Rechtssache C‑252/21

Meta Platforms Inc., vormals Facebook Inc.,
Meta Platforms Ireland Ltd, vormals Facebook Ireland Ltd,
und
Facebook Deutschland GmbH

gegen

Bundeskartellamt

(Vorabentscheidungsersuchen des Oberlandesgerichts Düsseldorf)

Urteil des Gerichtshofs (Große Kammer) vom 4. Juli 2023

„Vorlage zur Vorabentscheidung – Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Verordnung (EU) 2016/679 – Soziale Online-Netzwerke – Missbrauch einer beherrschenden Stellung durch den Betreiber eines solchen Netzwerks – Missbrauch durch die in den Allgemeinen Nutzungsbedingungen des betreffenden Netzwerks vorgesehene Verarbeitung personenbezogener Daten der Nutzer dieses Netzwerks – Zuständigkeiten einer mitgliedstaatlichen Wettbewerbsbehörde im Hinblick auf die Feststellung, dass diese Verarbeitung gegen die Verordnung 2016/679 verstößt – Verhältnis zu den Zuständigkeiten der nationalen Datenschutzaufsichtsbehörden – Art. 4 Abs. 3 EUV – Grundsatz der loyalen Zusammenarbeit – Art. 6 Abs. 1 Unterabs. 1 Buchst. a bis f der Verordnung 2016/679 – Rechtmäßigkeit der Verarbeitung – Art. 9 Abs. 1 und 2 – Verarbeitung besonderer Kategorien personenbezogener Daten – Art. 4 Nr. 11 – Begriff ‚Einwilligung‘“

1. Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Verordnung 2016/679 – Soziale Online-Netzwerke – Missbrauch einer beherrschenden Stellung durch den Betreiber eines solchen Netzwerks – Missbrauch durch die in den Allgemeinen Nutzungsbedingungen des betreffenden Netzwerks vorgesehene Verarbeitung personenbezogener Daten der Nutzer dieses Netzwerks – Zuständigkeiten einer nationalen Wettbewerbsbehörde im Hinblick auf die Feststellung, dass diese Verarbeitung gegen die Verordnung 2016/679 verstößt – Reichweite – Verhältnis zu den Zuständigkeiten der nationalen Datenschutzaufsichtsbehörden – Pflicht der nationalen Wettbewerbsbehörde zur loyalen Zusammenarbeit mit den nationalen Aufsichtsbehörden

   (Art. 4 Abs. 3 EUV; Art. 102 AEUV; Verordnung 2016/679 des Europäischen Parlaments und des Rates, Art. 51, 55 bis 58, 60 bis 65)

   (vgl. Rn. 48-59, 62, 63, Tenor 1)

2. Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Verordnung 2016/679 – Verarbeitung besonderer Kategorien personenbezogener Daten – Begriff – Erhebung der aus dem Aufruf von Websites und Apps stammenden Daten sowie der vom Nutzer eines sozialen Netzwerks eingegebenen Daten durch den Betreiber dieses Netzwerks über integrierte Schnittstellen, Cookies oder ähnliche Speichertechnologien – Verknüpfung der Gesamtheit dieser Daten mit dem jeweiligen Nutzerkonto des sozialen Netzwerks und Verwendung dieser Daten durch den Betreiber – Einbeziehung – Voraussetzung

   (Verordnung 2016/679 des Europäischen Parlaments und des Rates, 51. Erwägungsgrund und Art. 9 Abs. 1)

   (vgl. Rn. 73, Tenor 2)

3. Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Verordnung 2016/679 – Verarbeitung besonderer Kategorien personenbezogener Daten – Verbot – Ausnahmen – Verarbeitung von Daten, die die betroffene Person offensichtlich öffentlich gemacht hat – Daten über den von einem Nutzer eines sozialen Online-Netzwerks getätigten Aufruf von Websites oder Apps mit Bezug zu einer oder mehreren besonderen Kategorien von Daten, die der Betreiber dieses sozialen Netzwerks über Cookies oder ähnliche Speichertechnologien erhebt – Ausschluss – Eingabe von Daten auf solchen Websites oder in solchen Apps oder Betätigung von darin eingebundenen Schaltflächen oder von Schaltflächen, die es dem Nutzer ermöglichen, sich auf diesen Websites oder in diesen Apps unter Verwendung der Anmeldedaten, die mit seinem Konto als Nutzer des sozialen Online-Netzwerks verknüpft sind, zu identifizieren – Einbeziehung – Voraussetzung

   (Verordnung 2016/679 des Europäischen Parlaments und des Rates, Art. 9 Abs. 1 und Abs. 2 Buchst. e)

   (vgl. Rn. 84, 85, Tenor 3)

4. Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Verordnung 2016/679 – Voraussetzungen für die Rechtmäßigkeit der Verarbeitung personenbezogener Daten – Verarbeitung, die für die Erfüllung eines Vertrags mit der betroffenen Person erforderlich ist – Begriff – Erhebung von Daten der Nutzer eines sozialen Online-Netzwerks, die aus anderen Diensten des Konzerns, zu dem der Betreiber dieses Netzwerks gehört, stammen oder sich aus dem Aufruf dritter Websites oder Apps durch diese Nutzer ergeben, durch den Betreiber – Verknüpfung dieser Daten mit dem jeweiligen Nutzerkonto des sozialen Netzwerks und Verwendung dieser Daten – Einbeziehung – Voraussetzung

   (Verordnung 2016/679 des Europäischen Parlaments und des Rates, Art. 6 Abs. 1 Unterabs. 1 Buchst. b)

   (vgl. Rn. 91-93, 97-104, 125, Tenor 4)

5. Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Verordnung 2016/679 – Voraussetzungen für die Rechtmäßigkeit der Verarbeitung personenbezogener Daten –Verarbeitung, die zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen – Begriff – Erhebung von Daten der Nutzer eines sozialen Online-Netzwerks, die aus anderen Diensten des Konzerns, zu dem der Betreiber dieses Netzwerks gehört, stammen oder sich aus dem Aufruf dritter Websites oder Apps durch diese Nutzer ergeben, durch den Betreiber – Verknüpfung dieser Daten mit dem jeweiligen Nutzerkonto des sozialen Netzwerks und Verwendung dieser Daten – Einbeziehung – Voraussetzungen

   (Verordnung 2016/679 des Europäischen Parlaments und des Rates, Erwägungsgründe 47 und 49, Art. 6 Abs. 1 Unterabs. 1 Buchst. f)

   (vgl. Rn. 105-124, 126, Tenor 5)

6. Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Verordnung 2016/679 – Voraussetzungen für die Rechtmäßigkeit der Verarbeitung personenbezogener Daten –Verarbeitung, die erforderlich ist, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen – Verarbeitung, die für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt durch den Verantwortlichen erfolgt – Begriff – Erhebung von Daten der Nutzer eines sozialen Online-Netzwerks, die aus anderen Diensten des Konzerns, zu dem der Betreiber dieses Netzwerks gehört, stammen oder sich aus dem Aufruf dritter Websites oder Apps durch diese Nutzer ergeben, durch den Betreiber – Verknüpfung dieser Daten mit dem jeweiligen Nutzerkonto des sozialen Netzwerks und Verwendung dieser Daten – Ausschluss – Dem nationalen Gericht obliegende Prüfung

   (Verordnung 2016/679 des Europäischen Parlaments und des Rates, 46. Erwägungsgrund, Art. 6 Abs. 1 Unterabs. 1 Buchst. d und e)

   (vgl. Rn. 137, 139, Tenor 7)

7. Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Verordnung 2016/679 – Voraussetzungen für die Rechtmäßigkeit der Verarbeitung personenbezogener Daten – Verarbeitung, die zur Erfüllung einer rechtlichen Verpflichtung des Verantwortlichen erforderlich ist – Begriff – Erhebung von Daten der Nutzer eines sozialen Online-Netzwerks, die aus anderen Diensten des Konzerns, zu dem der Betreiber dieses Netzwerks gehört, stammen oder sich aus dem Aufruf dritter Websites oder Apps durch diese Nutzer ergeben, durch den Betreiber – Verknüpfung dieser Daten mit dem jeweiligen Nutzerkonto des sozialen Netzwerks und Verwendung dieser Daten – Einbeziehung – Voraussetzungen

   (Verordnung 2016/679 des Europäischen Parlaments und des Rates, Art. 6 Abs. 1 Unterabs. 1 Buchst. c)

   (vgl. Rn. 138, Tenor 6)

8. Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Verordnung 2016/679 – Begriff der Einwilligung – Beherrschende Stellung des Betreibers eines sozialen Online-Netzwerks auf dem Markt für soziale Netzwerke – Umstand, der nicht ausschließt, dass die Nutzer eines solchen Netzwerks wirksam in die Verarbeitung ihrer Daten durch diesen Betreiber einwilligen können – Umstand, der ein wichtiger Aspekt für die Prüfung ist, ob die von den Nutzern dieses sozialen Netzwerks auf diese Weise erteilte Einwilligung wirksam, insbesondere freiwillig, erteilt wurde – Dem Betreiber des sozialen Netzwerks obliegende Beweislast

   (Verordnung 2016/679 des Europäischen Parlaments und des Rates, Erwägungsgründe 42 und 43, Art. 4 Nr. 11, Art. 6 Abs. 1 Unterabs. 1 Buchst. a und Art. 9 Abs. 2 Buchst. a)

   (vgl. Rn. 143-154, Tenor 8)

Zusammenfassung

Die Gesellschaft Meta Platforms ist Eigentümerin des sozialen Online-Netzwerks „Facebook“, das für private Nutzer kostenlos ist. Das Geschäftsmodell dieses sozialen Netzwerks basiert auf der Finanzierung durch Online-Werbung, die auf den individuellen Nutzer zugeschnitten ist. Technische Grundlage dieser Art von Werbung ist die automatisierte Erstellung von detaillierten Profilen der Nutzer des Netzwerks und der auf Ebene des Meta-Konzerns angebotenen Online-Dienste. Um das soziale Netzwerk nutzen zu können, müssen die Nutzer daher bei ihrer Registrierung den von Meta Platforms festgelegten Allgemeinen Nutzungsbedingungen zustimmen, die auf die von diesem Unternehmen festgelegten Richtlinien für die Verwendung von Daten und Cookies verweisen. Danach erfasst Meta Platforms neben den Daten, die diese Nutzer bei ihrer Registrierung direkt angeben, auch Daten über Nutzeraktivitäten innerhalb und außerhalb des sozialen Netzwerks und ordnet sie den Facebook-Konten der betroffenen Nutzer zu. Bei den Daten, die Aktivitäten außerhalb des sozialen Netzwerks betreffen (auch „Off-Facebook-Daten“ genannt), handelt es sich zum einen um Daten über den Aufruf dritter Websites und Apps und zum anderen um Daten über die Nutzung anderer zum Meta-Konzern gehörender Online-Dienste (darunter Instagram und WhatsApp). In ihrer Gesamtheit lassen die auf diese Weise erhobenen Daten detaillierte Rückschlüsse auf die Präferenzen und Interessen der Nutzer zu.

Mit Beschluss vom 6. Februar 2019 untersagte das Bundeskartellamt (Deutschland) Meta Platforms zum einen, in den damals geltenden Allgemeinen Nutzungsbedingungen ( 1 ) die Nutzung des sozialen Netzwerks Facebook durch in Deutschland wohnhafte private Nutzer von der Verarbeitung ihrer Off-Facebook-Daten abhängig zu machen, und zum anderen, diese Daten ohne ihre Einwilligung zu verarbeiten. Außerdem verpflichtete das Bundeskartellamt dieses Unternehmen, die Allgemeinen Nutzungsbedingungen so anzupassen, dass aus ihnen eindeutig hervorgeht, dass die fraglichen Daten nicht ohne Einwilligung der betreffenden Nutzer erfasst, mit den Facebook-Nutzerkonten verknüpft und verwendet werden. Schließlich hob das Bundeskartellamt hervor, dass eine solche Einwilligung ungültig sei, wenn sie eine Bedingung für die Nutzung des sozialen Netzwerks darstelle. Es begründete seinen Beschluss damit, dass die Verarbeitung der fraglichen Daten, die nicht im Einklang mit der DSGVO ( 2 ) stehe, eine missbräuchliche Ausnutzung der beherrschenden Stellung von Meta Platforms auf dem Markt für soziale Online-Netzwerke darstelle.

Gegen diesen Beschluss legte Meta Platforms beim Oberlandesgericht Düsseldorf (Deutschland) Beschwerde ein. Da dieses Gericht sowohl hinsichtlich der Befugnis von Wettbewerbsbehörden, zu prüfen, ob eine Verarbeitung personenbezogener Daten den Anforderungen der DSGVO entspricht, als auch hinsichtlich der Auslegung und Anwendung bestimmter Vorschriften dieser Verordnung Zweifel hegt, hat es den Gerichtshof um Vorabentscheidung ersucht.

Mit seinem Urteil entscheidet der Gerichtshof (Große Kammer) über die Frage, ob eine nationale Wettbewerbsbehörde für die Feststellung zuständig ist, dass eine Verarbeitung personenbezogener Daten mit der DSGVO unvereinbar ist, sowie über die Frage, in welchem Verhältnis diese Zuständigkeit zu den Zuständigkeiten der nationalen Datenschutzaufsichtsbehörden ( 3 ) steht. Außerdem erteilt er klarstellende Hinweise zu der Möglichkeit, dass der Betreiber eines sozialen Netzwerks „sensible“ personenbezogene Daten seiner Nutzer verarbeitet, zu den Voraussetzungen für die Rechtmäßigkeit der Datenverarbeitung durch einen solchen Betreiber sowie zur Gültigkeit der Einwilligung, die diese Nutzer einem Unternehmen, das auf dem nationalen Markt für soziale Online-Netzwerke eine beherrschende Stellung einnimmt, im Hinblick auf eine solche Verarbeitung erteilen.

Würdigung durch den Gerichtshof

Was erstens die Frage betrifft, ob eine Wettbewerbsbehörde dafür zuständig ist, festzustellen, dass eine Verarbeitung personenbezogener Daten mit der DSGVO unvereinbar ist, entscheidet der Gerichtshof, dass eine solche Behörde im Rahmen der Prüfung, ob ein Missbrauch einer beherrschenden Stellung durch ein Unternehmen ( 4 ) vorliegt, vorbehaltlich der Erfüllung ihrer Pflicht zur loyalen Zusammenarbeit ( 5 ) mit den Datenschutzaufsichtsbehörden feststellen kann, dass die von diesem Unternehmen festgelegten Allgemeinen Nutzungsbedingungen, soweit sie sich auf die Verarbeitung personenbezogener Daten beziehen, und die Durchführung dieser Nutzungsbedingungen nicht mit dieser Verordnung vereinbar sind, wenn diese Feststellung erforderlich ist, um das Vorliegen eines solchen Missbrauchs zu belegen. Stellt eine Wettbewerbsbehörde im Rahmen der Feststellung des Missbrauchs einer beherrschenden Stellung einen Verstoß gegen die DSGVO fest, tritt sie jedoch nicht an die Stelle der Aufsichtsbehörden.

Unter Berücksichtigung des Grundsatzes der loyalen Zusammenarbeit sind die Wettbewerbsbehörden, wenn sie in Ausübung ihrer Zuständigkeiten zu prüfen haben, ob ein Verhalten eines Unternehmens mit den Bestimmungen der DSGVO vereinbar ist, somit verpflichtet, sich abzustimmen und loyal mit den betreffenden nationalen Aufsichtsbehörden bzw. der federführenden Aufsichtsbehörde zusammenzuarbeiten. In diesem Fall müssen alle diese Behörden ihre jeweiligen Befugnisse und Zuständigkeiten dergestalt einhalten, dass die Verpflichtungen aus der DSGVO und die Ziele dieser Verordnung beachtet werden und ihre praktische Wirksamkeit gewahrt wird. Hält es eine Wettbewerbsbehörde im Rahmen der Prüfung, ob ein Unternehmen eine beherrschende Stellung missbraucht, für erforderlich, die Vereinbarkeit eines Verhaltens dieses Unternehmens mit den Bestimmungen der DSGVO zu prüfen, so muss sie daher ermitteln, ob dieses oder ein ähnliches Verhalten bereits Gegenstand einer Entscheidung durch die zuständige nationale Aufsichtsbehörde oder die federführende Aufsichtsbehörde oder auch durch den Gerichtshof war. Ist dies der Fall, darf die Wettbewerbsbehörde davon nicht abweichen, wobei es ihr aber freisteht, daraus eigene Schlussfolgerungen unter dem Gesichtspunkt der Anwendung des Wettbewerbsrechts zu ziehen.

Wenn sie Zweifel hinsichtlich der Tragweite der von der zuständigen nationalen Aufsichtsbehörde bzw. der federführenden Aufsichtsbehörde vorgenommenen Beurteilung hat, wenn das in Rede stehende Verhalten oder ein ähnliches Verhalten gleichzeitig Gegenstand einer Prüfung durch diese Behörden ist oder wenn sie bei Nichtvorliegen einer Untersuchung dieser Behörden der Auffassung ist, dass das Verhalten eines Unternehmens nicht mit den Bestimmungen der DSGVO vereinbar ist, muss die Wettbewerbsbehörde diese Behörden konsultieren und um deren Mitarbeit bitten, um ihre Zweifel auszuräumen oder zu klären, ob sie eine Entscheidung der betreffenden Aufsichtsbehörde abwarten muss, bevor sie mit ihrer eigenen Beurteilung beginnt. Wenn diese Behörden innerhalb einer angemessenen Frist keine Einwände erheben oder keine Antwort erteilen, kann die Wettbewerbsbehörde ihre eigene Untersuchung fortsetzen.

Was zweitens die Verarbeitung besonderer Kategorien personenbezogener Daten ( 6 ) betrifft, befindet der Gerichtshof, dass in dem Fall, dass ein Nutzer eines sozialen Online-Netzwerks Websites oder Apps mit Bezug zu einer oder mehreren dieser Kategorien aufruft und dort gegebenenfalls Daten eingibt, indem er sich registriert oder Online-Bestellungen aufgibt, die Verarbeitung personenbezogener Daten durch den Betreiber dieses sozialen Online-Netzwerks ( 7 ) als eine „Verarbeitung besonderer Kategorien personenbezogener Daten“ im Sinne von Art. 9 Abs. 1 DSGVO anzusehen ist, wenn sie die Offenlegung von Informationen ermöglicht, die in eine dieser besonderen Kategorien fallen, unabhängig davon, ob diese Informationen einen Nutzer dieses Netzwerks oder eine andere natürliche Person betreffen. Eine solche Datenverarbeitung ist vorbehaltlich bestimmter Ausnahmen ( 8 ) grundsätzlich untersagt.

In letzterer Hinsicht stellt der Gerichtshof klar, dass ein Nutzer eines sozialen Online-Netzwerks, wenn er Websites oder Apps mit Bezug zu einer oder mehreren der fraglichen besonderen Kategorien von Daten aufruft, die diesen Aufruf betreffenden Daten, die der Betreiber dieses sozialen Online-Netzwerks über Cookies oder ähnliche Speichertechnologien erhebt, nicht offensichtlich öffentlich macht ( 9 ). Im Übrigen macht ein solcher Nutzer, wenn er Daten auf solchen Websites oder in solchen Apps eingibt oder darin eingebundene Schaltflächen betätigt – wie etwa „Gefällt mir“ oder „Teilen“ oder Schaltflächen, die es dem Nutzer ermöglichen, sich auf diesen Websites oder in diesen Apps unter Verwendung der Anmeldedaten, die mit seinem Konto als Nutzer des sozialen Netzwerks, seiner Telefonnummer oder seiner E‑Mail-Adresse verknüpft sind, zu identifizieren –, die eingegebenen oder sich aus der Betätigung dieser Schaltflächen ergebenden Daten nur dann offensichtlich öffentlich, wenn er zuvor, gegebenenfalls durch in voller Kenntnis der Sachlage vorgenommene individuelle Einstellungen, explizit seine Entscheidung zum Ausdruck gebracht hat, die ihn betreffenden Daten einer unbegrenzten Zahl von Personen öffentlich zugänglich zu machen.

Was drittens, allgemeiner betrachtet, die Voraussetzungen für die Rechtmäßigkeit einer Verarbeitung personenbezogener Daten betrifft, weist der Gerichtshof darauf hin, dass nach der DSGVO die Verarbeitung von Daten rechtmäßig ist, wenn und soweit die betroffene Person ihre Einwilligung dazu für einen oder mehrere bestimmte Zwecke gegeben hat ( 10 ). Liegt keine solche Einwilligung vor oder wurde die Einwilligung nicht freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich erteilt, ist eine solche Verarbeitung gleichwohl gerechtfertigt, wenn sie eine der Voraussetzungen in Bezug auf die Erforderlichkeit ( 11 ) erfüllt, die eng auszulegen sind. Die vom Betreiber eines sozialen Online-Netzwerks vorgenommene Verarbeitung personenbezogener Daten seiner Nutzer kann indessen nur dann als für die Erfüllung eines Vertrags, dessen Vertragsparteien diese Nutzer sind, erforderlich angesehen werden, wenn diese Verarbeitung objektiv unerlässlich ist, um einen Zweck zu verwirklichen, der notwendiger Bestandteil der für diese Nutzer bestimmten Vertragsleistung ist, so dass der Hauptgegenstand des Vertrags ohne diese Verarbeitung nicht erfüllt werden könnte.

Ferner entscheidet der Gerichtshof, dass die in Rede stehende Datenverarbeitung nur dann als zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich angesehen werden kann, wenn der fragliche Betreiber den Nutzern, bei denen die Daten erhoben wurden, ein mit der Datenverarbeitung verfolgtes berechtigtes Interesse mitgeteilt hat, wenn diese Verarbeitung innerhalb der Grenzen dessen erfolgt, was zur Verwirklichung dieses berechtigten Interesses absolut notwendig ist und wenn sich aus einer Abwägung der einander gegenüberstehenden Interessen unter Würdigung aller relevanten Umstände ergibt, dass die Interessen oder Grundrechte und Grundfreiheiten dieser Nutzer gegenüber dem berechtigten Interesse des Verantwortlichen oder eines Dritten nicht überwiegen. Insoweit ist der Gerichtshof der Auffassung, dass bei fehlender Einwilligung der Nutzer ihre Interessen und Grundrechte gegenüber dem Interesse des Betreibers eines sozialen Online-Netzwerks an der Personalisierung der Werbung, mit der er seine Tätigkeit finanziert, überwiegen.

Schließlich stellt der Gerichtshof klar, dass die in Rede stehende Datenverarbeitung gerechtfertigt ist, wenn sie zur Erfüllung einer rechtlichen Verpflichtung, der der Verantwortliche gemäß einer Vorschrift des Unionsrechts oder des Rechts des betreffenden Mitgliedstaats unterliegt, tatsächlich erforderlich ist, diese Rechtsgrundlage ein im öffentlichen Interesse liegendes Ziel verfolgt und in einem angemessenen Verhältnis zu dem verfolgten legitimen Ziel steht und diese Verarbeitung in den Grenzen des absolut Notwendigen erfolgt.

Viertens und letztens befindet der Gerichtshof hinsichtlich der Frage, ob nach der DSGVO die Einwilligung der betroffenen Nutzer in die Verarbeitung ihrer Daten gültig ist, dass der Umstand, dass der Betreiber eines sozialen Online-Netzwerks eine beherrschende Stellung auf dem Markt für soziale Online-Netzwerke einnimmt, für sich genommen nicht ausschließt, dass die Nutzer eines solchen Netzwerks wirksam in die Verarbeitung ihrer personenbezogenen Daten durch diesen Betreiber einwilligen können. Da eine solche Stellung geeignet ist, die Wahlfreiheit der Nutzer zu beeinträchtigen und ein klares Ungleichgewicht zwischen ihnen und dem Betreiber zu schaffen, ist sie jedoch ein wichtiger Aspekt für die Prüfung, ob die Einwilligung tatsächlich wirksam, insbesondere freiwillig, erteilt wurde, wofür der Betreiber die Beweislast trägt ( 12 ).

Insbesondere müssen die Nutzer des fraglichen sozialen Netzwerks die Freiheit haben, im Zuge des Vertragsabschlusses die Einwilligung in bestimmte Datenverarbeitungsvorgänge, die für die Erfüllung des Vertrags nicht erforderlich sind, einzeln zu verweigern, ohne dazu gezwungen zu sein, auf die Nutzung dieses sozialen Online-Netzwerks vollständig zu verzichten, was bedingt, dass ihnen, gegebenenfalls gegen ein angemessenes Entgelt, eine gleichwertige Alternative angeboten wird, die nicht mit solchen Datenverarbeitungsvorgängen einhergeht. Darüber hinaus muss es möglich sein, eine gesonderte Einwilligung für die Verarbeitung der Off-Facebook-Daten zu erteilen.

( 1 ) Am 31. Juli 2019 führte Meta Platforms neue Allgemeine Nutzungsbedingungen ein, in denen ausdrücklich darauf hingewiesen wurde, dass sich der Nutzer, anstatt für die Nutzung der Facebook-Produkte zu bezahlen, mit der Anzeige von Werbung einverstanden erklärt.

( 2 ) Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. 2016, L 119, S. 1, berichtigt in ABl. 2018, L 127, S. 2, im Folgenden: DSGVO).

( 3 ) Im Sinne der Art. 51 bis 59 DSGVO.

( 4 ) Im Sinne von Art. 102 AEUV.

( 5 ) Niedergelegt in Art. 4 Abs. 3 EUV.

( 6 ) Gemäß Art. 9 Abs. 1 DSGVO. Diese Vorschrift bestimmt: „Die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person ist untersagt.“

( 7 ) Diese Verarbeitung besteht darin, dass dieser Betreiber die aus dem Aufruf dieser Websites und Apps stammenden Daten sowie die vom Nutzer eingegebenen Daten über integrierte Schnittstellen, Cookies oder ähnliche Speichertechnologien erhebt, die Gesamtheit dieser Daten mit dem jeweiligen Nutzerkonto des sozialen Netzwerks verknüpft und diese Daten verwendet.

( 8 ) Vorgesehen in Art. 9 Abs. 2 DSGVO. In dieser Vorschrift heißt es: „Absatz 1 gilt nicht in folgenden Fällen:

a) Die betroffene Person hat in die Verarbeitung der genannten personenbezogenen Daten für einen oder mehrere festgelegte Zwecke ausdrücklich eingewilligt, es sei denn, nach Unionsrecht oder dem Recht der Mitgliedstaaten kann das Verbot nach Absatz 1 durch die Einwilligung der betroffenen Person nicht aufgehoben werden,

…

e) die Verarbeitung bezieht sich auf personenbezogene Daten, die die betroffene Person offensichtlich öffentlich gemacht hat,

f) die Verarbeitung ist zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder bei Handlungen der Gerichte im Rahmen ihrer justiziellen Tätigkeit erforderlich,

…“

( 9 ) Im Sinne von Art. 9 Abs. 2 Buchst. e DSGVO.

( 10 ) Gemäß Art. 6 Abs. 1 Unterabs. 1 Buchst. a DSGVO.

( 11 ) Genannt in Art. 6 Abs. 1 Unterabs. 1 Buchst. b bis f DSGVO. Nach diesen Vorschriften ist die Verarbeitung nur rechtmäßig, wenn sie erforderlich ist, und zwar u. a. für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist (Art. 6 Abs. 1 Unterabs. 1 Buchst. b DSGVO), zur Erfüllung einer rechtlichen Verpflichtung, der der Verantwortliche unterliegt (Art. 6 Abs. 1 Unterabs. 1 Buchst. c DSGVO), oder zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten (Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO).

( 12 ) Gemäß Art. 7 Abs. 1 DSGVO.