Luxembourg, 4 October 2024
(Scroll down for German version)
Judgment of the EU Court in Case C-446/21 | Schrems (Communication of data to the general public)
An online social network such as Facebook cannot use all of the personal data obtained for the purposes of targeted advertising, without restriction as to time and without distinction as to type of data
—
The fact that Mr Maximilian Schrems has made a statement about his sexual orientation on the occasion of a public panel discussion does not authorise the operator of an online social network platform to process other data relating to his sexual orientation, obtained, as the case may be, outside that platform, with a view to aggregating and analysing those data, in order to offer him personalised advertising
Mr Maximilian Schrems brought an action before the Austrian courts challenging the, in his submission unlawful, processing of his personal data by Meta Platforms Ireland in the context of the online social network Facebook. Those data include inter alia data concerning his sexual orientation.
Meta Platforms Ireland collects the personal data of Facebook users, including Mr Schrems, concerning those users’ activities both on and outside that social network, including in particular data relating to online platform visits and third-party websites and apps. To that end, Meta Platforms Ireland uses ‘cookies’,1 ‘social plug-ins’2 and ‘pixels’,3 embedded on the relevant websites.
With the data available to it, Meta Platforms Ireland is also able to identify Mr Schrems’ interest in sensitive topics, such as sexual orientation, which enables it to direct targeted advertising at him4 in that regard, the question then arises as to whether Mr Schrems manifestly made public sensitive personal data about himself by having disclosed, on the occasion of a public panel discussion,5 the fact that he was homosexual, and thus authorised the processing of those data under the General Data Protection Regulation (GDPR).6
In that context,7 the Supreme Court, Austria, requested the Court of Justice to interpret the GDPR.8
First, the Court replies that the principle of data minimisation provided for by the GDPR precludes all of the personal data obtained by a controller, such as the operator of an online social network platform, from the data subject or third parties and collected either on or outside that platform, from being aggregated, analysed and processed for the purposes of targeted advertising without restriction as to time and without distinction as to type of data.
Second, the Court finds that the possibility cannot be ruled out that, by his statement on the occasion of the panel discussion in question, Mr Schrems manifestly made his sexual orientation public. It is for the Supreme Court, Austria, to verify whether this is so.
The consequence of the fact that a data subject has manifestly made public data concerning his or her sexual orientation is that those data may be processed in compliance with the provisions of the GDPR. However, that fact alone does not authorise the processing of other personal data relating to that data subject’s sexual orientation.
Thus, the fact that a person has made a statement about his or her sexual orientation on the occasion of a public panel discussion does not authorise the operator of an online social network platform to process other data relating to that person’s sexual orientation, obtained, as the case may be, outside that platform using partner third-party websites and apps, with a view to aggregating and analysing those data, in order to offer that person personalised advertising.
NOTE: A reference for a preliminary ruling allows the courts and tribunals of the Member States, in disputes which have been brought before them, to refer questions to the Court of Justice about the interpretation of European Union law or the validity of a European Union act. The Court of Justice does not decide the dispute itself. It is for the national court or tribunal to dispose of the case in accordance with the Court’s decision, which is similarly binding on other national courts or tribunals before which a similar issue is raised.
Unofficial document for media use, not binding on the Court of Justice. The full text and, as the case may be, an abstract of the judgment is published on the CURIA website on the day of delivery.
—
1 ‘Cookies’, installed on the device used, enable Meta to ascertain the source of visits.
2 Facebook’s social plug-ins are ‘embedded’ by website operators into their pages. The most widely used is Facebook’s ‘like’ button. Each time such websites containing that button are visited, the cookies stored, the URL of the page visited and various log data (e.g. IP addresses, time data) are transmitted to Meta Platforms Ireland. In that respect, it is not necessary that the user has clicked on the ‘like’ button, since merely loading a page with such a social plug-in is sufficient for those data to be transmitted to Meta Platforms Ireland.
3 Like social plug-ins, pixels can be embedded in websites and enable information to be collected about users who have visited those websites in order, inter alia, to measure and optimise advertising thereon. For example, when website operators integrate a Facebook pixel into their own websites, they can receive reports from Meta Platforms Ireland about how many people saw their advertising on Facebook and then subsequently went to the operators’ own website to visit it or make a purchase.
4 As from 6 November 2023, Facebook’s services continued to be free only for users who had consented to their personal data being collected and used for the purpose of directing personalised advertising at them; users were able to sign up for a paying subscription in order to access a version of those services without receiving personalised advertising.
5 On the occasion of a panel discussion, accessible to the public, in which he participated in Vienna on 12 February 2019, at the invitation of the Representation of the European Commission in Austria, Mr Schrems referred to his sexual orientation for the purpose of criticising Facebook’s processing of personal data, including the processing of his own data. That panel discussion was streamed and a recording of the round table was subsequently published as a podcast, as well as on the Commission’s YouTube channel. However, Mr Schrems has never mentioned that aspect of his personal life on his Facebook profile.
6 Article 9(2)(e) of Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation).
7 In the same proceedings, the Supreme Court, Austria, had previously questioned the Court of Justice about the jurisdiction of the Austrian courts, which gave rise to the judgment of 25 January 2018, Schrems, C-498/16 (see also Press Release No 7/18).
8 In the light of the judgment of 4 July 2023, Meta Platforms and Others (General terms of use of a social network), C-252/21 (see also Press Release No 113/23), the Supreme Court, Austria, withdrew some of its questions.
Source – EU Court of Justice (by email)
Urteil des Gerichtshofs in der Rechtssache C-446/21 | Schrems (Mitteilung von Daten an die breite Öffentlichkeit)
Ein soziales Online-Netzwerk wie Facebook darf nicht sämtliche personenbezogenen Daten, die es für Zwecke der zielgerichteten Werbung erhalten hat, zeitlich unbegrenzt und ohne Unterscheidung nach ihrer Art verwenden
—
Der Umstand, dass Herr Maximilian Schrems bei einer öffentlichen Podiumsdiskussion seine sexuelle Orientierung mitgeteilt hat, gestattet dem Betreiber einer Online-Plattform für ein soziales Netzwerk nicht, andere Daten über die sexuelle Orientierung von Herrn Schrems zu verarbeiten, die er gegebenenfalls außerhalb dieser Plattform im Hinblick darauf erhalten hat, sie zu aggregieren und zu analysieren, um Herrn Schrems personalisierte Werbung anzubieten
Herr Maximilian Schrems wendet sich vor den österreichischen Gerichten gegen die seiner Ansicht nach rechtswidrige Verarbeitung seiner personenbezogenen Daten durch Meta Platforms Ireland im Rahmen des sozialen Online-Netzwerks Facebook. Dabei geht es u. a. um Daten zu seiner sexuellen Orientierung.
Meta Platforms erhebt personenbezogene Daten der Nutzer von Facebook, darunter Herr Schrems, über deren Tätigkeiten innerhalb und außerhalb dieses sozialen Netzwerks. Dazu gehören u. a. Daten über den Abruf der Online-Plattform sowie von Websites und Anwendungen Dritter. Zu diesem Zweck verwendet Meta Platforms auf den betreffenden Websites eingebaute „Cookies“1, „Social Plugins“2 und „Pixel“3.
Meta Platforms kann anhand der ihr zur Verfügung stehenden Daten auch das Interesse von Herrn Schrems an sensiblen Themen wie sexuelle Orientierung erkennen, was es ihr ermöglicht, hierzu zielgerichtete Werbung4 an ihn zu richten. Somit stellt sich die Frage, ob Herr Schrems ihn betreffende sensible personenbezogene Daten dadurch offensichtlich öffentlich gemacht hat, dass er bei einer öffentlichen Podiumsdiskussion5 die Tatsache, dass er homosexuell sei, mitgeteilt und somit die Verarbeitung dieser Daten gemäß der Datenschutz-Grundverordnung (DSGVO)6 genehmigt hat.
In diesem Kontext7 hat der österreichische Oberste Gerichtshof den Gerichtshof um Auslegung der DSGVO ersucht8.
Erstens antwortet der Gerichtshof, dass der in der DSGVO festgelegte Grundsatz der „Datenminimierung“ dem entgegensteht, dass sämtliche personenbezogenen Daten, die ein Verantwortlicher wie der Betreiber einer Online-Plattform für ein soziales Netzwerk von der betroffenen Person oder von Dritten erhält und die sowohl auf als auch außerhalb dieser Plattform erhoben wurden, zeitlich unbegrenzt und ohne Unterscheidung nach ihrer Art für Zwecke der zielgerichteten Werbung aggregiert, analysiert und verarbeitet werden.
Zweitens ist es nach Auffassung des Gerichtshofs nicht ausgeschlossen, dass Herr Schrems durch seine Aussage bei der fraglichen Podiumsdiskussion seine sexuelle Orientierung offensichtlich öffentlich gemacht hat. Es ist Sache des österreichischen Obersten Gerichtshofs, dies zu beurteilen.
Der Umstand, dass eine betroffene Person Daten zu ihrer sexuellen Orientierung offensichtlich öffentlich gemacht hat, führt dazu, dass diese Daten unter Einhaltung der Vorschriften der DSGVO verarbeitet werden können. Dieser Umstand allein berechtigt jedoch nicht, andere personenbezogene Daten zu verarbeiten, die sich auf die sexuelle Orientierung dieser Person beziehen.
Somit gestattet der Umstand, dass sich eine Person bei einer öffentlichen Podiumsdiskussion zu ihrer sexuellen Orientierung geäußert hat, dem Betreiber einer Online-Plattform für ein soziales Netzwerk nicht, andere Daten über ihre sexuelle Orientierung zu verarbeiten, die er gegebenenfalls außerhalb dieser Plattform von Anwendungen und Websites dritter Partner im Hinblick darauf erhalten hat, sie zu aggregieren und zu analysieren, um dieser Person personalisierte Werbung anzubieten.
HINWEIS: Mit einem Vorabentscheidungsersuchen haben die Gerichte der Mitgliedstaaten die Möglichkeit, dem Gerichtshof im Rahmen eines Rechtsstreits, über den sie zu entscheiden haben, Fragen betreffend die Auslegung des Unionsrechts oder die Gültigkeit einer Handlung der Union vorzulegen. Der Gerichtshof entscheidet dabei nicht
den beim nationalen Gericht anhängigen Rechtsstreit. Dieser ist unter Zugrundelegung der Entscheidung des Gerichtshofs vom nationalen Gericht zu entscheiden. Die Entscheidung des Gerichtshofs bindet in gleicher Weise andere nationale Gerichte, wenn diese über vergleichbare Fragen zu befinden haben.
Zur Verwendung durch die Medien bestimmtes nicht amtliches Dokument, das den Gerichtshof nicht bindet. Der Volltext und gegebenenfalls die Zusammenfassung des Urteils werden am Tag der Verkündung auf der Curia- Website veröffentlicht.
—
1 Cookies, die auf dem verwendeten Gerät installiert sind, erlauben Meta, die Quelle der Aufrufe zuzuordnen.
2 Die „Social Plugins“ von Facebook werden von dritten Betreibern von Websites in ihre Seiten „eingebaut“. Am weitesten verbreitet ist die
Schaltfläche „Gefällt mir“ von Facebook. Bei jedem Abruf von Websites, die diese Schaltfläche enthalten, werden die auf dem verwendeten Gerät hinterlegten Cookies, die URL der besuchten Seite und weitere Daten wie IP-Adressen und Zeitangaben an Meta übertragen. Zu diesem Zweck ist es nicht erforderlich, dass der Nutzer die Schaltfläche „Gefällt mir“ angeklickt hat, da die bloße Betrachtung einer Website, die ein solches Plugin enthält, ausreicht, um diese Daten anschließend an diese Gesellschaft zu übermitteln.
3 Pixel können, ebenso wie Social Plugins, in die Seiten von Websites integriert werden und ermöglichen es, Informationen über die Nutzer zu erheben, die diese Seiten besucht haben, insbesondere um die Werbung auf diesen Seiten zu messen und zu optimieren. Beispielsweise können Betreiber von Websites, indem sie einen Facebook-Pixel in ihre eigene Website integrieren, von Meta Berichte darüber erhalten, wie viele Personen ihre Werbung auf Facebook gesehen haben und sich dann anschließend mit ihrer eigenen Website verbunden haben, um diese zu besuchen oder einen Kauf zu tätigen.
4 Seit dem 6. November 2023 sind die Dienste von Facebook nur noch für die Nutzer kostenlos, die zugestimmt haben, dass ihre personenbezogenen Daten erhoben und verwendet werden, um personalisierte Werbung an sie zu richten. Nutzer haben seitdem die Möglichkeit, ein kostenpflichtiges Abonnement abzuschließen, um Zugang zu einer Version dieser Dienste ohne zielgerichtete Werbung zu erhalten.
5 Herr Schrems nahm im Rahmen einer öffentlich zugänglichen Podiumsdiskussion, an der er in Wien am 12. Februar 2019 auf Einladung der Vertretung der Europäischen Kommission in Österreich teilnahm, auf seine sexuelle Orientierung Bezug. Es ging ihm darum, die Verarbeitung personenbezogener Daten durch Facebook, einschließlich der Verarbeitung seiner eigenen Daten, zu kritisieren. Diese Podiumsdiskussion wurde per Streaming übertragen, und später wurde eine Aufzeichnung als Podcast sowie auf dem YouTube-Kanal der Kommission veröffentlicht. Herr Schrems hat jedoch diesen Gesichtspunkt seines Privatlebens in seinem Facebook-Profil nie angegeben.
6 Art. 9 Abs. 2 Buchst. e der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz- Grundverordnung).
7 Im Rahmen desselben Verfahrens hatte der österreichische Oberste Gerichtshof den Gerichtshof bereits zur Zuständigkeit der österreichischen Gerichte befragt, was zum Urteil vom 25. Januar 2018, Schrems C-498/16 führte (vgl. auch Pressemitteilung Nr. 7/18).
8 Im Hinblick auf das Urteil vom 4. Juli 23, Meta Platforms u. a. (Allgemeine Nutzungsbedingungen eines sozialen Netzwerks), C-252/21 (vgl. auch Pressemitteilung Nr. 113/23), hat der österreichische Oberste Gerichtshof einen Teil seiner Fragen zurückgezogen.
Quelle – EuGH (per E-Mail)