Meta Platforms hat sein Geschäftsmodell im Europäischen Wirtschaftsraum illegal betrieben: Es hat zu viele Daten gesammelt, Werbung unzulässig personalisiert und zu wenig Auskunft gegeben. Das hat der Oberste Gerichtshof Österreichs (OGH) nach elf Jahren Verfahrensdauer entschieden (Az. 6 Ob 189/24y). Facebook durfte Werbung nicht auf den Kläger zuschneiden und darf auf Drittseiten keine Daten über ihn ernten. Und entgegen Metas bisheriger Praxis beschränkt sich sein Anspruch auf Auskunft nicht bloß auf eine Kopie aller persönlichen Daten, sondern umfasst auch die Offenlegung der Zwecke der Verarbeitung sowie die Quellen und Empfänger der Daten.

Grundsätzlich hat Meta ein Monat Zeit, Auskunftsbegehren zu beantworten. Im konkreten Fall ist diese Frist schon vor Jahren abgelaufen, daher gewährt der OGH nur Zeit bis Jahresende. Angestrengt hat das Verfahren der österreichische Jurist und Datenschutzaktivist Max Schrems im Jahr 2014. Seither war der Prozess zweimal beim Europäischen Gerichtshof (EuGH) und nun das dritte Mal beim OGH.

Jetzt ist Schluss – aber nur mit diesem Prozess. Zahlreiche Klagen dürften folgen, und womöglich wird sich auch der deutsche Bundesgerichtshof (BGH) an Auslegungen des OGH orientieren.

„Meta (muss) Herrn Schrems beispiellosen Zugang zu den über ihn gesammelten Daten gewähren”, sagt die Anwältin des Klägers, Katharina Raabe-Stuppnig. „Dies geht weit über das Download-Tool oder die Informationen auf der Webseite hinaus. Seit mehr als einem Jahrzehnt weigert sich Meta, vollständige Transparenz über die Verarbeitung von europäischen Daten zu gewähren. Das Urteil ist in der gesamten EU unmittelbar vollstreckbar.“

Personalisierte Werbung kein Dienst am User

„Für die Erbringung der Dienste des sozialen Online-Netzwerks ist … die Personalisierung von Werbung unter Verwendung der personenbezogenen Daten des Nutzers … nicht erforderlich”, stellt der OGH fest. „Auch die Aggregation und Analyse personenbezogener Daten zu Werbezwecken ist kein Bestandteil der für den Kläger bestimmten Vertragsleistung.” Das sei vielmehr eine Leistung für Werbekunden, nicht für die Nutzer. Damit fällt die von Meta behauptete Rechtsgrundlage für den persönlichen Zuschnitt der Reklame weg.

Allerdings bietet Meta Nutzern seit 2023 die Möglichkeit, sich durch Zahlung von Gebühren den Werbezuschnitt zu verbitten. Was diese Konstellation juristisch bedeutet, lässt der OGH ausdrücklich offen. Sein Erkenntnis bezieht sich ausschließlich auf die Situation 2020.

Unterdessen ist die Situation noch komplexer geworden. Die EU-Kommission hat mit Meta jüngst einen Pakt geschlossen, wonach Meta bald weniger Daten für personalisierte Reklame auf Facebook und Instagram auswerten wird, es für die umfassende Unterlassung der aber Gebühren verlangen darf. Das hilft aber, soweit ersichtlich, nur gegen den Werbezuschnitt, nicht gegen die Sammlung personenbezogener Daten an sich. Sobald der Nutzer den EWR verlässt, oder sich die Rechtslage ändert, könnte Meta die bereits gesammelten Daten wieder voll auswerten.

Datenernte auf Drittseiten unzulässig

Meta sammelt nicht nur über eigene Dienste, sondern auch auf zahllosen Webseiten und Apps Dritter Daten über deren User, durch Cookies sowie die berüchtigten „Meta Business Tools”. Diesbezüglich stellt der OGH fest, dass Meta „hinsichtlich des Erhebens, der Übermittlung und der weiteren Verarbeitung jener personenbezogenen Daten des Klägers, die sie mittels ihrer sozialen Plugins und ähnlicher Technologien im Zuge von Besuchen oder Aktivitäten des Klägers auf Webseiten dritter
Anbieter erlangt” Verantwortliche” im Sinne der Datenschutzgrundverordnung (DSGVO) ist. Metas Argument, dafür seien allein die Betreiber der jeweiligen Apps und Webseiten zuständig, greift nicht.

Metas Plugins sind beispielsweise auch in Webseiten politischer Parteien, medizinische Seiten oder Seiten für Homosexuelle eingebunden. Damit erfassen sie sensible Daten, die von der DSGVO besonders geschützt werden. Ob Meta solche Daten absichtlich oder unabsichtlich sammelt, spiele laut OGH keine Rolle. Meta habe diese Datensammlung über Webseiten und Apps Dritter zu unterlassen. Dabei kommt es auch nicht darauf an, ob die Daten für Werbung oder andere Zwecke ausgewertet wird.

Der OGH stützt sich dabei auch auf den EuGH. Dieser hat im Verfahren mit dem deutschen Bundeskartellamt (Az. C-252/21) eine Aufspaltung des Gesamtvorgangs in einzelne Verarbeitungsvorgänge und unterschiedliche Datenkategorien ausdrücklich abgelehnt.

„Der OGH bestätigt, dass die Meta Business Tools generell rechtswidrig sind”, verdeutlicht der deutsche Anwalt Max Baumeister. „Es sind Spionagewerkzeuge, die unser aller Privatleben ausspionieren.” Baumeister führt, unabhängig von Schrems‘ elf Jahre alter Klage, einen juristischen Großangriff auf Metas Geschäftsmodell in Deutschland und Österreich. Der Anwalt geht „davon aus, dass der BGH das Ende 2026 oder Anfang 2027 bestätigen wird”, sagte er Donnerstagabend zu heise online.

Nur 500 Euro für Max Schrems

In einem früheren Stadium des Verfahrens hat der OGH Max Schrems bereits 500 Euro Schadenersatz zugesprochen, weil Meta die Auskunftspflicht verletzt hat. Für die illegale Datensammlung und die unzulässige Datenauswertung für personalisierte Werbung gibt es schon deswegen keinen weiteren Schadenersatz, weil Schrems insgesamt nicht mehr als 500 Euro beantragt hat – wohl um den Streitwert und damit Prozesskosten nicht ausufern zu lassen.

„Wir gehen davon aus, dass hier noch wesentlich mehr drin steckt”, meint Baumeister, „Das gilt für Österreich; für Deutschland aufgrund strengerer Gesetze bei schwerwiegenden Eingriffen in das Persönlichkeitsrecht sowieso.” Die deutschen Landgerichte sind bezüglich Metas Datenpraxis geteilter Meinung.

Der lange Weg zum BGH

Weil Privatpersonen in Deutschland keine vollstreckbaren Sammelklagen erheben können, hat Baumeister in den letzten zwei Jahren rund 8.000 Klagen wegen der Datenernte mittels Meta Business Tools eingereicht. Mehr als 2.000 Verfahren sind bislang in erster Instanz entschieden, kein einziges rechtskräftig.

Aufsehen erregte Mitte des Jahres ein Urteil des Landgerichts Leipzig, das einem Meta-Betroffenen 5.000 Euro zusprach (Az. 05 O 2351/23, nicht rechtskräftig). Zunächst urteilten die deutschen Gerichte überwiegend für Meta, doch nach und nach gewinnen die Datenschutzargumente Boden bei deutschen Richtern. Die juristischen Begründungen sind nicht immer gleich, die zugesprochenen Schadenersatzbeträge variieren um den Faktor 100: Die Bandbreite reicht von 100 Euro bis 10.000 Euro.

Der BGH wird entscheiden müssen. Im Zusammenarbeit mit dem österreichischen Verbraucherschutzverein (VSV) sammelt Baumeister nun Teilnehmer aus beiden Ländern, die kostenlos an einer Verbandsklage teilnehmen möchten.

(ds)