Österreichs OGH zwingt Meta zur vollständigen Datenoffenlegung

Wie noyb aktuell berichtet, hat der Oberste Gerichtshof Österreichs nach über einem Jahrzehnt juristischer Auseinandersetzung ein bahnbrechendes Urteil gegen Meta gefällt. Das Unternehmen muss künftig europäischen Nutzern uneingeschränkten Einblick in sämtliche gespeicherte personenbezogene Informationen gewähren – inklusive Herkunft, Verwendungszweck und Empfänger. Die Entscheidung könnte weitreichende Folgen für die gesamte Tech-Branche haben.

Umfassende Auskunftspflicht binnen zwei Wochen

Der OGH hat Meta zu außergewöhnlich weitreichenden Transparenzverpflichtungen verurteilt. Innerhalb von 14 Tagen – konkret bis zum 31. Dezember 2025 – muss der Konzern dem Kläger sämtliche über ihn gespeicherten Daten zugänglich machen. Die Informationspflicht geht dabei deutlich über bisherige Praktiken hinaus: Neben einer vollständigen Kopie aller personenbezogenen Informationen sind detaillierte Angaben zu Verarbeitungszwecken, Datenquellen und allen Empfängern vorgeschrieben.

Diese Verpflichtung basiert auf Artikel 15 der Datenschutz-Grundverordnung. Metas bisherige Praxis, Betroffene lediglich auf ein internes Download-Tool oder die allgemeine Datenschutzerklärung zu verweisen, wurde vom Gericht als unzureichend eingestuft. Einwände des Konzerns bezüglich angeblicher Geschäftsgeheimnisse wies der OGH mangels ordnungsgemäßer Begründung vollständig zurück.

Rechtsanwältin Katharina Raabe-Stuppnig, die den Fall vertrat, betont die Tragweite: Nach mehr als einem Jahrzehnt der Verweigerung vollständiger Transparenz müsse Meta nun beispiellose Einblicke in seine Datenverarbeitungspraktiken gewähren. Das Urteil sei in der gesamten Europäischen Union unmittelbar vollstreckbar.

Werbemodell ohne rechtliche Grundlage

Das Gericht stellte zudem fest, dass Metas personalisierte Werbung in der EU seit Jahren ohne gültige Rechtsgrundlage läuft. Für die Verarbeitung personenbezogener Daten zu Werbezwecken existierte nie eine rechtmäßige Basis. Diese Feststellung wurde durch die EuGH-Entscheidung in der Rechtssache C-252/21 Bundeskartellamt untermauert, die bereits klarstellte, dass Meta über keine ausreichende Rechtsgrundlage für die Verarbeitung europäischer Nutzerdaten zu Werbezwecken verfügt.

Der OGH bekräftigte: Tracking und Datennutzung für Werbezwecke erfordern eine explizite Opt-in-Einwilligung der Betroffenen. Meta muss die Schaltung personalisierter Werbung für den Kläger vollständig einstellen.

Besonderer Schutz sensibler Informationen

Ein weiterer zentraler Punkt des Urteils betrifft den Umgang mit besonders schützenswerten Daten gemäß Artikel 9 DSGVO. Hierzu zählen Informationen über Gesundheitszustand, politische Überzeugungen oder sexuelle Orientierung. Meta hatte bislang abgelehnt, solche Daten gesondert zu behandeln, die über Drittanbieter-Websites, Apps oder Nutzeraktivitäten auf den eigenen Plattformen gesammelt werden.

Das Gericht stellte unmissverständlich klar: Selbst bei unbeabsichtigter Verarbeitung – eine Darstellung, die im Verfahren umstritten blieb – muss Meta die gesetzlichen Vorgaben einhalten. Der Konzern kann sich der Anwendung von Artikel 9 DSGVO nicht durch das Argument entziehen, sensible Daten nicht absichtlich zu sammeln oder technisch nicht trennen zu können. Ohne Rechtsgrundlage nach Artikel 9 Absatz 2 DSGVO dürfen solche Informationen nicht mit anderen Daten gemeinsam verarbeitet werden.

Kläger Max Schrems kommentiert: Plattformen wie Facebook und Instagram hätten enormen Einfluss, beispielsweise durch das Präsentieren bestimmter politischer Inhalte. Die Behauptung, solche Daten nicht zu verarbeiten und daher nicht an gesetzliche Vorgaben gebunden zu sein, sei absurd gewesen.

Schadenersatz als Präzedenzfall

In einer früheren Teilentscheidung wurden dem Kläger bereits 500 Euro Schadenersatz für die verspätete Beantwortung seines Auskunftsersuchens zugesprochen. Obwohl sich die Klage auch auf weitere DSGVO-Verstöße stützte, bleibt die genaue Begründung für die Schadenersatzhöhe im Urteil unklar. Das Gericht scheint jedoch einen Betrag von mindestens 500 Euro für Verstöße, die nahezu alle Meta-Nutzer betreffen, als angemessen zu betrachten. Da der Kläger keine höhere Summe forderte, blieb das Gericht an diese Obergrenze gebunden.

Raabe-Stuppnig sieht darin einen wichtigen Richtwert: Es erscheine realistisch, dass Betroffene für die umfangreichen Datenschutzverletzungen durch Meta mindestens diesen Betrag geltend machen könnten. Dies könnte Signalwirkung für zahlreiche anhängige Verfahren in ganz Europa haben.

Elf Jahre Rechtsstreit mit fünf Höchstgerichtsurteilen

Der Fall begann bereits 2014, als Max Schrems versuchte, vollständigen Zugriff auf seine personenbezogenen Daten zu erhalten – tatsächlich reichen seine ersten Bemühungen bis 2011 zurück. Der Weg zum abschließenden Urteil war steinig: Das Landesgericht für Zivilsachen Wien lehnte zunächst zweimal ab, den Fall zu verhandeln. Die Argumentation: Schrems sei mit seinem privaten Facebook-Konto kein „Verbraucher“, später wurden Unsicherheiten bezüglich der Zuständigkeit nach DSGVO angeführt.

Insgesamt entschied der OGH dreimal über den Fall, davon zweimal nach Vorlage an den Europäischen Gerichtshof. Die Gesamtkosten belaufen sich bisher auf 200.000 Euro – bei einer ursprünglichen Klageforderung von etwa 500 Euro. Die endgültige Kostenentscheidung steht noch aus.

Schrems kritisiert die Realität von DSGVO-Rechtsstreitigkeiten scharf: Für durchschnittliche Bürger bedeuteten solche Verfahren jahrzehntelange Prozesse mit finanziell verheerenden Folgen. Große Technologiekonzerne würden sich hinter Jurisdiktionen wie Irland verstecken, hunderte Abweisungsgründe vorbringen und Verfahren systematisch sabotieren. Es bedürfe dringend Verbesserungen, um die DSGVO in der Praxis durchsetzbar zu machen.

Strategische Einschränkungen im Verfahren

Im Verlauf des langwierigen Prozesses verzichtete der Kläger aus Kosten- und verfahrenstechnischen Gründen auf mehrere Ansprüche. Bestimmte Forderungen wurden als alternative Ansprüche formuliert, sodass nur eine davon erfolgreich sein konnte. Besonders die ungünstigen erstinstanzlichen Urteile zogen das Verfahren in die Länge. Nach österreichischem Recht ist es außerordentlich schwierig, Tatsachenfeststellungen der ersten Instanz anzufechten. Aus diesem Grund mussten mehrere berechtigte Ansprüche zurückgezogen werden.

Illegale Datensammlung über Drittquellen

Das Urteil stellt außerdem fest, dass Meta unrechtmäßig Daten von Drittanbieter-Apps und Websites gesammelt hat. Diese Praxis erfolgte ohne ausreichende Rechtsgrundlage und verstößt gegen fundamentale Prinzipien der DSGVO.

Über den Fall: Der Rechtsstreit wurde 2014 von Datenschutzaktivist Max Schrems initiiert und durchlief drei Verfahren vor dem österreichischen OGH sowie zwei Vorlagen an den Europäischen Gerichtshof. Das nun ergangene Urteil ist in der gesamten EU vollstreckbar und könnte weitreichende Konsequenzen für die Datenverarbeitungspraktiken großer Technologiekonzerne haben.

Über noyb:
noyb (None of Your Business) ist eine spendenfinanzierte NGO mit Sitz in Wien, Österreich, die sich für die Durchsetzung von Datenschutzgesetzen einsetzt.

Mehr dazu