62021CC0446
SCHLUSSANTRÄGE DES GENERALANWALTS
ATHANASIOS RANTOS
vom 25. April 2024 (
1
)
Rechtssache C‑446/21
Maximilian Schrems
gegen
Meta Platforms Ireland Limited, vormals Facebook Ireland Limited
(Vorabentscheidungsersuchen des Obersten Gerichtshofs [Österreich])
„Vorlage zur Vorabentscheidung – Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Verordnung (EU) 2016/679 – Soziale Netzwerke – Art. 5 Abs. 1 Buchst. b – Grundsatz der ‚Zweckbindung‘ – Art. 5 Abs. 1 Buchst. e – Grundsatz der ‚Datenminimierung‘ – Art. 9 Abs. 1 und 2 Buchst. e – Verarbeitung besonderer Kategorien personenbezogener Daten – Personenbezogene Daten, die die betroffene Person offensichtlich öffentlich gemacht hat – Personalisierte Werbung – Daten zur sexuellen Orientierung“
Einleitung
1.
Das vorliegende Vorabentscheidungsersuchen des Obersten Gerichtshofs (Österreich) ergeht im Rahmen eines Rechtsstreits zwischen Herrn Maximilian Schrems (im Folgenden: Kläger), einem Nutzer des sozialen Netzwerks „Facebook“, und der Meta Platforms Ireland Limited, vormals Facebook Ireland Limited (im Folgenden: Meta Platforms Ireland oder Beklagte), über die angeblich rechtswidrige Verarbeitung seiner personenbezogenen Daten durch diese Gesellschaft.
2.
Die im Rahmen der vorliegenden Rechtssache gestellten Vorlagefragen betreffen zum einen die Anwendung des Grundsatzes der „Datenminimierung“ nach Art. 5 Abs. 1 Buchst. c der Verordnung (EU) 2016/679 (
2
) und zum anderen die Auslegung des Begriffs „personenbezogene Daten, die die betroffene Person offensichtlich öffentlich gemacht hat“ in Art. 9 Abs. 2 Buchst. e dieser Verordnung in Verbindung mit deren Art. 5 Abs. 1 Buchst. b, der den Grundsatz der „Zweckbindung“ einführt. Im Wesentlichen möchte das vorlegende Gericht zum einen wissen, ob der Grundsatz der Datenminimierung es erlaubt, personenbezogene Daten ohne Einschränkung nach Zeit oder Art der Daten zu verarbeiten, und zum anderen, ob die Äußerung einer Person zu ihrer eigenen sexuellen Orientierung bei einer Podiumsdiskussion die Verarbeitung von anderen Daten zur sexuellen Orientierung dieser Person zum Zweck der personalisierten Werbung erlaubt.
Rechtlicher Rahmen
3.
In Art. 4 („Begriffsbestimmungen“) Nr. 11 DSGVO heißt es:
„Im Sinne dieser Verordnung bezeichnet der Ausdruck:
…
11.
‚Einwilligung‘ der betroffenen Person jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist.“
4.
Art. 5 („Grundsätze für die Verarbeitung personenbezogener Daten“) Abs. 1 und 2 DSGVO sieht vor:
„(1)   Personenbezogene Daten müssen
a)
auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden (‚Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz‘);
b)
für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; …
c)
dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein (‚Datenminimierung‘);
…
2.   Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können (‚Rechenschaftspflicht‘).“
5.
Art. 6 („Rechtmäßigkeit der Verarbeitung“) Abs. 1 und 3 DSGVO bestimmt:
„(1)   Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:
a)
Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;
b)
die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen;
…
f)
die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.
Unterabsatz 1 Buchstabe f gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung.
…
(3)   Die Rechtsgrundlage für die Verarbeitungen gemäß Absatz 1 Buchstaben c und e wird festgelegt durch
a)
Unionsrecht oder
b)
das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt.
…
… Das Unionsrecht oder das Recht der Mitgliedstaaten müssen ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen.“
6.
In Art. 7 („Bedingungen für die Einwilligung“) DSGVO heißt es:
„(1)   Beruht die Verarbeitung auf einer Einwilligung, muss der Verantwortliche nachweisen können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat.
…
(3)   Die betroffene Person hat das Recht, ihre Einwilligung jederzeit zu widerrufen. Durch den Widerruf der Einwilligung wird die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt. Die betroffene Person wird vor Abgabe der Einwilligung hiervon in Kenntnis gesetzt. Der Widerruf der Einwilligung muss so einfach wie die Erteilung der Einwilligung sein.
(4)   Bei der Beurteilung, ob die Einwilligung freiwillig erteilt wurde, muss dem Umstand in größtmöglichem Umfang Rechnung getragen werden, ob unter anderem die Erfüllung eines Vertrags, einschließlich der Erbringung einer Dienstleistung, von der Einwilligung zu einer Verarbeitung von personenbezogenen Daten abhängig ist, die für die Erfüllung des Vertrags nicht erforderlich sind.“
7.
In Art. 9 („Verarbeitung besonderer Kategorien personenbezogener Daten“) Abs. 1 und 2 DSGVO heißt es:
„(1)   Die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person ist untersagt.
(2)   Absatz 1 gilt nicht in folgenden Fällen:
a)
Die betroffene Person hat in die Verarbeitung der genannten personenbezogenen Daten für einen oder mehrere festgelegte Zwecke ausdrücklich eingewilligt, es sei denn, nach Unionsrecht oder dem Recht der Mitgliedstaaten kann das Verbot nach Absatz 1 durch die Einwilligung der betroffenen Person nicht aufgehoben werden,
b)
die Verarbeitung ist erforderlich, damit der Verantwortliche oder die betroffene Person die ihm bzw. ihr aus dem Arbeitsrecht und dem Recht der sozialen Sicherheit und des Sozialschutzes erwachsenden Rechte ausüben und seinen bzw. ihren diesbezüglichen Pflichten nachkommen kann, soweit dies nach Unionsrecht oder dem Recht der Mitgliedstaaten oder einer Kollektivvereinbarung nach dem Recht der Mitgliedstaaten, das geeignete Garantien für die Grundrechte und die Interessen der betroffenen Person vorsieht, zulässig ist,
…
e)
die Verarbeitung bezieht sich auf personenbezogene Daten, die die betroffene Person offensichtlich öffentlich gemacht hat,
…“
8.
Art. 13 („Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person“) Abs. 1 DSGVO sieht vor:
„Werden personenbezogene Daten bei der betroffenen Person erhoben, so teilt der Verantwortliche der betroffenen Person zum Zeitpunkt der Erhebung dieser Daten Folgendes mit:
…
c)
die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, sowie die Rechtsgrundlage für die Verarbeitung;
d)
wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe f beruht, die berechtigten Interessen, die von dem Verantwortlichen oder einem Dritten verfolgt werden;
…“
Ausgangsrechtsstreit, Vorlagefragen und Verfahren vor dem Gerichtshof
9.
Meta Platforms Ireland, eine Gesellschaft irischen Rechts, betreibt das geschlossene Kommunikationsnetz „Facebook“, das im Wesentlichen ein soziales Online-Netzwerk für das Teilen von Inhalten darstellt (
3
). Ihr Geschäftsmodell besteht hauptsächlich darin, ihren privaten Nutzern unentgeltliche Dienste eines sozialen Netzwerks anzubieten und Online-Werbung, einschließlich auf ihre Nutzer ausgerichteter Werbung, zu verkaufen (
4
). Diese Werbung beruht in erster Linie auf der automatisierten Erstellung relativ detaillierter Profile der Nutzer dieses sozialen Netzwerks (
5
).
10.
Im Laufe des Jahres 2018 – nach Inkrafttreten der DSGVO – legte Meta Platforms Ireland ihren Nutzern in der Europäischen Union neue Nutzungsbedingungen für Facebook vor, um deren Einwilligung einzuholen. Diese Einwilligung ist im Übrigen erforderlich, um sich registrieren oder auf von Facebook bereitgestellte Konten und Dienste zugreifen zu können (
6
). Diese neuen Nutzungsbedingungen ermöglichen es den Nutzern außerdem, einen Einblick und eine Kontrolle über die gespeicherten Daten zu erhalten (
7
).
11.
Der Kläger ist ein Facebook-Nutzer, der die von Facebook vorgelegten neuen Nutzungsbedingungen akzeptiert hat. Wie aus der Vorlageentscheidung hervorgeht, hat er seine Homosexualität öffentlich erwähnt; auf seinem Facebook-Profil habe er jedoch nie seine sexuelle Orientierung erwähnt und keine sensiblen Daten veröffentlicht (
8
). Ebenso wenig habe der Kläger der Beklagten gestattet, Informationen zu den Profil-Feldern betreffend seinen Beziehungsstatus, seinen Arbeitgeber, seinen Beruf oder seine Ausbildung für gezielte Werbung zu verwenden.
12.
Er habe jedoch eine Werbung für eine Politikerin erhalten, die an ihn auf der Grundlage einer Analyse gerichtet worden sei, dass er anderen „Kunden“ ähnele, die diese Politikerin mit „gefällt mir“ markiert hätten, und er habe regelmäßig Werbung, die auf homosexuelle Personen abgezielt habe, und Einladungen zu entsprechenden Veranstaltungen erhalten, obwohl er sich davor für diese Veranstaltungen nicht interessiert und nicht einmal die Orte, an denen sie stattgefunden hätten, gekannt habe. Diese Werbungen bzw. diese Einladungen stützten sich nicht unmittelbar auf die sexuelle Orientierung des Klägers oder seiner „Freunde“ auf dem sozialen Netzwerk, sondern auf die Analyse ihrer Interessen (
9
). Im Übrigen speichere Meta Platforms Ireland alle den Kläger betreffenden Daten, einschließlich derjenigen, die durch Dritte oder Plug-ins erhalten worden seien, um sie auf unbestimmte Zeit zu speichern.
13.
Unter diesen Umständen erhob der Kläger beim Landesgericht für Zivilsachen Wien (Österreich) Klage auf Erfüllung, Feststellung und Unterlassung bezüglich der angeblich rechtswidrigen Verarbeitung seiner personenbezogenen Daten durch Meta Platforms Ireland (
10
).
14.
In der Folge erwähnte der Kläger bei einer von der Vertretung der Europäischen Kommission in Wien (Österreich) am 12. Februar 2019 veranstalteten Podiumsdiskussion (
11
) seine sexuelle Orientierung in einem Beitrag, der darauf abzielte, die angeblich rechtswidrige Verarbeitung von Daten zu dieser sexuellen Orientierung durch Meta Platforms Ireland anzuprangern (
12
).
15.
Da seine Klage in erster Instanz mit Urteil vom 30. Juni 2020 und in der Berufungsinstanz vom Oberlandesgericht Wien (Österreich) mit Urteil vom 7. Dezember 2020 (
13
) abgewiesen worden ist, hat er beim Obersten Gerichtshof, dem vorlegenden Gericht, Revision eingelegt.
16.
Unter diesen Umständen hat der Oberste Gerichtshof beschlossen, das Verfahren auszusetzen und dem Gerichtshof vier Fragen zur Vorabentscheidung vorzulegen (
14
). Da die erste und die dritte Vorlagefrage im Anschluss an das Urteil vom 4. Juli 2023, Meta Platforms u. a. (Allgemeine Nutzungsbedingungen eines sozialen Netzwerks) (
15
), zurückgenommen wurden, hat die vorliegende Rechtssache die zweite und die vierte Frage zum Gegenstand, die wie folgt lauten:
2.
Ist Art. 5 Abs. 1 Buchst. c DSGVO (Datenminimierung) dahin auszulegen, dass alle personenbezogenen Daten, über die eine Plattform wie im Ausgangsverfahren verfügt (insbesondere durch den Betroffenen oder durch Dritte auf und außerhalb der Plattform), ohne Einschränkung nach Zeit oder Art der Daten für Zwecke der zielgerichteten Werbung aggregiert, analysiert und verarbeitet werden können?
4.
Ist Art. 5 Abs. 1 Buchst. b in Verbindung mit Art. 9 Abs. 2 Buchst. e DSGVO dahin auszulegen, dass eine Äußerung über die eigene sexuelle Orientierung für die Zwecke einer Podiumsdiskussion die Verarbeitung von anderen Daten zur sexuellen Orientierung für Zwecke der Aggregation und Analyse von Daten zum Zwecke der personalisierten Werbung erlaubt?
17.
Der Kläger, Meta Platforms Ireland, die österreichische, die französische, die italienische und die portugiesische Regierung sowie die Kommission haben schriftliche Erklärungen eingereicht. In der mündlichen Verhandlung vom 8. Februar 2024 haben der Kläger, Meta Platforms Ireland, die österreichische Regierung und die Kommission mündliche Ausführungen gemacht.
Würdigung
Zur zweiten Vorlagefrage
18.
Mit seiner zweiten Vorlagefrage möchte das vorlegende Gericht im Wesentlichen wissen, ob Art. 5 Abs. 1 Buchst. c DSGVO, in dem der Grundsatz der Datenminimierung verankert ist, dahin auszulegen ist, dass alle personenbezogenen Daten, über die ein Netzwerk wie Facebook insbesondere durch die betroffene Person oder durch Dritte auf und außerhalb dieser Plattform verfügt, ohne Einschränkung nach Zeit oder Art der Daten für Zwecke der zielgerichteten Werbung aggregiert, analysiert und verarbeitet werden können.
19.
Vorab ist darauf hinzuweisen, dass jede Verarbeitung personenbezogener Daten zum einen mit den in Art. 5 DSGVO aufgestellten Grundsätzen für die Verarbeitung der Daten im Einklang stehen und zum anderen eine der in Art. 6 DSGVO aufgeführten Voraussetzungen für die Rechtmäßigkeit der Verarbeitung erfüllen muss (
16
).
20.
Was insbesondere die Grundsätze für die Verarbeitung personenbezogener Daten betrifft, hat der Gerichtshof u. a. klargestellt, dass der Grundsatz der Datenminimierung von Art. 5 Abs. 1 Buchst. c DSGVO vorsieht, dass personenbezogene Daten dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein müssen, womit im Wesentlichen der Grundsatz der Verhältnismäßigkeit zum Ausdruck gebracht wird (
17
). Der Grundsatz der Datenminimierung soll somit Einschränkungen des Rechts auf Schutz personenbezogener Daten durch die fragliche Verarbeitung minimieren.
21.
Im vorliegenden Fall liegt es meines Erachtens auf der Hand, dass das etwaige Fehlen jeglicher Einschränkung, wie vom vorlegenden Gericht angenommen, definitionsgemäß der Anwendung des Grundsatzes der Datenminimierung zuwiderlaufen würde. Aus den dem Gerichtshof vorgelegten Akten geht jedoch nichts hervor, was eine solche Annahme – für deren Beurteilung jedenfalls das vorlegende Gericht zuständig ist – bestätigen oder ausschließen könnte. Ich werde dennoch versuchen, dem vorlegenden Gericht einige sachdienliche Hinweise zur Auslegung der untersuchten Bestimmung zu geben, die es diesem ermöglichen können, über die bei ihm anhängige Rechtssache zu entscheiden.
22.
Was zum einen die zeitliche Einschränkung der Verarbeitung personenbezogener Daten betrifft, bin ich der Ansicht, dass die Unionsgerichte in Ermangelung einer entsprechenden speziellen Bestimmung in der DSGVO keine verbindliche Frist für die Speicherung dieser Daten festlegen können. Im Übrigen hat der Gerichtshof entschieden, dass selbst eine ursprünglich zulässige Verarbeitung korrekter Daten im Laufe der Zeit u. a. mit Art. 5 Abs. 1 Buchst. c bis e DSGVO unvereinbar werden kann, wenn die Daten im Hinblick auf die Zwecke, für die sie erhoben oder verarbeitet wurden, nicht mehr erforderlich sind (
18
). Mithin es ist Sache des vorlegenden Gerichts, unter Berücksichtigung der Umstände des Einzelfalls und unter Anwendung des Grundsatzes der Verhältnismäßigkeit (
19
) zu beurteilen, inwieweit der Zeitraum der Speicherung personenbezogener Daten durch Meta Platforms Ireland im Hinblick auf das legitime Ziel der Verarbeitung dieser Daten für Zwecke der personalisierten Werbung gerechtfertigt ist.
23.
Was zum anderen die Einschränkung der Verarbeitung personenbezogener Daten nach der Art der Daten anbelangt, ist es ebenfalls Sache des vorlegenden Gerichts, unter den Umständen des vorliegenden Falles die personenbezogenen Daten festzustellen, bei denen davon ausgegangen werden kann, dass ihre Verarbeitung unter Beachtung des Grundsatzes der Verhältnismäßigkeit rechtmäßig ist.
24.
Im Übrigen zeigen meines Erachtens die Bezugnahmen im Wortlaut von Art. 5 Abs. 1 Buchst. c DSGVO auf sehr allgemeine Bedingungen wie „Angemessenheit“, „Erheblichkeit“ und „Notwendigkeit“, dass der Unionsgesetzgeber den zuständigen Behörden bei der Anwendung dieser Bestimmung einen weiten Beurteilungsspielraum einräumen wollte, da diese Bedingungen nur auf Einzelfallbasis unter Berücksichtigung der Umstände des jeweiligen Falles ausgelegt werden können.
25.
Dies vorausgeschickt, bin ich der Ansicht, dass, wie die Kommission in ihren schriftlichen Erklärungen ausführt, je nach der Schwere des Eingriffs in die Rechte der betroffenen Person durch die verschiedenen Verarbeitungsformen bestimmte Unterscheidungen getroffen werden können. Das vorlegende Gericht könnte daher, wenn es dies im vorliegenden Fall für angemessen hält, zum einen zwischen der Verwendung „statischer“ Daten der betroffenen Person (z. B. Alter (
20
) oder Geschlecht) und der Verwendung von „verhaltensorientierten“ Daten (z. B. Verfolgung des Surfverhaltens von Nutzern) unterscheiden, wobei die letztgenannte Verwendung in der Regel stärker in die Rechte der betroffenen Person eingreift. Was insbesondere „verhaltensorientierte“ Daten anbelangt, könnte anschließend unterschieden werden zwischen der Erhebung von Daten, die ein „aktives“ Verhalten (z. B. das Anklicken eines „Like-Button“) und der Erhebung von Daten, die ein „passives“ Verhalten (z. B. bloßer Besuch einer Website) betreffen, wobei die letztgenannte Datenerhebung normalerweise eingriffsintensiver für den Nutzer ist. Zum anderen könnte ein Unterschied gemacht werden zwischen der Verarbeitung personenbezogener Daten, die innerhalb der Facebook-Plattform und außerhalb der Facebook-Plattform, d. h. Daten, die von Websites, anderen Apps als Facebook oder von Geräten des Nutzers erhoben werden; Letztere ist eingriffsintensiver als Erstere (
21
).
26.
Im Rahmen dieser Analyse ist es meines Erachtens auch wichtig, die vernünftigen Erwartungen der betroffenen Personen zu berücksichtigen (
22
).
27.
Im Übrigen ist in einer Situation wie sie vor dem Inkrafttreten der DSGVO bestand, in der die Verarbeitung von außerhalb der Facebook-Plattform erhobenen Daten nicht auf der Einwilligung, sondern vielmehr auf der Erforderlichkeit der Verarbeitung zur Erfüllung des Vertrags gemäß Art. 6 Abs. 1 Buchst. b DSGVO beruhte (
23
), die enge Auslegung dieser Bestimmung durch den Gerichtshof zu berücksichtigen (
24
). Daher ist, wie die italienische Regierung in ihren schriftlichen Erklärungen hervorhebt, zu vermeiden, dass eine weite Auslegung des Grundsatzes der Datenminimierung nach Art. 5 dieser Verordnung es den für die Verarbeitung Verantwortlichen ermöglichen kann, die Kategorien personenbezogener Daten zu erweitern, die zur Erfüllung eines Vertrags für im Sinne von Art. 6 Abs. 1 Buchst. b DSGVO erforderlich gehalten werden.
28.
Nach alledem schlage ich vor, auf die zweite Vorlagefrage zu antworten, dass Art. 5 Abs. 1 Buchst. c DSGVO dahin auszulegen ist, dass er der Verarbeitung personenbezogener Daten für Zwecke der zielgerichteten Werbung ohne Einschränkung nach Zeit oder Art der Daten entgegensteht, und dass es Sache des vorlegenden Gerichts ist, unter Berücksichtigung der Umstände des Einzelfalls und unter Anwendung des Grundsatzes der Verhältnismäßigkeit zu beurteilen, inwieweit der Zeitraum der Speicherung der Daten und die Menge der verarbeiteten Daten im Hinblick auf das legitime Ziel der Verarbeitung dieser Daten für Zwecke der personalisierten Werbung gerechtfertigt sind.
Zur vierten Vorlagefrage
29.
Mit seiner vierten Vorlagefrage möchte das vorlegende Gericht im Wesentlichen wissen, ob Art. 5 Abs. 1 Buchst. b in Verbindung mit Art. 9 Abs. 2 Buchst. e DSGVO dahin auszulegen ist, dass der Umstand, dass sich eine Person im Rahmen einer Podiumsdiskussion zu ihrer sexuellen Orientierung geäußert hat, die Verarbeitung von anderen Daten zu ihrer sexuellen Orientierung durch Meta Platforms Ireland erlaubt, um ihr personalisierte Werbung anzubieten. Ganz allgemein fragt das vorlegende Gericht nach der Tragweite der letztgenannten Bestimmung und wirft insbesondere die Frage auf, auf welche Weise die Öffentlichkeit die sensiblen Daten dieser Person erhalten haben muss, damit Art. 9 Abs. 2 DSGVO anzuwenden ist.
Zur Erheblichkeit der Vorlagefrage
30.
Meta Platforms Ireland hat in ihren schriftlichen und mündlichen Erklärungen ausgeführt, ohne dass dies von den anderen Parteien in der mündlichen Verhandlung bestritten worden wäre, dass sie sich im Verfahren vor den nationalen Gerichten zu keinem Zeitpunkt auf die in Art. 9 Abs. 2 Buchst. e DSGVO vorgesehene Ausnahmeregelung als Rechtsgrundlage für die in Rede stehende Datenverarbeitung berufen habe (
25
).
31.
In einem solchen Fall wäre die vierte Vorlagefrage jedoch eindeutig unerheblich, da diese Ausnahmeregelung im vorliegenden Fall nicht anwendbar wäre (
26
).
32.
Abgesehen davon ist darauf hinzuweisen, dass nach ständiger Rechtsprechung des Gerichtshofs im Rahmen des Verfahrens nach Art. 267 AEUV, das auf einer klaren Aufgabentrennung zwischen den nationalen Gerichten und dem Gerichtshof beruht, eine Vermutung für die Entscheidungserheblichkeit der Vorlagefragen eines nationalen Gerichts spricht, die es zur Auslegung des Unionsrechts in dem rechtlichen und sachlichen Rahmen stellt, den es in eigener Verantwortung festlegt (
27
) und dessen Richtigkeit der Gerichtshof nicht zu prüfen hat (
28
).
33.
Daher werde ich in den folgenden Nummern eine Antwort auf die vierte Vorlagefrage des vorlegenden Gerichts vorschlagen, unbeschadet der Entscheidung des Gerichtshofs zur Erheblichkeit dieser Frage.
Beantwortung der Vorlagefrage
34.
Vorab weise ich darauf hin, dass nach Art. 5 Abs. 1 Buchst. b DSGVO, in dem der Grundsatz der Zweckbindung verankert ist, personenbezogene Daten für festgelegte, eindeutige und legitime Zwecke erhoben werden müssen und nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden dürfen. Nach Art. 9 Abs. 1 DSGVO ist die Verarbeitung personenbezogener Daten u. a. zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person untersagt, es sei denn, eine solche Verarbeitung fällt in den Anwendungsbereich einer der in Art. 9 Abs. 2 dieser Verordnung genannten Ausnahmen (
29
).
35.
Insbesondere gilt nach Art. 9 Abs. 2 Buchst. e DSGVO das Verbot der Verarbeitung sensibler personenbezogener Daten nicht, wenn sich die Verarbeitung auf personenbezogene Daten bezieht, die die betroffene Person offensichtlich öffentlich gemacht hat. Wie ich in meinen Schlussanträgen in der Rechtssache Meta Platforms u. a. (Allgemeine Nutzungsbedingungen eines sozialen Netzwerks) (
30
) ausgeführt habe, erfordern das im Wortlaut dieser Bestimmung verwendete Adverb „offensichtlich“ und die Tatsache, dass diese Bestimmung eine Ausnahme vom Grundsatz des allgemeinen Verbots der Verarbeitung sensibler personenbezogener Daten darstellt, aufgrund der erheblichen Risiken für die Grundrechte und Grundfreiheiten der betroffenen Personen eine besonders strikte Anwendung dieser Ausnahme (
31
). Die Anwendung dieser Ausnahme setzt meines Erachtens voraus, dass sich der Nutzer voll bewusst sein muss, dass er durch eine ausdrückliche Handlung personenbezogene Daten für jedermann öffentlich macht (
32
).
36.
Im Ausgangsverfahren wurden die sensiblen Daten zur sexuellen Orientierung des Klägers außerhalb der Facebook-Plattform („off-site“) und jeder anderen IT‑Plattform oder IT‑App im Rahmen einer von der Kommission organisierten Podiumsdiskussion (
33
) und mit dem Ziel offengelegt, die angeblich rechtswidrige Verarbeitung von Daten zu dieser sexuellen Orientierung durch Meta Platforms Ireland anzuprangern (
34
).
37.
Insoweit hatte der Gerichtshof in seinem Urteil Meta Platforms u. a. (Allgemeine Nutzungsbedingungen eines sozialen Netzwerks) bereits Gelegenheit, sich zur Verwendung von „Off-Site“-Daten im Kontext anderer Plattformen zu äußern (
35
). In diesem Rahmen hat der Gerichtshof entschieden, dass Art. 9 Abs. 2 Buchst. e DSGVO dahin auszulegen ist, dass ein Nutzer eines sozialen Online-Netzwerks, wenn er Websites oder Apps in Verbindung zu einer oder mehreren der in Art. 9 Abs. 1 DSGVO genannten Kategorien von Daten aufruft, die diesen Aufruf betreffenden Daten, die der Betreiber dieses sozialen Online-Netzwerks über Cookies oder ähnliche Speichertechnologien erhebt, nicht im Sinne der erstgenannten Bestimmung offensichtlich öffentlich macht, und dass ein solcher Nutzer, wenn er Daten auf solchen Websites oder in solchen Apps eingibt oder darin eingebundene Schaltflächen betätigt – wie etwa „Gefällt mir“ oder „Teilen“ oder Schaltflächen, die es dem Nutzer ermöglichen, sich auf diesen Websites oder in diesen Apps unter Verwendung der Anmeldedaten, die mit seinem Konto als Nutzer des sozialen Netzwerks, seiner Telefonnummer oder seiner E‑Mail-Adresse verknüpft sind, zu identifizieren –, die eingegebenen oder sich aus der Betätigung dieser Schaltflächen ergebenden Daten nicht im Sinne von Art. 9 Abs. 2 Buchst. e DSGVO offensichtlich öffentlich macht, es sei denn, er hat zuvor, gegebenenfalls durch in voller Kenntnis der Sachlage vorgenommene individuelle Einstellungen, seine Entscheidung ausdrücklich zum Ausdruck gebracht, die ihn betreffenden Daten einer unbegrenzten Zahl von Personen öffentlich zugänglich zu machen (
36
).
38.
Dies vorausgeschickt, hat es das vorlegende Gericht für erforderlich gehalten, seine vierte Vorlagefrage aufrechtzuerhalten, da die vom Gerichtshof in der letztgenannten Rechtssache geprüften Handlungen den Aufruf von Websites oder Apps oder die Betätigung von Schaltflächen betroffen hätten, während es im vorliegenden Fall um eine bei einer Podiumsdiskussion gemachte Äußerung der betroffenen Person zu ihrer sexuellen Orientierung gehe. Insoweit ist das vorlegende Gericht der Auffassung, dass aus einer solchen Äußerung keine Einwilligung im Sinne dieses Art. 9 Abs. 2 Buchst. e DSGVO abgeleitet werden könne.
39.
Insoweit erscheint es mir angebracht, zwischen der Vorfrage, ob die Äußerung des Klägers zu seiner sexuellen Orientierung eine Handlung darstellt, mit der er diese Orientierung im Sinne von Art. 9 Abs. 2 Buchst. e DSGVO offensichtlich öffentlich macht, und – bei deren Bejahung – der Frage zu unterscheiden, ob die Tatsache, dass der Kläger seine sexuelle Orientierung offensichtlich öffentlich gemacht hat, die Verarbeitung von Daten zu dieser sexuellen Orientierung für Zwecke der personalisierten Werbung im Sinne u. a. der Art. 5 und 6 dieser Verordnung erlaubt.
40.
Was erstens die Frage betrifft, wie die Äußerung des Klägers im Sinne von Art. 9 Abs. 2 Buchst. a DSGVO zu qualifizieren ist, stelle ich mangels sachdienlicher Hinweise, die sich aus der Entstehungsgeschichte dieser Bestimmung und ihrer Anwendung in der Rechtsprechung (
37
) hätten ergeben können, fest, dass die in Art. 9 Abs. 2 Buchst. e dieser Verordnung verankerte Ausnahme im Wesentlichen erfordert, dass zwei Bedingungen kumulativ erfüllt sind, nämlich zum einen die„objektive“ Bedingung, dass die betreffenden personenbezogenen Daten „offensichtlich öffentlich gemacht“ werden müssen, und zum anderen die „subjektive“ Bedingung, dass diese Daten durch die „betroffene Person“ offensichtlich öffentlich gemacht werden müssen.
41.
Im Ausgangsverfahren sind diese beiden Bedingungen – vorbehaltlich der dem vorlegenden Gericht obliegenden Prüfungen – meines Erachtens erfüllt. Denn ich bin der Auffassung, dass die Äußerung des Klägers, obwohl sie beiläufig im Rahmen eines umfassenderen und kritischen Beitrags über die Verarbeitung sensibler Daten durch Meta Platforms Ireland offengelegt wurde, eine Handlung darstellt, mit der er in voller Kenntnis der Sachlage seine sexuelle Orientierung offensichtlich öffentlich macht.
42.
Was die erste Bedingung angeht, halte ich es für sehr wahrscheinlich, dass die Äußerung des Klägers angesichts des offenen Charakters der live und dann als Streaming übertragenen Podiumsdiskussion (
38
) sowie des Interesses der Öffentlichkeit an dem dort behandelten Thema ein unbestimmtes Publikum hat erreichen können, das weit über das im Saal anwesende Publikum hinausging (
39
).
43.
Was die zweite Bedingung betrifft, ist es meines Erachtens sehr wohl möglich, davon auszugehen, dass der Kläger, indem er unter den Umständen des vorliegenden Falles (insbesondere im Rahmen einer offenen und der Presse zugänglichen Veranstaltung) seine sexuelle Orientierung offen erwähnte, wenn schon nicht die Absicht, so doch zumindest das volle Bewusstsein hatte, diese Orientierung im Sinne der in Nr. 35 der vorliegenden Schlussanträge angeführten Rechtsprechung „offensichtlich öffentlich“ zu machen (
40
).
44.
Im Übrigen besteht der Zweck des durch Art. 9 Abs. 1 DSGVO gewährten Schutzes meines Erachtens darin, zu verhindern, dass die betroffene Person nachteiligen Folgen (wie insbesondere öffentlicher Stigmatisierung oder diskriminierenden Handlungen) ausgesetzt wird, die sich u. a. aus einer negativen Wahrnehmung der dort aufgeführten Situationen aus sozialer oder wirtschaftlicher Sicht ergeben (
41
). Diese Bestimmung sieht daher einen besonderen Schutz dieser personenbezogenen Daten durch ein grundsätzliches, nicht absolutes Verbot vor, dessen Anwendung auf den konkreten Fall der Beurteilung durch die betroffene Person unterliegt, die am besten in der Lage ist, die nachteiligen Folgen zu beurteilen, die sich aus der Offenlegung der fraglichen Daten ergeben könnten, und gegebenenfalls in voller Kenntnis der Sachlage auf diesen Schutz verzichten oder sich nicht darauf berufen kann, indem sie ihre Situation, insbesondere ihre sexuelle Orientierung, im Sinne von Art. 9 Abs. 2 Buchst. e DSGVO offensichtlich öffentlich macht.
45.
Was zweitens die Prüfung der Folgen auf der Ebene der von Meta Platforms Ireland vorgenommenen Verarbeitung dieser sensiblen Daten im Sinne der Art. 5 und 6 DSGVO betrifft, die sich daraus ergeben, dass die eigene sexuelle Orientierung offensichtlich öffentlich gemacht wird, bin ich der Ansicht, dass der Umstand, dass Daten im Sinne von Art. 9 Abs. 2 Buchst. e DSGVO offensichtlich öffentlich gemacht wurden, für sich genommen nicht erlaubt, eine Verarbeitung dieser Daten im Sinne dieser Verordnung vorzunehmen.
46.
Die Anwendung der letztgenannten Bestimmung hat nämlich lediglich zur Folge, dass der „besondere Schutz“, der bestimmten besonders sensiblen personenbezogenen Daten gewährt wird, aufgehoben wird. Wird dieser Schutz durch die betroffene Person selbst (die diese Daten offensichtlich öffentlich gemacht hat) bewusst aufgehoben, so werden diese ursprünglich „geschützten“ personenbezogenen Daten zu „gewöhnlichen“ (d. h. nicht sensiblen) Daten, die wie alle anderen personenbezogenen Daten nur unter den u. a. in den Art. 6 und 7 DSGVO vorgesehenen Voraussetzungen und unter Beachtung der u. a. in Art. 5 dieser Verordnung verankerten Grundsätze (
42
) – einschließlich des in Art. 5 Abs. 1 Buchst. b DSGVO verankerten Grundsatzes der Zweckbindung, der vorschreibt, dass personenbezogene Daten für festgelegte, eindeutige und legitime Zwecke erhoben werden müssen, wofür gemäß Abs. 2 dieser Bestimmung der für die Verarbeitung Verantwortliche den Nachweis zu erbringen hat – Gegenstand einer rechtmäßigen Verarbeitung sein können (
43
).
47.
Daher kann der Umstand, dass sich der Kläger im Rahmen einer Podiumsdiskussion zu seiner sexuellen Orientierung geäußert hat, obwohl dies zu dem Schluss führen kann, dass diese Person diese Daten unter den Umständen des vorliegenden Falles im Sinne von Art. 9 Abs. 2 Buchst. e DSGVO „offensichtlich öffentlich gemacht“ hat, für sich genommen nicht die Verarbeitung personenbezogener Daten rechtfertigen, aus denen die sexuelle Orientierung dieser Person hervorgeht (
44
).
48.
In Anbetracht des Vorstehenden schlage ich vor, auf die vierte Vorlagefrage zu antworten, dass Art. 5 Abs. 1 Buchst. b in Verbindung mit Art. 9 Abs. 2 Buchst. e DSGVO dahin auszulegen ist, dass eine Äußerung über die eigene sexuelle Orientierung für die Zwecke einer öffentlichen Podiumsdiskussion zwar eine Handlung darstellen kann, mit der die betroffene Person dieses Datum im Sinne von Art. 9 Abs. 2 Buchst. e dieser Verordnung „offensichtlich öffentlich gemacht“ hat, jedoch für sich genommen nicht die Verarbeitung dieser Daten oder anderer Daten zur sexuellen Orientierung dieser Person für Zwecke der Aggregation und Analyse von Daten zum Zweck der personalisierten Werbung erlaubt.
Ergebnis
49.
Nach alledem schlage ich dem Gerichtshof vor, die zweite und die vierte Vorlagefrage des Obersten Gerichtshofs (Österreich) wie folgt zu beantworten:
1.
Art. 5 Abs. 1 Buchst. c der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung)
ist dahin auszulegen,
–
dass er der Verarbeitung personenbezogener Daten für Zwecke der zielgerichteten Werbung ohne Einschränkung nach Zeit oder Art der Daten entgegensteht und
–
dass es Sache des vorlegenden Gerichts ist, unter Berücksichtigung der Umstände des Einzelfalls und unter Anwendung des Grundsatzes der Verhältnismäßigkeit zu beurteilen, inwieweit der Zeitraum der Speicherung der Daten und die Menge der verarbeiteten Daten im Hinblick auf das legitime Ziel der Verarbeitung dieser Daten für Zwecke der personalisierten Werbung gerechtfertigt sind.
2.
Art. 5 Abs. 1 Buchst. b in Verbindung mit Art. 9 Abs. 2 Buchst. e der Verordnung 2016/679
ist dahin auszulegen,
–
dass eine Äußerung über die eigene sexuelle Orientierung für die Zwecke einer öffentlichen Podiumsdiskussion zwar eine Handlung darstellen kann, mit der die betroffene Person dieses Datum im Sinne von Art. 9 Abs. 2 Buchst. e dieser Verordnung „offensichtlich öffentlich gemacht“ hat, jedoch für sich genommen nicht die Verarbeitung dieser Daten oder anderer Daten zur sexuellen Orientierung dieser Person für Zwecke der Aggregation und Analyse von Daten zum Zweck der personalisierten Werbung erlaubt.
(
1
)	Originalsprache: Französisch.
(
2
)	Verordnung des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. 2016, L 119, S. 1, im Folgenden: DSGVO).
(
3
)	Dieses soziale Netzwerk ermöglicht es, Inhalte auf personalisierte Weise nach den zuvor vom Nutzer gewählten Parametern herunterzuladen und zu teilen sowie direkt mit anderen Nutzern zu kommunizieren oder Daten mit ihnen auszutauschen.
(
4
)	Insbesondere soll diese Werbung dem Nutzer die Waren und Dienstleistungen präsentieren, die ihn u. a. aufgrund seines persönlichen Konsumverhaltens, seiner Interessen, seiner Kaufkraft und seiner persönlichen Situation (Ort, Alter, Geschlecht usw.) interessieren könnten. Gleichzeitig ermöglichen es die „Facebook business tools“ den Werbetreibenden, zielgerichtete Werbeanzeigen zu erstellen und die Effektivität ihrer Werbung anhand von auf Algorithmen gestützten Analysesystemen zu überprüfen. Diese Algorithmen suchen Korrelationen und Modelle, um daraus die entsprechenden Konsequenzen zu ziehen.
(
5
)	Zu diesem Zweck verwendet die Beklagte Technologien wie „Cookies“, die die Verwendung von „Social plug-ins“ (soziale Plug-ins wie etwa der „Like-Button“) oder „Pixels“ ermöglichen, bei denen es sich um EDV-Tools handelt, die auf der Facebook-Website sowie auf Websites und Apps Dritter installiert sind. Diese Tools ermöglichen es im Wesentlichen, bestimmte Daten eines Nutzers, der solche – diese Tools enthaltenden – Websites besucht oder solche – diese Tools enthaltenden – Apps nutzt, zu erheben und zu aggregieren und so ein Profil des Nutzers zu erzeugen, anhand dessen ihm personalisierte Werbung angeboten werden kann.
(
6
)	Meta Platforms Ireland hat in ihren schriftlichen und mündlichen Erklärungen ausgeführt, dass in der Zeit vor Inkrafttreten der DSGVO zum einen die Verarbeitung personenbezogener Daten zum Zweck der personalisierten Werbung, die auf ihrer Plattform erhoben worden seien, nicht auf der Einwilligung des Antragstellers beruht habe, sondern hauptsächlich auf der Rechtfertigung, dass die Verarbeitung dieser Daten für die Erfüllung des Vertrags erforderlich gewesen sei, und zum anderen, dass die Verarbeitung personenbezogener Daten, die auf Websites oder Apps außerhalb ihres Netzwerks erhoben worden seien, auf der Einwilligung des Nutzers beruht habe, so dass dieser die letztgenannten Daten von der Verarbeitung habe ausnehmen können, ohne jedoch auf die Dienste von Facebook zu verzichten. Im vorliegenden Fall habe diese Gesellschaft keine außerhalb ihrer Plattform erhobenen personenbezogenen Daten des Klägers verarbeitet, weil dieser bei seiner Registrierung im sozialen Netzwerk Facebook im Jahr 2008 keine diesbezügliche Einwilligung erteilt habe. Ab dem Inkrafttreten der DSGVO hat Facebook hingegen die Einwilligung zur Verarbeitung personenbezogener Daten zum Zweck der personalisierten Werbung, die entweder auf ihrem Netz oder auf externen Websites oder Apps erhoben worden sind, eingeholt und dem Nutzer, wenn keine solche Einwilligung erteilt wurde, ermöglicht, die Verarbeitung aller seiner Daten zum Zweck der personalisierten Werbung gegen Zahlung einer Gebühr auszuschließen. Die Rechtmäßigkeit der neuen Nutzungsbedingungen im Hinblick auf die DSGVO wird derzeit offenbar von den Datenschutzbehörden einiger Mitgliedstaaten geprüft.
(
7
)	Wie sich aus der Vorlageentscheidung ergibt, gewährt Meta Platforms Ireland nicht Zugang zu allen verarbeiteten Daten, sondern nur zu denjenigen, die nach ihrer Einschätzung für die Nutzer interessant und relevant sind. Darüber hinaus ermöglicht dieses Unternehmen die Entfernung bestimmter Inhalte (wie Nachrichten, Fotos oder Veröffentlichungen) aus einem Facebook-Konto.
(
8
)	Außerdem konnten nur seine „Freunde“, deren Liste nicht öffentlich gemacht wurde, die Beiträge auf seiner Timeline oder seine künftigen Beiträge sehen.
(
9
)	Der Kläger habe eine Analyse zu den Rückschlüssen, die aus seiner Freundesliste gezogen werden können, in Auftrag gegeben; aus dieser habe sich ergeben, dass er seinen Zivildienst beim Roten Kreuz in Salzburg (Österreich) absolviert habe und dass er homosexuell sei. Auf der Liste der Sites außer Facebook, für die er sich interessiere, befänden sich u. a. Dating‑Apps oder ‑Websites für Homosexuelle sowie eine Website einer österreichischen politischen Partei. Zu den gespeicherten Daten des Antragstellers gehöre u. a. eine nicht existierende und eine weitere E‑Mail‑Adresse, die auf seinem Facebook-Profil nicht angegeben sei, die er aber verwendet habe, um Anfragen an die Beklagte zu richten.
(
10
)	Im Wesentlichen beantragte der Kläger beim erstinstanzlichen Gericht erstens, der Beklagten aufzugeben, einen schriftlichen Vertrag über die Nutzung seiner personenbezogenen Daten auf Facebook abzuschließen, oder, hilfsweise, festzustellen, dass kein solcher Vertrag bestehe und er keine Zustimmung zu den Nutzungsbedingungen erteilt habe, zweitens, der Beklagten aufzugeben, die Verarbeitung seiner personenbezogenen Daten zum Zweck der personalisierten Werbung oder der Aggregation und Analyse von Daten zu Werbezwecken zu unterlassen, drittens, festzustellen, dass keine wirksame Einwilligung zur Verarbeitung für die in der alten Fassung der Datenverarbeitungsrichtlinien beschriebenen Zwecke in Bezug auf seine personenbezogenen Daten, die die Beklagte von Dritten erhalten habe, vorliege, viertens, der Beklagten aufzugeben, die Verwendung oder die Verarbeitung seiner Daten zu dem Besuch und der Nutzung von Drittseiten ohne wirksame Einwilligung zur Verarbeitung zu unterlassen. Der Antragsteller machte im Wesentlichen geltend, dass die Annahme der Nutzungsbedingungen zusammen mit den Datenverwendungsrichtlinien keine dem Verantwortlichen wirksam erteilte Einwilligung zur Verarbeitung von personenbezogenen Daten darstelle. Auch stellte er fest, dass Meta Platforms Ireland ihn betreffende sensible Daten verarbeite, wie z. B. Daten zu seinen politischen Überzeugungen und seiner sexuellen Orientierung, obwohl diese Daten nicht in seinem Facebook-Profil aufgeführt seien.
(
11
)	Wie sich aus den schriftlichen und mündlichen Erklärungen der Parteien ergibt, war diese Podiumsdiskussion der Öffentlichkeit zugänglich und wurde live übertragen, wobei die Öffentlichkeit über die Plattform Eventbrite im Rahmen der verfügbaren Plätze kostenlos ein Ticket erhalten konnte (189 Personen meldeten sich schließlich an). Darüber hinaus soll eine Aufzeichnung der Podiumsdiskussion später als Podcast sowie auf dem YouTube-Kanal der Kommission veröffentlicht worden sein.
(
12
)	Wie aus der Vorlageentscheidung und den vom Kläger eingereichten Schriftsätzen hervorgeht, hat er sich wie folgt geäußert: „Ich gebe Ihnen jetzt ein ganz banales Beispiel: Anhand von meiner Freundesliste können Sie meine sexuelle Orientierung hochrechnen. Ich habe auf Facebook nie angegeben, dass ich schwul bin. Das ist bei mir, seitdem ich 14 bin, geoutet und stressfrei und was weiß ich. Aber das ist zum Beispiel etwas, was ich öffentlich nicht permanent rundherum erzähle, weil ich ma denk, ja, ich red lieber über den Datenschutz, sonst bist dann wieder in der Kategorie drinnen. Und das lenkt ab vom Datenschutz.“
(
13
)	Diese beiden nationalen Gerichte vertraten im Wesentlichen die Auffassung, die Verarbeitung personenbezogener Daten durch Meta Platforms Ireland sei für die Erfüllung des Vertrags im Sinne von Art. 6 Abs. 1 Buchst. b DSGVO erforderlich gewesen.
(
14
)	Ich weise darauf hin, dass das vorlegende Gericht im Ausgangsverfahren bereits das Vorabentscheidungsersuchen, das Gegenstand des Urteils vom 25. Januar 2018, Schrems (C‑498/16, EU:C:2018:37), war, an den Gerichtshof gerichtet hat.
(
15
)	C‑252/21, im Folgenden: Urteil Meta Platforms u. a. (Allgemeine Nutzungsbedingungen eines sozialen Netzwerks), EU:C:2023:537. Das vorliegende Vorabentscheidungsverfahren ist bis zum Erlass dieses Urteils ausgesetzt worden. Auf Frage des Gerichtshofs hat das vorlegende Gericht geantwortet, dass dieses Urteil seine erste und seine dritte Vorlagefrage beantworte und dass es sein Ersuchen in Bezug auf die zweite und die vierte Vorlagefrage aufrechterhalte.
(
16
)	Vgl. Urteil vom 22. Juni 2021, Latvijas Republikas Saeima (Strafpunkte) (C‑439/19, EU:C:2021:504, Rn. 96 und die dort angeführte Rechtsprechung).
(
17
)	Vgl. in diesem Sinne Urteil vom 22. Juni 2021, Latvijas Republikas Saeima [Strafpunkte] (C‑439/19, EU:C:2021:504, Rn. 98 und die dort angeführte Rechtsprechung).
(
18
)	Das ist insbesondere der Fall, wenn sie diesen Zwecken in Anbetracht der verstrichenen Zeit nicht entsprechen, dafür nicht oder nicht mehr erheblich sind oder darüber hinausgehen (vgl. Urteil vom 24. September 2019, GC u. a. [Auslistung sensibler Daten], C‑136/17, EU:C:2019:773, Rn. 74 und die dort angeführte Rechtsprechung).
(
19
)	Siehe die in Fn. 17 der vorliegenden Schlussanträge angeführte Rechtsprechung.
(
20
)	Unbeschadet dessen, dass Kinder unter 16 Jahren gemäß Art. 8 DSGVO nicht selbst ihre Einwilligung nach Art. 6 Abs. 1 Buchst. a DSGVO in Bezug auf das Angebot von Diensten der Informationsgesellschaft erteilen können.
(
21
)	Insoweit weise ich darauf hin, dass der Gerichtshof im Zusammenhang mit dem Begriff der „Einwilligung“ im Sinne von Art. 6 Abs. 1 Unterabs. 1 Buchst. a und Art. 9 Abs. 2 Buchst. a DSGVO u. a. festgestellt hat, dass ein Nutzer vernünftigerweise nicht damit rechnen kann, dass andere Daten als die, die sein Verhalten innerhalb des sozialen Netzwerks (im vorliegenden Fall Facebook) betreffen, von dessen Betreiber verarbeitet werden, und dass eine Einwilligung gesondert für die Verarbeitung der letztgenannten Daten einerseits und die anderen Daten andererseits erteilt werden kann (Urteil Meta Platforms u. a. [Allgemeine Nutzungsbedingungen eines sozialen Netzwerks], Rn. 151). Ebenso habe ich in meinen Schlussanträgen in derselben Rechtssache Zweifel daran geäußert, dass die Erhebung und Verwendung personenbezogener Daten außerhalb des sozialen Netzwerks Facebook für die Erbringung der im Rahmen dieses Netzwerks angebotenen Dienstleistungen erforderlich und somit durch die ursprünglich für den Zugang zu diesem Netzwerk (d. h. für die Erstellung eines Facebook-Profils) erteilte Einwilligung wirksam abgedeckt sein kann (Schlussanträge in der Rechtssache Meta Platforms u. a. [Allgemeine Nutzungsbedingungen eines sozialen Netzwerks], C‑252/21, EU:C:2022:704, Nr. 56, Fn. 81).
(
22
)	Was beispielsweise die berechtigten Interessen des Verantwortlichen als Rechtsgrundlage für die Verarbeitung betrifft, heißt es im 47. Erwägungsgrund der DSGVO, dass das Bestehen eines berechtigten Interesses besonders sorgfältig abgewogen werden sollte, wobei auch zu prüfen ist, ob eine betroffene Person zum Zeitpunkt der Erhebung der personenbezogenen Daten und angesichts der Umstände, unter denen sie erfolgt, vernünftigerweise absehen kann, dass möglicherweise eine Verarbeitung für diesen Zweck erfolgen wird.
(
23
)	Siehe Fn. 6 der vorliegenden Schlussanträge.
(
24
)	Der Gerichtshof hat im Wesentlichen nämlich entschieden, dass unabhängig davon, ob die in dieser Bestimmung vorgesehene Verarbeitung personenbezogener Daten im Vertrag erwähnt wird, für die Anwendung des in dieser Bestimmung genannten Rechtfertigungsgrundes entscheidend ist, dass die in Rede stehende Verarbeitung durch den Verantwortlichen für die ordnungsgemäße Erfüllung des zwischen ihm und der betroffenen Person geschlossenen Vertrags wesentlich ist und dass daher keine praktikablen und weniger einschneidenden Alternativen bestehen (vgl. in diesem Sinne Urteil Meta Platforms u. a. [Allgemeine Nutzungsbedingungen eines sozialen Netzwerks], Rn. 99).
(
25
)	Siehe Fn. 6 der vorliegenden Schlussanträge. Wie sich aus der mündlichen Verhandlung ergibt, hat Meta Platforms Ireland im vorliegenden Fall offenbar auf die Podiumsdiskussion Bezug genommen, um das Vorbringen des Klägers zu dem angeblichen Schaden, der sich aus der angeblichen psychischen Notlage ergeben soll, in der er sich aufgrund der personalisierten Werbung befunden habe, zu widerlegen, und zwar zum Nachweis dafür, dass er keine Schwierigkeiten gehabt habe, seine Homosexualität öffentlich bekannt zu geben. Das vorlegende Gericht hätte somit die Frage nach der Auslegung von Art. 9 Abs. 2 DSGVO nicht im Hinblick auf die Anwendung der in dieser Bestimmung vorgesehenen Ausnahme gestellt, sondern in dem ganz anderen Kontext, den vom Kläger geltend gemachten Schaden im Licht der Verteidigung von Meta Platforms Ireland zu prüfen.
(
26
)	Nach Art. 5 Abs. 2 DSGVO hat der für die Verarbeitung Verantwortliche nämlich nachzuweisen, dass die personenbezogenen Daten in Einklang mit dieser Verordnung verarbeitet werden.
(
27
)	Vgl. entsprechend Urteil vom 4. Mai 2023, Glavna direktsia Pozharna bezopasnost i zashtita na naselenieto (Nachtarbeit) (C‑529/21 bis C‑536/21 und C‑732/21 bis C‑738/21, EU:C:2023:374, Rn. 57).
(
28
)	Vgl. in diesem Sinne Urteil vom 13. Juli 2023, Ferrovienord (C‑363/21 und C‑364/21, EU:C:2023:563, Rn. 52 bis 55 sowie die dort angeführte Rechtsprechung).
(
29
)	Wie es im 51. Erwägungsgrund dieser Verordnung heißt, verdienen personenbezogene Daten, die ihrem Wesen nach hinsichtlich der Grundrechte und Grundfreiheiten besonders sensibel sind, einen besonderen Schutz, da im Zusammenhang mit ihrer Verarbeitung erhebliche Risiken für die Grundrechte und Grundfreiheiten auftreten können.
(
30
)	C‑252/21, EU:C:2022:704, Nr. 42.
(
31
)	Vgl. in diesem Sinne auch Urteil Meta Platforms u. a. (Allgemeine Nutzungsbedingungen eines sozialen Netzwerks) (Rn. 76 und die dort angeführte Rechtsprechung).
(
32
)	Insoweit weise ich darauf hin, dass die Verwendung des Verbs „machen“ in dem Begriff „offensichtlich öffentlich gemacht“ ein aktives und bewusstes Verhalten der betroffenen Person voraussetzt. Der Europäische Datenschutzausschuss (EDSA) äußert sich dazu wie folg: „Das Wort_offensichtlich‘ beinhaltet, dass eine hohe Schwelle für die Inanspruchnahme dieser Ausnahme gelten muss. Der EDSA stellt fest, dass das Vorhandensein eines einzigen Elements nicht immer ausreicht, um festzustellen, dass die Daten von der betroffenen Person_offensichtlich‘ öffentlich gemacht wurden. In der Praxis muss möglicherweise eine Kombination der folgenden oder anderer Elemente von den für die Verarbeitung Verantwortlichen für den Nachweis berücksichtigt werden, dass die betroffene Person ihre Absicht, die Daten öffentlich zu machen, eindeutig bekundet hat; zudem ist eine Einzelfallprüfung erforderlich“ (EDSA, Leitlinien 8/2020, Abs. 127). Als Beispiel nennt der EDSA Elemente wie die Standardeinstellungen der Social-Media-Plattform, die Art der Social-Media-Plattform, die Zugänglichkeit der Seite, auf der die sensiblen Daten veröffentlicht werden, die Sichtbarkeit der Informationen, durch die die betroffene Person über den öffentlichen Charakter der von ihr veröffentlichten Informationen informiert wird, den Umstand, dass die betroffene Person die sensiblen Daten selbst veröffentlicht hat oder dass die Daten stattdessen von einem Dritten veröffentlicht wurden oder ob sie abgeleitet wurden. Vgl. auch Georgieva. L., und Kuner, C., „Article 9. Processing of special categories of personal data“, The EU General Data Protection Regulation (GDPR), Oxford 2020, S. 378, wo es heißt: „In this context, ‚making public‘ should be construed to include publishing the data in the mass media, putting them on online social network platforms or similar actions. However, the data must have been ‚manifestly‘ made public, which requires an affirmative act by the data subject, and that he or she realised that this would be the result.“ („In diesem Zusammenhang sollte der Begriff ‚Veröffentlichung‘ so ausgelegt werden, dass er die Veröffentlichung der Daten in den Massenmedien, die Einstellung in Internet-Plattformen sozialer Netzwerke oder ähnliche Maßnahmen umfasst. Die Daten müssen jedoch ‚offensichtlich‘ öffentlich gemacht worden sein, was eine bestätigende Handlung der betroffenen Person voraussetzt und dass diese Person gewusst hat, dass dies das Ergebnis sein würde“).
(
33
)	Siehe Fn. 11 der vorliegenden Schlussanträge.
(
34
)	Siehe Fn. 13 der vorliegenden Schlussanträge.
(
35
)	Rn. 84 und 85 dieses Urteils.
(
36
)	Vgl. auch meine Schlussanträge in der Rechtssache Meta Platforms u. a. (Allgemeine Nutzungsbedingungen eines sozialen Netzwerks) (C‑252/21, EU:C:2022:704, Nr. 46).
(
37
)	Ich weise darauf hin, dass die fragliche Bestimmung wortgleich aus Art. 8 Abs. 2 Buchst. e der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (ABl. 1995, L 281, S. 31) übernommen wurde und dass im Übrigen bei der Einführung dieser Bestimmung im Rahmen des am 20. Februar 1995 vom Rat festgelegten Gemeinsamen Standpunkts (EG) Nr. 1/95 im Hinblick auf den Erlass der Richtlinie 95/…/EG des Europäischen Parlaments und des Rates vom … zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (ABl. 1995, C 93, S. 1) keine Erläuterung gegeben wurde.
(
38
)	Siehe Fn. 11 der vorliegenden Schlussanträge.
(
39
)	Wie der Kläger beispielsweise in seinen schriftlichen Erklärungen selbst einräumt, konnte seine Äußerung in völlig legitimer Weise durch einen Presseartikel, der über das in Rede stehende Ereignis berichtete, verbreitet werden.
(
40
)	Insoweit weise ich darauf hin, dass der Kläger der Protagonist eines langwierigen und umfangreichen Rechtsstreits gegen Meta Platforms Ireland (vormals Facebook) betreffend die Anwendung der DSGVO war und dass daher vernünftigerweise davon ausgegangen werden kann, dass er sich der Folgen seiner Äußerungen im Licht dieser Verordnung voll bewusst war. Dies vorausgeschickt, stelle ich fest, dass ein Unterschied besteht zwischen zum einen dem Willen, die Verarbeitung „sensibler“ Daten zu gestatten, der eine Einwilligung in die Verarbeitung dieser Daten im Sinne von Art. 9 Abs. 2 Buchst. a DSGVO darstellt, und zum anderen der Absicht oder dem vollen Bewusstsein, diese Daten offensichtlich öffentlich zu machen, was – wie ich in den Nrn. 45 bis 47 der vorliegenden Schlussanträge erläutern werde – zur Unanwendbarkeit des Verbots auf die Verarbeitung dieser Daten im Sinne von Art. 9 Abs. 1 dieser Verordnung führt, die bzw. das aber für sich genommen nicht ausreicht, um die Verarbeitung dieser Daten zu gestatten.
(
41
)	Beispielsweise könnte eine Person wegen ihrer politischen oder sexuellen Orientierung diskriminiert werden oder wegen ihrer medizinischen Situation mit ungerechten wirtschaftlichen Folgen konfrontiert sein (insbesondere in Bezug auf die Krankenversicherung oder andere vergleichbare Situationen).
(
42
)	Wie im 51. Erwägungsgrund der DSGVO ausgeführt, sollten nämlich zusätzlich zu den speziellen Anforderungen an die Verarbeitung besonders sensibler personenbezogener Daten die allgemeinen Grundsätze und andere Bestimmungen dieser Verordnung, insbesondere hinsichtlich der Bedingungen für eine rechtmäßige Verarbeitung, gelten. Außerdem dürfen nach Art. 22 Abs. 4 DSGVO ausschließlich auf einer automatisierten Verarbeitung beruhende Entscheidungen nicht auf besonderen Kategorien personenbezogener Daten nach Art. 9 Abs. 1 dieser Verordnung beruhen, sofern nicht deren Art. 9 Abs. 2 Buchst. a oder g gilt und angemessene Maßnahmen zum Schutz der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person getroffen wurden.
(
43
)	Der Gerichtshof hat sich kürzlich in gleichem Sinne zur Auslegung von Art. 9 Abs. 2 Buchst. h in Verbindung mit Art. 5 Abs. 1 Buchst. a und Art. 6 Abs. 1 DSGVO geäußert, indem er festgestellt hat, dass eine auf Art. 9 Abs. 2 Buchst. h DSGVO gestützte Verarbeitung von Gesundheitsdaten nur dann rechtmäßig ist, wenn sie sowohl die sich aus dieser Bestimmung ergebenden Anforderungen als auch die sich aus Art. 5 Abs. 1 Buchst. a und Art. 6 Abs. 1 dieser Verordnung ergebenden Pflichten einhält und insbesondere eine der in Art. 6 Abs. 1 DSGVO genannten Rechtmäßigkeitsvoraussetzungen erfüllt (Urteil vom 21. Dezember 2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, Rn. 78).
(
44
)	Dies gilt umso mehr, als sich das vorlegende Gericht im vorliegenden Fall fragt, ob die bei der fraglichen Podiumsdiskussion gemachte Äußerung die Verarbeitung anderer personenbezogener Daten, insbesondere solcher, die sich aus Apps Dritter ergeben, erlaubt.