OGH-Entscheidung vom 26.11.2025, 6 Ob 189/24y
Sachverhalt:
Dieser Entscheidung liegt ein langjähriger Rechtsstreit des österreichischen Datenschutzjuristen Max Schrems (hier Kläger) gegen Meta Platforms Ireland Ltd (vormals Facebook) zugrunde. Er begehrte unter anderem die Feststellung datenschutzrechtlicher Rollenverteilungen nach der DSGVO, Unterlassung bestimmter Datenverarbeitungen, umfassende Auskunft nach Art 15 DSGVO sowie immateriellen Schadenersatz.
Im Kern ging es um die Frage, auf welcher Rechtsgrundlage personenbezogene Daten eines Nutzers verarbeitet werden dürfen, insbesondere im Zusammenhang mit personalisierter Werbung, der Aggregation und Analyse von Daten zu Werbezwecken sowie der Erhebung von Daten über das Surfverhalten auf Drittwebseiten mittels Social Plugins und vergleichbarer Technologien.
Der Kläger stellte sich auf den Standpunkt, dass die Beklagte personenbezogene Daten ohne wirksame Einwilligung und ohne tragfähige gesetzliche Rechtfertigung verarbeite. Insbesondere sei personalisierte Werbung kein notwendiger Bestandteil der vertraglich geschuldeten Leistung, sondern diene ausschließlich dem Geschäfts- und Finanzierungsmodell der Plattform. Zudem rügte er die Verarbeitung besonders sensibler Daten, etwa solcher mit Bezug zu politischer Meinung, Gesundheit oder sexueller Orientierung, die sich aus dem Besuch bestimmter Webseiten ergeben könnten. Schließlich beanstandete er, dass die Beklagte ihren Auskunftspflichten nach der DSGVO nur unvollständig nachkomme, indem sie den Nutzer auf eine Vielzahl unübersichtlicher Online-Tools verweise.
Entscheidung:
Die Vorinstanzen wiesen einen Großteil der Feststellungs- und Unterlassungsbegehren ab, gaben jedoch dem Auskunftsbegehren und dem Schadenersatzanspruch statt. Das Berufungsgericht bestätigte diese Entscheidung im Wesentlichen. Beide Parteien erhoben Revision. Der OGH unterbrach das Verfahren zunächst und legte dem EuGH mehrere Fragen zur Vorabentscheidung vor. Nach Vorliegen der Entscheidungen des EuGH (siehe HIER und HIER im Blog) setzte der OGH das Verfahren fort.
Der OGH gab der Revision des Klägers teilweise statt und wies die Revision der Beklagten zur Gänze ab. Er bestätigte zunächst die Abweisung jener Feststellungsbegehren, mit denen der Kläger geklärt wissen wollte, dass seine Zustimmung zu den Nutzungsbedingungen keine wirksame Einwilligung im Sinne der DSGVO darstelle. Nach Ansicht des OGH genügten diese Begehren nicht den Anforderungen des § 228 ZPO, weil sie nicht auf die Feststellung eines Rechts oder Rechtsverhältnisses gerichtet waren, sondern lediglich auf die rechtliche Qualifikation einer Rechtshandlung. Die Wirksamkeit oder Unwirksamkeit einer Einwilligungserklärung sei jedoch nur eine Vorfrage und könne nicht selbständig Gegenstand eines Feststellungsurteils sein.
Anders beurteilte der OGH die Unterlassungsbegehren des Klägers, soweit sie die Verarbeitung personenbezogener Daten zu Zwecken personalisierter Werbung betrafen. Unter ausdrücklicher Bezugnahme auf die einschlägige Rechtsprechung des EuGH stellte er klar, dass eine Verarbeitung personenbezogener Daten nur dann als für die Vertragserfüllung erforderlich im Sinne des Art. 6 Abs. 1 lit. b DSGVO angesehen werden kann, wenn sie objektiv unerlässlich ist, um einen Zweck zu verwirklichen, der notwendiger Bestandteil der für die betroffene Person bestimmten Vertragsleistung ist. Die Personalisierung von Werbung sei jedoch nicht Teil der gegenüber dem Nutzer geschuldeten Leistung, sondern eine Dienstleistung gegenüber Werbetreibenden und damit Teil des Finanzierungskonzepts der Plattform. Dass der Dienst für Nutzer kostenlos angeboten werde, ändere nichts daran, dass personalisierte Werbung nicht notwendig für die Erbringung des sozialen Netzwerks sei. Auch auf ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO könne sich die Beklagte nicht berufen, da die Interessen und Grundrechte des Nutzers gegenüber dem wirtschaftlichen Interesse der Beklagten an personalisierter Werbung überwögen. Die Verarbeitung personenbezogener Daten des Klägers zu diesen Zwecken war daher unzulässig und der Beklagten zu untersagen.
Besondere Bedeutung kommt der Entscheidung im Zusammenhang mit der Verarbeitung von Daten aus dem Besuch von Drittwebseiten mittels Social Plugins und ähnlicher Techniken zu. Der OGH stellte zunächst klar, dass die Beklagte für die Erhebung und Weiterverarbeitung dieser Daten als Verantwortliche im Sinne der DSGVO zu qualifizieren ist. In der Sache selbst folgte er der Rechtsprechung des EuGH, wonach eine solche Datenverarbeitung insgesamt als Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO anzusehen ist, wenn sie die Offenlegung sensibler Informationen ermöglicht. Festgestellt war, dass Social Plugins der Beklagten auch auf Webseiten politischer Parteien, auf medizinischen Seiten sowie auf Seiten für homosexuelle Nutzer eingebunden waren und dass die Beklagte die daraus gewonnenen Daten unterschiedslos weiterverarbeitete. Eine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO lag nicht vor. Auch der Rechtfertigungsgrund des Art. 9 Abs. 2 lit. e DSGVO griff nicht, weil der bloße Aufruf entsprechender Webseiten keine offensichtliche Öffentlichmachung sensibler Daten darstellt. Selbst eine öffentliche Äußerung zur eigenen sexuellen Orientierung berechtigte nicht zur Verarbeitung weiterer personenbezogener Daten, etwa zur Information, dass bestimmte Dating-Plattformen besucht wurden. Da kein Rechtfertigungstatbestand des Art. 9 Abs. 2 DSGVO erfüllt war, qualifizierte der OGH die gesamte Datenverarbeitung als unzulässig und gab dem Unterlassungsbegehren des Klägers statt.
Ein weiteres Unterlassungsbegehren, das sich allgemein gegen die Verarbeitung von Daten richtete, welche die Beklagte von Dritten erhalten hatte, wies der OGH hingegen wegen Unbestimmtheit ab. Die bloße Bezugnahme auf Verarbeitungen zu eigenen Zwecken der Beklagten ohne nähere Konkretisierung der beanstandeten Handlungen genüge nicht den Anforderungen an ein vollstreckbares Unterlassungsgebot und würde zu einer unzulässigen Verlagerung der rechtlichen Klärung in das Exekutionsverfahren führen.
Schließlich bestätigte der OGH die Entscheidungen der Vorinstanzen zum Auskunftsanspruch nach Art. 15 DSGVO. Das Auskunftsrecht umfasse alle personenbezogenen Daten sowie sämtliche in der Verordnung vorgesehenen Zusatzinformationen. Die Beklagte hatte dem Kläger lediglich den Zugang zu verschiedenen Online-Tools eröffnet, über die jedoch nur ein Teil der verarbeiteten Daten einsehbar war, nämlich jene, die sie selbst für relevant hielt. Dies genügte nicht den Anforderungen der DSGVO. Die Auskunft müsse vollständig sowie in präziser, transparenter, verständlicher und leicht zugänglicher Form erteilt werden. Auch die Einwände der Beklagten, sie sei nur zur Auskunft über Kategorien von Empfängern verpflichtet oder habe hinsichtlich der Herkunft der Daten ausreichend informiert, wies der OGH zurück. Nach der Rechtsprechung des EuGH sei grundsätzlich die Identität der konkreten Empfänger mitzuteilen, und zur Herkunft der Daten gehöre auch die Information, welche konkreten personenbezogenen Daten von welchen Dritten übermittelt wurden.
Weitere Blog-Beiträge zum Thema Datenschutzrecht: