Österreich: Oberlandesgericht Wien bestätigt Schadenersatzklage gegen Facebook

Am 07.12.2020 (zugestellt am 28.12.2020) hat das Oberlandesgericht Wien (OLG) sein Urteil im Berufungsverfahren Schrems gegen Facebook Ireland Ltd. (GZ 11 R 153 / 20f, 154 / 20b)^[1] und bestätigte die Entscheidung des Landesgerichts für Zivilrechtssachen, wonach die Social-Media-Plattform verpflichtet war, dem Kläger uneingeschränkten Zugang zu den über ihn gespeicherten Daten zu gewähren, wodurch das Unternehmen zur Zahlung einer Entschädigung in Höhe von 500 EUR verpflichtet wurde (Artikel 82 DSGVO).

Das Gericht kam jedoch auch zu dem Schluss, dass die Plattform für die Datenverarbeitung keine eindeutige, gesonderte Einwilligung ihrer Nutzer gemäß dem EU-Datenschutzrecht einholen muss (Artikel 6 Absatz 1 Buchstabe a DSGVO), sondern dass ein solches Recht auf Datennutzung Facebook aufgrund seiner Vertragsbedingungen von Natur aus zusteht.

Die Entscheidung stützt sich auf eine Reihe von Rechtsbeschwerden und wirft drei verschiedene Fragen auf, die im Folgenden näher erläutert werden.

Die datenschutzrechtliche Rollenverteilung der Parteien

Kläger

• Nach Ansicht des Klägers ist der Nutzer der Plattform die verantwortliche Stelle oder der "für die Verarbeitung Verantwortliche" (Art. 4 Abs. 7 DSGVO) in Bezug auf die von ihm für seine persönlichen Zwecke betriebenen Datenanwendungen;
• Der Beklagte fungiert vertraglich als "Auftragsverarbeiter", der ihn daran hindert, Datenanwendungen ohne oder entgegen den Anweisungen des Klägers durchzuführen;
• Ein Vertrag, der den Anforderungen von Artikel 28 Absatz 3 DSGVO entspricht, wurde nicht geschlossen, obwohl der Kläger Anspruch auf einen solchen Vertrag hat.

Beklagter

Die Beklagte ist im Verhältnis zum Kläger, dem das Feststellungsinteresse fehlt, als alleinige Verantwortliche anzusehen.

OLG (S. 21-23)

• Die bloße Nutzung einer Plattform eines sozialen Netzwerks macht einen Nutzer nicht per se mitverantwortlich für die von diesem Netzwerk vorgenommene Verarbeitung personenbezogener Daten;
• Zu differenzieren ist bei Fanseiten, bei denen der Betreiber der Seite an der Verarbeitung der personenbezogenen Daten der Besucher mitwirkt und damit zu einem Verantwortlichen wird (EuGH C-210/16, Unabhängiges Landeszentrum für Datenschutz Schleswig Holstein, insb. 35, 36 und 41).
• Ein Facebook-Nutzer ist somit nur ein Mitverantwortlicher für die personenbezogenen Daten Dritter (Artikel 4 Absatz 7 DSGVO) und nur eine betroffene Person in Bezug auf seine eigenen personenbezogenen Daten.

Wirksame Einwilligung in die Verarbeitung personenbezogener Daten

Kläger

• Die Zustimmung zu den Nutzungsbedingungen der Social-Media-Plattform und den damit verbundenen Datenverwendungsrichtlinien führt nicht zu einer wirksamen Einwilligung im Sinne von Artikel 6 Absatz 1 und 7 DSGVO;
• Im Gegensatz zu den am 25.05.2018 in Kraft getretenen Bestimmungen der DSGVO sahen zivilrechtliche Verträge, wie sie unter dem früheren Datenschutzrecht geregelt waren, kein ausdrückliches Erfordernis einer "Einwilligung" vor;
• Durch die Aufnahme einer vorherigen Einwilligung in die Geschäftsbedingungen des Unternehmens vor Inkrafttreten der DSGVO wurden die Nutzer versehentlich in einen neuen Vertrag gezwungen, der es der Plattform ermöglichte, die strengeren Datenschutzstandards nach den aktuellen DSGVO-Bestimmungen zu umgehen;
• Somit lag keine wirksame Einwilligung des Klägers im Sinne der DSGVO in die Datenverarbeitung durch die Beklagte vor.

Beklagter

Die von der Plattform vorgenommene Datenverarbeitung entspreche den Bestimmungen des Art. 6 Abs. 1 lit. b DSGVO, da sie ein notwendiger Bestandteil der Vertragserfüllung sei.

OLG (S. 23-24)

• Die DSGVO lässt verschiedene Grundlagen für die Verarbeitung personenbezogener Daten zu, unter anderem, wenn sie für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, erforderlich ist (Artikel 6 Absatz 1 Buchstabe b) DSGVO);
• Die Notwendigkeit wird dabei von Fall zu Fall unter gebührender Berücksichtigung des Vertragszwecks und der Verpflichtungen, die sich aus dem Inhalt des Vertrags ergeben, bestimmt;
• Der Kern des Facebook-Geschäftsmodells und der vertragliche Zweck stehen im Mittelpunkt:
  • Für den Nutzer: Zugang zur personalisierten Kommunikationsplattform zu erhalten;
  • Für die Plattform: den Zugang ohne zusätzliche Kosten zu ermöglichen;
• Daher kann das Unternehmen, das die Plattform betreibt, auf andere Finanzierungsquellen zurückgreifen, z. B. auf den jeweiligen Nutzer zugeschnittene Werbung;
• Die Verarbeitung personenbezogener Nutzerdaten stellt eine wesentliche tragende Säule des Vertrages zwischen Plattform und Nutzer dar, da sie die Grundlage dafür ist, dass die Werbung auf die Interessen des einzelnen Nutzers zugeschnitten werden kann;
• Die Erforderlichkeitskomponente in Bezug auf die Datenverarbeitung wird dadurch begründet, dass die Nutzung solcher Informationen einerseits die individualisierte Erfahrung der Nutzer prägt, andererseits aber auch einen finanziellen Kanal darstellt, über den die Plattform ihren Gewinn erzielt.

Antrag auf Auskunftserteilung

Kläger

• Es wurde ein Auskunftsersuchen eingereicht, das jedoch nicht gemäß Artikel 15 DSGVO beantwortet wurde;
• Die nur teilweise Bereitstellung von Informationen über die Verwendung und Verarbeitung von (personenbezogenen) Daten verstößt gegen die gesetzlichen Pflichten der Beklagten;
• Die Ungewissheit über die Verarbeitung der Daten führte zu einer seelischen Belastung, die den Kläger zu einem immateriellen Schadenersatz von 500 Euro berechtigt.

Beklagter

• Die Beklagte habe ihre Pflicht nicht verletzt;
• Der Kläger habe keine schlüssige Behauptung zum Schadensersatzanspruch aufgestellt.

OLG (24-29)

• Facebook habe es versäumt, seinen Nutzern Zugang zu den Daten in ihren Zugangstools zu gewähren, was dem Kläger einen in Art. 15 Abs. 1 DSGVO verankerten Anspruch verschaffe;
• Der Kläger hat Anspruch auf Auskunft über:
  • Welche personenbezogenen Daten von Facebook verarbeitet werden und zu welchem Zweck (Artikel 15 Absatz 1 Buchstabe a) DSGVO);
  • An wen die jeweiligen personenbezogenen Daten weitergegeben werden, d. h. an welche Kategorien von Empfängern (Artikel 15 Absatz 1 Buchstabe b) DSGVO);
  • die Herkunft der Daten, wenn sie nicht beim Kläger erhoben wurden (Artikel 15 Absatz 1 Buchstabe g) DSGVO);
• Der Betrag von 500 EUR spiegelt das geringe Ausmaß der vom Kläger erlittenen Unannehmlichkeiten wider und erweist sich als gerechtfertigt.

Kommentar

In Übereinstimmung mit dem Vorbringen des Klägers hat die Europäische Datenschutzbehörde zuvor ausdrücklich die Verarbeitung besonderer Kategorien personenbezogener Daten untersagt, es sei denn, es liegt eine ausdrückliche Einwilligung vor oder die Verarbeitung ist aus Gründen eines erheblichen öffentlichen Interesses erforderlich (Artikel 9 Absatz 2 Buchstabe g) DSGVO). Obwohl Vertragsklauseln über die Datennutzung für die Übermittlung von Daten weiterhin verwendet werden könnten, würden sie nicht ausreichen, um die Notwendigkeit einer solchen Einwilligung zu ersetzen^[2].

Das OLG hat zwar eine Berufung an den österreichischen Obersten Gerichtshof zugelassen, es ist jedoch zu erwarten, dass die aufgeworfenen Rechtsfragen zu gegebener Zeit erneut vor dem Gerichtshof der Europäischen Union verhandelt werden.

Quellen

1. Das Urteil ist auf Deutsch verfügbar unter: https://noyb.eu/sites/default/files/2020-12/BVI-209_geschw%C3%A4rzt.pdf.
2. Olbrechts, A. (2020) "Europäischer Datenschutzausschuss - 34. Plenartagung: Schrems II, Wechselspiel Zwischen PSD2 Und DSGVO, Schreiben an MdEP Ďuriš Nicholsonová Zu Den Themen Ermittlung Von Kontaktpersonen, Interoperabilität Von Apps Und Datenschutz-Folgenabschätzungen." Europäischer Datenschutzausschuss - European Data Protection Board. Verfügbar unter: edpb.europa.eu/news/news/2020/european-data-protection-board-thirty-fourth-plenary-session-schrems-ii-interplay_de [Zugriff am 05.02.2021].

Der Inhalt dieses Artikels ist als allgemeiner Leitfaden zu diesem Thema gedacht. Im Hinblick auf Ihre spezifischen Umstände sollten Sie fachlichen Rat einholen.