Wie dürfen personenbezogene Daten verarbeitet werden?
Bei einem Verfahren vor dem OLG Hamburg zwischen den "Meta Platforms" und dem Kartellamt über die erlassene Verfügung gegen Meta, die AGB und Nutzungsbedingungen abzuändern, legte das OLG dem EuGH mehrere Vorlagefragen für ein Vorabentscheidungsverfahren vor. Neben weiteren, die Zuständigkeit des Kartellamts betreffenden Fragen, wollte das OLG den Umgang mit personenbezogenen Daten geklärt wissen. Darunter fiel die Frage, ob eine wirksame und vor allem freiwillige Einwilligung in die Nutzung von personenbezogenen Daten bei marktübergreifenden Sozialen-Netzwerken überhaupt möglich ist. Der EuGH urteilte, dass es grundsätzlich möglich ist, eine wirksame, freiwillige Einwilligung abzugeben, dies wird aber an bestimmte Merkmale gebunden, da davon ausgegangen werden kann, dass zwischen den "Meta Platforms" und dem Nutzer ein Ungleichgewicht herrscht. Den Nutzern muss beispielsweise die Möglichkeit gegeben werden, bestimmte Datenverarbeitungsvorgange einzeln zu verbieten. Weiterhin wollte das OLG wissen, ob eine Speicherung der in Art. 9 Abs. 1 DSGVO genannten Daten bei Plattformen, die diese Daten betreffen, über sog. "Facebook-Business-Tools" oder die Einsichtnahme über Cookies oder ähnliche Speicherungsmöglichkeiten bereits als Verarbeitung im Sinne der Norm gesehen werden kann. Art. 9 Abs. 1 DSGVO verbietet grundsätzlich die Verarbeitung der dort genannten personenbezogenen Daten. Diese Frage bejahte der EuGH. Weiterhin bestimmt die DSGVO auch, dass personenbezogene Daten nur verwendet werden dürfen, wenn dies für die Vertragserfüllung notwendig oder zur Wahrung von berechtigtem Interesse ist. Hier fragt das OLG danach, ob sich Meta auf diese Regelung berufen kann, wenn in den AGB und Nutzungsbedingungen geregelt ist, dass für die Nutzung der Meta Plattformen die Verarbeitung dieser Daten notwendig ist. Bezüglich der Notwendigkeit antwortete der EuGH, dass die Verarbeitung der Daten objektiv unerlässlich für die Erfüllung sein muss und nicht lediglich im Vertrag erwähnt sein muss oder bloß nützlich ist. Bezüglich des berechtigten Interesses antwortete der EuGH, dass dies nur gegeben sein kann, wenn der Betreiber angibt, welches Interesse er schützen möchte, wenn die Verarbeitung der Daten nur innerhalb der nötigen Grenzen geschieht und wenn die Interessen des Nutzers am Schutz seiner Grundrechte und Grundfreiheiten das berechtigte Interesse des Betreibers nicht übersteigt.
