten“, sagt Tabea Wilke, Leiterin Datenschutz & Sicherheit. 61 Prozent akzeptieren Werbung zudem, weil die Netzwerke dadurch kostenlos bleiben.
Aus Sicht des Verbandes zeigen die Erfahrungen etwa mit Cookie-Bannern oder Allgemeinen Geschäftsbedingungen im Netz, dass immer mehr Informationen und Pop-up-Fenster nicht zu mehr Souveränität der Verbraucherinnen und Verbraucher führten. Kaum jemand lese die AGBs von Online-Angeboten. Bitkom plädiert dafür, sich stärker an den Verbraucherinnen und Verbrauchern zu orientieren und sich auf das Wesentliche zu konzentrieren: „Die gewünschten Informationen müssen sie vor allem auch wirklich erreichen, also wahrgenommen und verstanden werden.“
Nicht nur bei den Auswirkungen auf die Nutzer gibt es bereits Erfahrungswerte. Eine Entsprechung sieht Skiera im Bereich der Apps, bei denen die finanziellen Auswirkungen bereits klar seien: Schon heute wird bei der Installation von Software auf Apple-Smartphones abgefragt, ob das Tracking – und damit das Sammeln von Nutzerdaten – erlaubt ist. Wer in den Geräteeinstellungen keine Option als Standard gesetzt hat, wird also regelmäßig um sein Einverständnis gebeten.
Die Folge: Der Marketing-Experte verweist auf Aussagen von Meta, wonach die Änderung der Datenschutzeinstellungen bei Apple-Geräten das Unternehmen jährlich 10 Milliarden Dollar Umsatz koste. Diese Zahl könne er auf Basis eigener Analysen bestätigen. Ob Meta mit weiteren Einbußen rechnen muss, wird sich endgültig wohl erst in einiger Zeit zeigen. Aus Sicht des Schrems-Teams könnte es bis Ende des Jahres dauern, bis der Europäische Gerichtshof eine Entscheidung fällt.
Es droht eine Klageflut
Doch nicht nur die möglicherweise steigenden Kosten und die noch nicht klar abschätzbaren Auswirkungen auf die Nutzerzahlen könnten den Unternehmen in Zukunft Probleme bereiten. Je enger der gesetzlich erlaubte Rahmen gezogen wird, desto mehr – auch bereits gängige – Praktiken fallen aus dem Raster.
„Es gibt eine lebhafte Diskussion über Schadenersatzansprüche bei Verstößen gegen das Datenschutzrecht, ihre mögliche Höhe und die Art und Weise, wie sie geltend gemacht werden können.“ Im Raum stehen Massen- und Sammelklagen, wie sie bereits aus dem sogenannten Dieselskandal bekannt sind. Die dort tätigen Kanzleien, so Rücker, suchten derzeit nach neuen Geschäftsfeldern und hätten das Datenschutzrecht bereits für sich entdeckt.
Die Kanzlei NOERR sammelt auf ihrer Website bereits Fälle, in denen wegen Datenschutzverstößen in Deutschland geklagt wurde. Ihr sogenannter „GDPR Damages Tracker“ listet zahlreiche Verfahren auf, in denen die erstrittenen Schadensersatzsummen zwischen einigen Hundert und mehreren Tausend Euro liegen. Doch Vorsicht ist geboten: „Selbst wenn der potenzielle Schadensersatz pro Nutzer nur gering wäre, sagen wir hundert Euro, käme bei fünf Millionen Betroffenen schnell eine beachtliche Schadenssumme zusammen“, gibt Rücker zu bedenken.
„Es gibt bereits Massenklagen zu einzelnen Fällen. Ob dieser Trend anhält und wie sich die neue Verbandsklage auswirkt, mit der zum Beispiel bestimmte Verbraucherverbände direkt auf Zahlung klagen können, ist noch offen.“ Es könnte die sprichwörtliche Ruhe vor dem Sturm sein, so der Jurist: „Die rechtlichen Möglichkeiten bestehen bereits, sind aber bei den Betroffenen noch nicht so bekannt.“
Lesen Sie auch: Wie die EU „Big Tech“ zu mehr Verbraucherschutz zwingt
Redaktioneller Hinweis: Der Artikel wurde am 16. Februar erstmals veröffentlicht und zuletzt am 26. April aktualisiert.
