Aktuelle nationale und internationale Entscheidungen halten das Tempo im Datenschutzrecht auch 2023 auf hohem Niveau: Kürzlich hat die irische Datenschutzbehörde eine aufsehenerregende Entscheidung zur Abgrenzung von Vertragserfüllung und Einwilligung in Bezug auf Datenverarbeitungen beruhenden Gratisonlinenageboten im Social Media Bereich getroffen. Der OGH wiederum hat in einer weiteren richtungsweisenden Entscheidung einmal mehr das Trennungsgebot von Datenschutzhinweisen und AGB unterstrichen und verschärft. Und schließlich hat der VfGH das Medienprivileg des § 9 DSG für verfassungs- bzw unionswidrig erklärt. Unsere DORDA Datenschutzexperten haben die Entscheidungen für Sie gerne zusammengefasst:
DPC: Einwilligung kann nicht durch Berufung auf Vertragserfüllung umgangen werden
Zahlreiche Gratis Onlineangebote, vornehmlich im Social Media Bereich, beruhen darauf, dass User-Daten erhoben, verarbeitet und kommerziell verwertet werden. Einige der Anbieter am Markt haben nach Inkrafttreten der DSGVO ihre datenschutzrechtlichen Grundlagen dahingehend angepasst, dass sie die Verarbeitung der Nutzerdaten zur Ausspielung von verhaltensbasierter Werbung als Vertragsinhalt definiert haben. Das sollte als Rechtsgrundlage für die Verarbeitung und Kommerzialisierung der Daten dienen. Konsequenterweise haben die Plattformbetreiber daher keine Einwilligung der User eingeholt. Diese würde nicht erforderlich sein, da mit der Datenverarbeitung lediglich der Vertrag mit dem Nutzer erfüllt würde.
Die irische Datenschutzbehörde DPC hat nun vor kurzem eine lang erwartete Grundsatzentscheidung konkret zu Meta, dem Betreiber von Facebook und Instagram erlassen. Der Anbieter hatte das Ausspielen personalisierter Werbung für ihre User zum Vertragszweck erklärt um die Einholung einer – jederzeit widerrufbaren – Einwilligung des Users zur Datenverarbeitung zu vermeiden. Sonst würde drohen, dass der Anbieter seine monetär entgeltfreien Leistungen auch nicht durch die Datenüberlassung abgegolten bekäme.
Die DPC hat diesen Ansatz der datenschutzrechtlichen Gestaltung nun als Umgehung der Einwilligung eingeordnet und dementsprechend entschieden, dass eine einwilligungspflichtige Datenverarbeitung nicht als Vertragsleistung qualifiziert werden darf. Nur wirklich zur eigentlichen Vertragserfüllung benötigte Datenverarbeitungen dürfen auf diese Rechtsgrundlage gestützt werden. Sonst erfordert eine Datenverarbeitung – wenn kein anderer Rechtfertigungsgrund greift - eine Einwilligung. Diese muss aber stets freiwillig erteilt und jederzeit widerrufbar ausgestaltet werden. In der Praxis kommt es daher auf die schwierige Abgrenzung an, ob eine Datenverarbeitung für die Vertragserfüllung wirklich erforderlich ist oder nicht: So darf zB die Einwilligung zur Verarbeitung von sensiblen Daten, wie zB Gesundheitsdaten oder sexueller Orientierung, an die Vertragserfüllung gekoppelt werden, wenn es inhaltlich um Gesundheitsdienstleistungen (zB SmartWatch) oder Partnersuchportale geht. Ist dies nicht der Fall – und so sieht es die DPC hinsichtlich verhaltensorientierter Werbung im Vergleich zur Nutzung einer Social Media Plattform – muss eine separate Einwilligung eingeholt werden.
OGH: Allein Bestätigung der Kenntnisnahme von Datenschutzhinweisen führt zur Klagslegitimation von Verbraucherschutzverbänden
Die DORDA Datenschutzexperten warnen schon seit langem davor, Datenschutzhinweise oder -erklärungen in AGB aufzunehmen. Dies führt nach höchstgerichtlichen Entscheidungen dazu, dass Verbraucherschutzverbände auch diese nach KSchG Kriterien prüfen lassen kann. Nun geht der OGH aber noch einen Schritt weiter: Alleine die Bestätigung der Kenntnisnahme der Datenschutzhinweise in einem Vertrag hat dieselbe Wirkung – auch ohne dass den Hinweisen direkt zugestimmt werden muss (OGH 7 Ob 112/22d). Folglich prüfte das Gericht auch in diesem Fall die Zulässigkeit der Datenschutzhinweise am strengen Maßstab des Transparenzgebots iSd § 6 Abs 3 KSchG und erklärte auf dieser Basis einzelne Inhalte als ungültig.
Unternehmen sollten in der Praxis daher tunlichst AGB und Datenschutzhinweise lückenlos trennen. Nach Art 13 und 14 DSGVO ist keine Zustimmung oder Akzeptanz des Betroffenen erforderlich. Ein bloßer Hinweis und Link – außerhalb der AGB – sind somit völlig ausreichend. Die aktuelle Entscheidung ist daher ein guter Anlass, die eigenen AGB zu prüfen und etwaige Verknüpfungen aufzulösen, um eine strenge Prüfung der Datenschutzhinweise anhand konsumentenschutzrechtlicher Kriterien zu vermeiden. Ohne die Verknüpfung haben die Verbraucherschutzverbände nämlich keine Prüfkompetenz und kommt nur der datenschutzrechtliche Maßstab zur Anwendung. Das ist für Unternehmen wichtig, da die Anforderungen nach dem KSchG und die streng ausgelegten Transparenzerfordernisse in der Praxis mit datenschutzrechtlichen Anforderungen, jedenfalls aber best practise kollidieren können.
VfGH: Medienprivileg des § 9 DSG mit Juni 2024 aufgehoben
Ganz aktuell hat der VfGH eine österreichische Umsetzung einer der 99 Öffnungsklauseln der DSGVO aufgehoben: Konkret geht es um das in § 9 DSG geregelte, auf Art 85 DSGVO gestützte Medienprivileg bzw die Ausnahmen von der DSGVO für journalistische Tätigkeiten: Art 85 DSGVO sieht vor, dass die Mitgliedstaaten durch Rechtsvorschriften das Recht auf den Schutz personenbezogener Daten mit dem Recht auf freie Meinungsäußerung und Informationsfreiheit, einschließlich der Verarbeitung zu journalistischen Zwecken und zu wissenschaftlichen, künstlerischen oder literarischen Zwecken in Einklang bringen können. Abs 2 zählt dann gewisse Bereiche der DSGVO auf, für die die Mitgliedssaaten für diesen Zweck Abweichungen oder Ausnahmen vorsehen können. . Der österreichische Gesetzgeber hat bei der Umsetzung der Öffnungsklausel grundsätzlich Zurückhaltung gezeigt und von den Ausnahmen nur mit Minimalvarianten Gebrauch gemacht. Bei der beanstandeten Bestimmung ist dies aber nach hinten losgegangen: Art 85 wurde so umgesetzt, dass sämtliche in der Verordnung genannten Regelungsbereiche der DSGVO auf journalistische Zwecke per se für unanwendbar erklärt wurden. Dies hat der VfGH nun als undifferenziert und überschießend für verfassungswidrig erklärt:Medien prinzipiell von der Anwendung des DSG auszuschließen, würde dem Grundrecht auf Datenschutz widersprechen. Zugleich anerkannte der VfGH den hohen Schutzwert der Meinungsfreiheit und die Funktion von Medien in der Demokratier (public watchdog". Dennoch dürfe in den Datenschutz nur zur Wahrung überwiegender berechtigter Interessen eines anderen eingegriffen werden. Dafür habe der Gesetzgeber eine Interessensabwägung, im konkreten Fall zwischen dem Interesse des Betroffenen am Schutz seiner personenbezogenen Daten und den gegenläufigen berechtigten Interessen eines anderen (z.B. eines Medienunternehmens), vorzusehen.
Die Bestimmung wird somit mit Juni 2024 aufgehoben. Bis dahin (i) greift das Medienprivileg daher noch wie bisher und (ii) liegt es also nun am Gesetzgeber, eine verfassungs- und unionsrechtskonforme Umsetzung der verpflichtenden Öffnungsklausel umzusetzen. Dies könnte durch Präzisierung der bestehenden Gesetzesbestimmung (Einschränkung auf konkrete Bestimmungen oder Sachverhalte) auf Basis einer im Gesetzgebungsverfahren ex ante durchgeführten Interessensabwägung erfolgen. Alternativ kann aber auch das Gesetz für den jeweiligen Einzelfall die Vornahme einer Interessensabwägung vorsehen. Es lohnt sich jedenfalls auch ein Blick über den Tellerrand, wie andere Mitgliedssaaten diese Öffnungsklausel genutzt haben.
Losgelöst von dem Einzelfall, der wegen der langen Umsetzungsfrist und der unstrittigen bestehenden rechtlichen Grundlage für eine (beschränktere) Ausnahme nur beschränkte Auswirkungen haben wird, ist die Grundproblematik interessant: Durch die minimalistische Umsetzung der Öffnungsklauseln ging die Lehre von einer geringen Gefahr der Unionsrechtswidrigkeit der österreichischen Regelungen auf Basis der DSGVO aus. Nun zeigt sich aber, dass auch eine zu minimalistische Umsetzung Risken birgt. Es wird zu prüfen sein, ob auch bei anderen der 99 Öffnungsklauseln ebenso eine Anordnung zur Abwägung 1:1 umgesetzt wurde und damit potenziell verfassungsrechtlich anfechtungsgeneigt ist.