Der Europäische Gerichtshof (EuGH) hatte in einem Vorabentscheidungsverfahren erstmalig zu klären, in welchem Umfang Online-Plattformen für die in nutzergenerierten Inhalten enthaltenen personenbezogenen Daten verantwortlich sind – und welche präventiven und nachträglichen Sorgfaltspflichten daraus für die Betreiber folgen (Urteil vom 2. Dezember, Az. C-492/23 – Russmedia). Ausgangspunkt war ein Rechtsstreit, bei dem auf einem rumänischen Online-Marktplatz eine Anzeige veröffentlicht wurde, in der eine Frau zu Unrecht als Anbieterin sexueller Dienstleistungen dargestellt wurde und die ohne ihre Einwilligung sowohl Fotos als auch ihre Telefonnummer enthielt. Die Anzeige wurde vom Betreiber anschließend auch auf anderen Kleinanzeigen-Plattformen vervielfältigt.

Der Gerichtshof stellte in seinem Urteil klar, dass der Betreiber des Online-Marktplatzes neben dem (im vorliegenden Fall unbekannten) Inserenten als gemeinsamer Verantwortlicher der in der Anzeige enthaltenen personenbezogenen Daten im Sinne der Datenschutzgrundverordnung (DSGVO) angesehen sein kann, wenn die Veröffentlichung der Anzeige (auch) in seinem eigenen (insbesondere kommerziellen) Interesse erfolgt und wenn der Betreiber Einfluss auf die Verarbeitung dieser Daten nimmt, die über eine bloße Veröffentlichung (Hosting) hinausgeht. Dies soll etwa dann der Fall sein, wenn der Plattformbetreiber Vorgaben zu Darstellung, Dauer, Rubrizierung oder Ranking von Anzeigen macht und damit datenschutzrechtlich nicht rein neutral bleibt. Das Urteil ist insbesondere deshalb brisant, weil diese Kriterien auf nahezu alle heute verbreiteten Online-Plattformen zutreffen, auf denen nutzergenerierte Inhalte zu finden sind.

Liegt eine solche gemeinsame Verantwortlichkeit im Sinne der DSGVO vor, treffen die Plattformen nach dem Urteil weitgehende Pflichten: Betreiber müssen vor Veröffentlichung nutzergenerierter Inhalte erstens überprüfen, ob diese sensible Daten (zu Gesundheit, Sexualität etc.) enthält, zweitens die Identität der einstellenden Person verifizieren und gegebenenfalls eine Einwilligung abfragen und drittens geeignete technische und organisatorische Maßnahmen treffen, um eine unkontrollierte Verbreitung von Daten zumindest zu erschweren. Ohne eine entsprechende Vorabprüfung dürfen nutzergenerierte Inhalte künftig nicht freigeschaltet werden. Zugleich stellte das Gericht klar, dass sich Plattformen nicht auf ihr eigentlich geltendes Privileg berufen können, wonach die Betreiber nutzergenerierte Inhalte grundsätzlich gerade nicht vorab prüfen müssen. Diese nach dem Digital Services Act erst kürzlich vom Gesetzgeber bestätigte Haftungserleichterung tritt nach der Entscheidung des EuGH in datenschutzrechtlich relevanten Fällen hinter den Anforderungen der DSGVO zurück.

Diese jetzt für Online-Marktplätze wie „Kleinanzeigen“ entwickelt Rechtsprechung lässt sich grundsätzlich auch auf andere Online-Dienste übertragen. Im Licht aktueller Diskussionen wie etwa um den Mobbing auf Facebook betreffenden „Fall Künast“ hat das Urteil große Bedeutung etwa für soziale Netzwerke und Online-Foren. Auch diese sind künftig verpflichtet, alle Postings, die sensible Daten enthalten (können), vorab zu überprüfen und ihre Veröffentlichung gegebenenfalls zu unterbinden. Praktisch könnte das Urteil somit theoretisch den Wandel hin zu einer stärkeren Kontrolle nutzergenerierter Inhalte im Netz markieren, was möglicherweise das Ende anonymer Plattformen bedeuten könnte.

Zu beachten ist jedoch, dass die jetzt bestätigten Pflichten nur diejenigen Plattform-Betreiber betreffen, die selbst Einfluss auf die Verarbeitung der in den nutzergenerierten Inhalten enthaltenen personenbezogenen Daten nehmen. Das Urteil ist daher nicht auf reine Hosting-Anbieter anwendbar, die sich beim Veröffentlichungsprozess neutral verhalten. Außerdem ist darauf hinzuweisen, dass das Pflichtenprogramm bei nicht sensiblen personenbezogenen Daten weniger weitreichend ist. Plattform-Betreiber sollten daher prüfen, wie sie ihr Geschäftsmodell und technischen Abläufe gegebenenfalls anpassen können. Im Extremfall kann es erforderlich sein, entweder zuverlässige Verifizierungs- und Kontrollmechanismen für nutzergenerierte Inhalte zu etablieren oder aber sich auf ein reines Hosting-Modell zurückzuziehen, um sich so den Prüfpflichten zu entziehen.

Und noch ein richtungsweisendes Urteil für die Online-Branche: Gestern verkündete der Europäische Gerichtshof sein mit Spannung erwartetes Urteil in Sachen „SRB“, das erstmals seit Jahren wieder Aussagen zu der Frage enthält, wann Daten personenbezogen sind – und wann sie als anonyme Daten gelten. Diese Abgrenzung ist insbesondere bei pseudonymisierten Daten nicht einfach und hat gleichzeitig ganz wesentliche Auswirkungen auf die DSGVO-Compliance von Unternehmen. Die bereits im „Breyer“-Urteil des EuGH aus dem Jahr 2016 angelegte Differenzierung des so genannten relativen Personenbezugs wurde dabei bestätigt: Es kommt also darauf an, ob das jeweilige Unternehmen, das die Daten verarbeitet, für sich genommen einen Personenbezug herstellen kann.

Schon seit einiger Zeit bringen sich vor diesem Hintergrund Anbieter von so genannten Data Clean Rooms ins Gespräch – mit dem Argument, dass die pseudonymisierten Daten zumindest aus ihrer Sicht tatsächlich anonym sind. Das führt aber zu der Frage, ob die DSGVO dann überhaupt noch anwendbar ist. Auch für andere Unternehmen aus der AdTech-Branche stellt sich jetzt also die Frage, ob sie für sich in Anspruch nehmen können, gar nicht an die DSGVO gebunden zu sein, weil sie bei den von ihnen verarbeiteten Daten keinen Personenbezug herstellen können. Gleichzeitig fordern ihre Kunden, die DSGVO-Compliance bei der Datenverarbeitung zu gewährleisten.

Das Gericht der Europäischen Union (EuG) hat im so genannten Latombe-Verfahren die 2022/2023 zwischen den EU und den USA getroffene Datenschutz-Rahmenvereinbarung TADPF in erster Instanz aufrecht erhalten. Der Kläger, ein französischer EU-Abgeordneter, wird sicherlich Berufung zum Europäischen Gerichtshof (EuGH) einlegen, weshalb die Zulässigkeit der Übertragung personenbezogener Daten von EU-Bürgern in die USA nach der DSGVO erst in einiger Zeit abschließend geklärt sein wird.

Die heutige Entscheidung stellt einen Richtungswechsel nach den so genannten „Schrems“-Urteilen von 2015 und 2020 an, wonach die beiden Vorgänger-Regelungen „Safe Harbour“ und „PrivacyShield“ für nichtig erklärt wurden, weil das US-Recht keinen ausreichenden Schutz für die personenbezogenen Daten von EU-Bürgern bot. Nachdem die Biden-Regierung nun mit dem TADPF einen dritten (!) Anlauf unternommen hatte, in den USA ein der DSGVO angemessenes Schutzniveau zu schaffen (insbesondere durch Schaffung eines durch Gerichte überprüfbaren Rahmens für die Zugriffsrechte der Sicherheitsbehörden), war dieses unter Trump zuletzt wieder unterminiert worden. Das heutige Urteil war deshalb mit Spannung erwartet worden.

Bis zur finalen Entscheidung durch den EuGH bleibt das TADPF-Abkommen weiterhin voll anwendbar. Unternehmen sollten dennoch weiterhin nach Wegen suchen, die Daten ihrer europäischen Nutzer besser innerhalb des EWR zu verarbeiten, weil die europäischen Datenschutzbehörden trotz des bestehenden rechtlichen Rahmens bei der Prüfung von Datentransfers in die USA einen äußerst strengen Maßstab anlegen. Manche der großen Online-Plattformen, vom Hosting über Marketing bis hin zu KI-Diensten, bieten dazu so genannte ‚EU Residency‘-Lösungen an. Aus den Prüfungen dieser Angebote für unsere Mandanten wissen wir jedoch, dass nicht alle den Vorgaben der DSGVO entsprechen, deshalb ist hier Vorsicht geboten.

Unangetastet bleiben schließlich die übrigen DSGVO-Angemessenheitsbeschlüsse für ausgewählte Länder mit einem hohen Datenschutzniveau wie das Vereinigte Königreich, Israel, Korea, Japan und Neuseeland.

Die Verarbeitung personenbezogener Daten ist ganz allgemein nur rechtmäßig, wenn sich der datenschutzrechtlich Verantwortliche auf eine der Rechtsgrundlagen aus Art. 6 DSGVO stützen kann. Dies gilt auch in den Konstellationen, in denen so genannte Datenbroker Daten sammeln und an Unternehmen verkaufen, die diese zum Versand von Werbung nutzen. Das jeweils datenverarbeitende Unternehmen trifft hierbei die Verantwortung, selbst sicherzustellen, dass die Daten von den Datenbrokern rechtmäßig erhoben wurden. Dieser Verantwortung ist das Unternehmen Hubside.Store nicht nachgekommen und wurde deshalb von der französischen Datenschutzbehörde CNIL mit einem Bußgeld in Höhe von gut 500.000 € belegt.

Hubside.Store macht Telefon- und SMS-Werbung und nutzt dafür Daten, die von Datenbrokern bei der Teilnahme an Online-Gewinnspielen und Produkttests erhoben werden. Die Datenbroker verwendeten bei der Erhebung dieser Daten Eingabemasken, die nach Meinung von CNIL keine ausreichende Basis für die Einholung einer wirksamen Einwilligung nach der DSGVO sein können. Als besonders problematisch erachtete CNIL die Gestaltung der Auswahlmöglichkeiten: Die Schaltfläche, mit dem die Einwilligung in die Weiterleitung der personenbezogenen Daten an die werbenden Unternehmen erteilt werden sollte, war optisch so deutlich hervorgehoben, dass die Möglichkeit, keine Einwilligung zu erteilen, von den Betroffenen nicht mehr ernsthaft als Alternative in Betracht gezogen werden konnte.

Dass Hubside.Store als datenschutzrechtlich Verantwortlicher für die Nichteinhaltung der DSGVO durch die Datenbroker haftet, obwohl diese gegenüber dem werbenden Unternehmen vertraglich zur Einhaltung der DSGVO verpflichtet waren, begründete CNIL damit, dass Hubside.Store es versäumt hatte, die Einhaltung der DSGVO durch die Datenbroker auch tatsächlich zu überprüfen. Dies zeigt erneut, wie weit die Verantwortlichkeit bei der Verarbeitung personenbezogener Daten reicht und wie wichtig es ist, sich auf eine rechtmäßige Datenerhebung berufen zu können. Kontaktieren Sie uns gerne, wenn wir Ihnen dabei beratend zur Seite stehen können.

Im Falle von Hubside.Store lag überdies noch ein Verstoß gegen Art. 14 DSGVO vor, der die Informationsplicht bei Datenerhebung statuiert. Hier hatten die Datenbroker Hubside.Store nicht in die Liste derjenigen Unternehmen aufgenommen, an die die personenbezogenen Daten weitergeleitet werden. Somit wussten die Betroffenen bei Erteilung der Einwilligung gegenüber den Datenbrokern nicht, dass sie möglicherweise auch von Hubside.Store kontaktiert werden. Auch dafür ist das werbende Unternehmen selbst haftbar, da die Pflicht aus Art. 14 DSGVO den datenschutzrechtlich Verantwortlichen trifft und dieser zu gewährleisten hat, dass die Betroffenen imstande sind, ihre Rechte aus der DSGVO geltend zu machen, die sich insbesondere gegen den datenschutzrechtlich Verantwortlichen richten.

Besucht man eine Nachrichtenseite, wird man nicht selten vor die Wahl gestellt: „mit Werbung weiterlesen“ oder „kostenpflichtig ohne Werbung“? Diese „Pay or Consent“-Modelle (auch „Cookie-Walls“ oder „Pur-Lösung“ genannt) wurden nun vom Zusammenschluss der EU-Datenschutzaufsichtsbehörden, dem Europäischen Datenschutzausschuss (EDSA), unters Licht genommen. In seiner Stellungnahme äußerte der EDSA insbesondere Zweifel an der erforderlichen Freiwilligkeit einer von den Nutzern erteilten Einwilligung zur Verarbeitung ihrer personenbezogener Daten zu Werbezwecken.

Die Stellungnahme wurde auf Initiative der niederländischen, norwegischen und hamburgischen Datenschutzbehörden verabschiedet – jede EU-Aufsichtsbehörde kann beantragen, dass eine Angelegenheit mit allgemeiner Bedeutung vom EDSA geprüft wird.

Im Falle von „Pay or Consent“-Modellen willigen Nutzer in die Verarbeitung ihrer personenbezogenen Daten ein, wenn sie nicht eine kostenpflichtige Variante des Angebots nutzen. Diese personenbezogenen Daten nutzt der Anbieter wiederum, um personalisierte Werbung auf der Website zu schalten. Nach Ansicht des EDSA werden Nutzer auf diese Weise dazu gezwungen, Entscheidungen zu treffen, die sie sonst nicht treffen würden, da die meisten Nutzer der Verarbeitung ihrer personenbezogenen Daten zustimmen, um das Angebot kostenfrei nutzen zu können. Dabei würden sie mitunter nicht genau verstehen, wozu sie ihre Einwilligung erteilen, befürchtet der EDSA.

Genutzt werden „Pay or Consent“-Modelle auch und vor allem von so genannten „großen Online-Plattformen“ wie Facebook. Damit niemand von deren Nutzung ausgeschlossen wird, fordert der EDSA, dass diese großen Plattformen ihren Nutzern eine „echte“ Wahl geben müssen, die neben der Einwilligung in die Verarbeitung personenbezogener Daten und die kostenpflichtige Nutzung des Angebots auch noch die Möglichkeit eröffnet, das Angebot mit nicht-personalisierter Werbung zu nutzen. Nur auf diese Weise, so der EDSA, könne verhindert werden, dass Nutzer, die einer Verarbeitung ihrer personenbezogenen Daten nicht zustimmen, Angebote großer Online-Plattformen überhaupt nicht nutzen können.

Die Haltung des EDSA wurde vom Bundesverband Digitale Wirtschaft (BVDW) scharf kritisiert. Der BVDW hebt hervor, dass mit den „Pay or Consent“-Modellen etwa Online-Journalismus finanziert würde, indem Nutzer von Nachrichtenseiten entweder selbst eine Gebühr an den Anbieter zahlen oder aber der Anbieter Werbeflächen verkauft, die höhere Preise erzielen, wenn sie für personalisierte Werbung genutzt werden können. Dieses Geschäftsmodell entspreche der Idee der Marktwirtschaft, wäre aber nicht mehr tragfähig, müssten die Anbieter auch die Nutzung der Website ohne personalisierte Werbung ermöglichen. Das Grundrecht auf Datenschutz dürfe nicht in die unternehmerische Freiheit der Betreiber eingreifen.

Für Kritik sorgte auch die vom EDSA verwendete Terminologie. So bezieht sich die Stellungnahme dem Wortlaut nach nur auf so genannte Large Online Platforms, also Anbieter wie Google oder Facebook. Aus dem Zusammenhang des Texts ergibt sich jedoch, dass damit eigentlich doch alle Marktteilnehmer, also auch kleinere Anbieter, gemeint sein sollen. Laut dem BVDW entstehe durch die nicht trennscharfe Bezeichnung eine erhebliche Rechtsunsicherheit.

Damit Sie und Ihr Unternehmen Ihr Geschäftsmodell weiterhin DSGVO-konform und entsprechend den Anforderungen aus der Stellungnahme des EDSA nutzen können, stehen wir Ihnen gerne beratend zur Seite.