CJEU Meta-Urteil: Warum Einwilligung bei kombinierten Diensten scheitert

Kernaussage des EuGH-Urteils C-252/21

Der Europäische Gerichtshof hat am 4. Juli 2023 in der Rechtssache C-252/21 (Meta Platforms Ireland Limited) entschieden, dass die Verknüpfung der Nutzung von Facebook mit der Einwilligung zur Datenverarbeitung für personalisierte Werbung gegen Art. 7 Abs. 4 DSGVO verstößt. Das Urteil stellt klar: Einwilligung ist nicht freiwillig, wenn sie zur Bedingung für die Nutzung eines Dienstes gemacht wird, obwohl die Datenverarbeitung für die Erbringung des Dienstes nicht erforderlich ist.

Konkret ging es um Metas Praxis, Nutzerdaten aus verschiedenen Quellen (Facebook, Instagram, WhatsApp, externe Websites über Pixel und Plugins) zusammenzuführen und für personalisierte Werbung zu nutzen. Meta machte diese Datenverarbeitung zur Voraussetzung für die Nutzung von Facebook – ohne Alternative anzubieten.

Rechtliche Bewertung nach Art. 7 Abs. 4 DSGVO

Der EuGH stellte fest, dass Meta gegen das Kopplungsverbot des Art. 7 Abs. 4 DSGVO verstoßen hat. Diese Bestimmung verbietet es, die Erfüllung eines Vertrags von einer Einwilligung abhängig zu machen, wenn diese Einwilligung für die Vertragserfüllung nicht erforderlich ist. Der Gerichtshof betonte drei entscheidende Aspekte:

• Die Bereitstellung eines sozialen Netzwerks erfordert nicht zwingend personalisierte Werbung
• Eine marktbeherrschende Stellung verschärft die Problematik der fehlenden Freiwilligkeit
• Alternative Einnahmequellen (wie kontextuelle Werbung oder Abonnements) sind technisch möglich

Besonders relevant ist die Feststellung, dass die bloße Möglichkeit, den Dienst nicht zu nutzen, keine echte Wahlfreiheit darstellt, wenn keine vergleichbaren Alternativen am Markt existieren.

Auswirkungen auf Rechtsgrundlagen nach Art. 6 DSGVO

Das Urteil hat erhebliche Konsequenzen für die Wahl der Rechtsgrundlage. Meta kann sich nicht mehr auf Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) stützen, wenn diese erzwungen wird. Die verbleibenden Optionen sind problematisch:

Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung): Personalisierte Werbung ist nicht zur Bereitstellung eines sozialen Netzwerks erforderlich. Der EuGH folgte hier der restriktiven Auslegung des EDPB in Guidelines 2/2019 zur Verarbeitung personenbezogener Daten nach Art. 6 Abs. 1 lit. b.

Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse): Nach der CJEU-Entscheidung C-311/18 (Schrems II) und den nachfolgenden Guidance-Dokumenten der Datenschutzbehörden ist eine Interessenabwägung bei umfangreicher Profilerstellung für Werbezwecke meist negativ.

Technische Implementierungsanforderungen

Das Urteil zwingt Plattformen zu grundlegenden technischen Änderungen. Folgende Anforderungen ergeben sich:

Granulare Einwilligungsoptionen: Separate Consent-Management für verschiedene Datenverarbeitungszwecke. Die technische Umsetzung muss sicherstellen, dass Nutzer spezifisch für Werbepersonalisierung, Datenverknüpfung zwischen Diensten und externe Tracking-Pixel entscheiden können.

Alternative Dienstvarianten: Bereitstellung von Diensten ohne personalisierte Werbung, beispielsweise durch kontextuelle Werbung oder Freemium-Modelle. Dies erfordert separate Cookie-Policies, angepasste JavaScript-APIs und getrennte Datenbanken für verschiedene Nutzergruppen.

Datenminimierung: Implementierung von Privacy-by-Design-Prinzipien nach Art. 25 DSGVO. Technisch bedeutet dies: Separate Datenströme, lokale Verarbeitung wo möglich, und strikte Zweckbindung in den Datenverarbeitungsprotokollen.

Compliance-Anforderungen für Unternehmen

Datenschutzbeauftragte und Compliance-Verantwortliche müssen ihre Consent-Management-Systeme überprüfen. Das BfDI hat in seinem Tätigkeitsbericht 2023 bereits angekündigt, verstärkt auf Kopplungspraktiken zu achten.

Sofortige Maßnahmen: Überprüfung aller Dienste, bei denen Einwilligung zur Vertragsbedingung gemacht wird. Besonders kritisch sind CRM-Systeme, Newsletter-Anmeldungen und App-Downloads, die Tracking-Einwilligung voraussetzen.

Langfristige Anpassungen: Entwicklung alternativer Geschäftsmodelle und technischer Architekturen. Dies umfasst die Implementierung von Differential Privacy, On-Device-Processing und föderierten Lernsystemen für Werberelevanz ohne zentrale Datensammlung.

Praktische Umsetzung für DPOs

Konkrete Schritte für die Compliance-Umsetzung:

1. Audit aller Einwilligungsformulare auf Kopplungstatbestände
2. Dokumentation der Erforderlichkeit jeder Datenverarbeitung für den jeweiligen Vertragszweck
3. Implementierung granularer Consent-Optionen in bestehenden Cookie-Bannern
4. Rechtliche Bewertung alternativer Rechtsgrundlagen unter Berücksichtigung der EuGH-Rechtsprechung
5. Technische Vorbereitung für getrennte Dienstvarianten

Das Meta-Urteil markiert einen Wendepunkt im Datenschutzrecht. Unternehmen müssen ihre Datenverarbeitungsstrategien grundlegend überdenken und echte Wahlfreiheit für Nutzer schaffen – sowohl rechtlich als auch technisch.