Am 4. Oktober 2024 erging in der Rechtssache C-446/21 eine weitere Entscheidung des Europäischen Gerichtshofes (EuGH) in der zwischen Max Schrems und Meta geführten Auseinandersetzung. Dieses Verfahren steht in engem Zusammenhang mit der in der Rechtssache C-252/21 ergangenen Entscheidung (s. ePrivacyBlog September 2023) und setzt darauf auf. Der EuGH trifft nun im Wesentlichen zwei Feststellungen. Wenig überraschend betont der EuGH, dass der Grundsatz der Datenminimierung auch im Onlinemarketing gilt. Danach dürfen (auch dort) Daten nicht unbegrenzt verarbeitet werden, auch wenn die Datenverarbeitung ursprünglich zulässig war. Ob im Ausgangsverfahren auf zu alte Daten zurückgegriffen wurde, konnte der EuGH nicht entscheiden; dies zu klären ist Sache des vorlegenden Gerichts. Für die Praxis bedeutet dies, dass das Vorliegen von Löschkonzepten stärker in den Focus rücken.
Zum anderen prüfte der EuGH, wann nach Art. 9 Abs. 2 Buchst. e) DSGVO ein sensibles personenbezogenes Datum selbst öffentlich gemacht wurde. Das Vorliegen dieses Ausnahmetatbestandes stellte der EuGH im vorliegenden Verfahren fest, betonte aber, dass darin nicht automatisch eine Einwilligung in die Verarbeitung von sensiblen Daten erblickt werden könne, insbesondere nicht in die Verarbeitung von außerhalb der Plattform gewonnenen sensiblen Daten zum Zwecke der Werbung („mittelbare“ Generierung von sensiblen Daten durch Social Plug-ins, Cookies, Pixel auf Seiten Dritter mit anschließendem Zielgruppenmarketing). Für die Praxis ist diese Feststellung überaus bedeutsam, weil damit ganz allgemein die Frage der Zulässigkeit der Verarbeitung öffentlicher Daten aufgeworfen wird. Bekanntlich bestehen zahlreiche Veröffentlichungspflichten (vgl. nur Impressum); zu der Frage aber, ob deren (zweckändernde) Verarbeitung zulässig ist, nimmt der EuGH aber (noch) keine Stellung.