Der Oberste Gerichtshof hat als Revisionsgericht durch die Senatspräsidentin Dr. Hofer Zeni Rennhofer als Vorsitzende sowie die Hofrätinnen und Hofräte Hon. Prof. Dr. Faber, Mag. Pertmayr, Dr. Weber und Mag. Nigl LL.M. als weitere Richter in der Rechtssache der klagenden Partei Mag. M*, vertreten durch Katharina Raabe Stuppnig Rechtsanwälte GmbH in Wien, gegen die beklagte Partei M* Ltd, *, Irland, vertreten durch 1. Schönherr Rechtsanwälte GmbH in Wien, 2. KNÖTZL HAUGENEDER NETAL Rechtsanwälte GmbH in Wien, wegen Feststellung, Unterlassung, Auskunftserteilung und 500 EUR sA, über die Revisionen beider Parteien gegen das Urteil des Oberlandesgerichts Wien als Berufungsgericht vom 7. Dezember 2020, GZ 11 R 153/20f, 11 R 154/20b 99, womit das Urteil des Landesgerichts für Zivilrechtssachen Wien vom 30. Juni 2020, GZ 3 Cg 52/14k 91, bestätigt wurde, in nichtöffentlicher Sitzung beschlossen und zu Recht erkannt:
I.Das mit Beschlüssen vom 23. Juni 2021 zu 6 Ob 56/21k unterbrochene Verfahren wird fortgesetzt.
II. Der Revision der Beklagten wird nicht Folge gegeben.
Der Revision des Klägers wird teilweise – in Ansehung der Punkte 6 und 8 des Klagebegehrens (Bestätigung der Punkte III.6. und 8. des Ersturteils) – Folge gegeben und die Entscheidung der Vorinstanzen in der im Folgenden ersichtlichen Weise abgeändert.
Hingegen wird der Revision des Klägers nicht Folge gegeben, soweit sie sich gegen die Abweisung der Punkte 5, 5.1, 7 und 9 des Klagebegehrens (Bestätigung der Punkte III.5., 5.1. und 9. des Ersturteils) richtet.
Die Entscheidung über die Punkte 1 bis 12 des Klagebegehrens lautet einschließlich der im Revisionsverfahren nicht mehr bekämpften und der mit Teilurteil des Obersten Gerichtshofs vom 23. Juni 2021 bereits erledigten Punkte insgesamt:
„ Die Klagebegehren
1. Es wird mit Wirkung zwischen der beklagten Partei und der klagenden Partei festgestellt, dass die klagende Partei 'Verantwortlicher' iSd Art 4 Z 7 DSGVO der von ihm selbst über das Portal f*.com zu seinen persönlichen Zwecken betriebenen Datenanwendungen (Profil, Chronik – inklusive Likes und Kommentare – Veranstaltungen, Fotos, Videos, Gruppen, persönliche Nachrichten, Freundesliste und Anwendungen) ist, während der beklagten Partei diesbezüglich nur die Funktion der 'Auftragsverarbeiterin' iSd Art 4 Z 8 DSGVO zukommt;
2. Es wird mit Wirkung zwischen der beklagten Partei und der klagenden Partei festgestellt, dass die beklagte Partei 'Verantwortlicher' iSd Art 4 Z 7 DSGVO der Datenanwendungen im Portal f*.com ist, welche über die von der klagenden Partei selbst über das Portal f*.com zu seinen persönlichen Zwecken betriebenen Datenanwendungen (insbesondere Profil, Chronik – inklusive Likes und Kommentare – Veranstaltungen, Fotos, Videos, Gruppen, persönliche Nachrichten, Freundesliste und Anwendungen) hinausgehen und dabei personenbezogene Daten der klagenden Partei oder von ihm in seinen Datenanwendungen gespeicherte personenbezogene Daten Dritter betreffen, und für die die beklagte Partei Mittel und Zwecke selbst bestimmt (insbesondere der Zusammenstellung und Aggregation von Inhalten, der Suchfunktion, der Werbung, der Nutzeradministration und ähnlicher Datenanwendungen);
3. Die beklagte Partei ist schuldig, es bei sonstiger Exekution zu unterlassen, personenbezogene Daten der klagenden Partei und/oder von Dritten, die von der klagenden Partei zu seinen Zwecken über das Portal f*.com in Datenanwendungen zu seinen persönlichen Zwecken gespeichert und übermittelt werden (Profil, Chronik – inklusive Likes und Kommentare – Veranstaltungen, Fotos, Videos, Gruppen, persönliche Nachrichten, Freundesliste und Anwendungen), ohne oder entgegen der Weisung der klagenden Partei zu verarbeiten;
4. Die beklagte Partei ist schuldig, binnen 28 Tagen bei sonstiger Exekution mit der klagenden Partei einen den Anforderungen des Art 28 Abs 3 DSGVO entsprechenden schriftlichen Vertrag zwischen der klagenden Partei als Verantwortlichem und der beklagten Partei als Auftragsverarbeiter hinsichtlich der von der klagenden Partei selbst über das Portal f *.com zu seinen persönlichen Zwecken betriebenen Datenanwendungen (Profil, Chronik – inklusive Likes und Kommentare – Veranstaltungen, Fotos, Videos, Gruppen, persönliche Nachrichten, Freundesliste und Anwendungen) zu schließen;
4.1. in eventu, es wird mit Wirkung zwischen der beklagten Partei und der klagenden Partei festgestellt, dass ein wirksamer, Art 28 Abs 3 DSGVO entsprechender Vertrag zwischen der klagenden Partei als Verantwortlichem und der beklagten Partei als Auftragsverarbeiter hinsichtlich der von der beklagten Partei selbst über das Portal f*.com zu ihren [der klagenden Partei] persönlichen Zwecken betriebenen Datenanwendungen (Profil, Chronik – inklusive Likes und Kommentare – Veranstaltungen, Fotos, Videos, Gruppen, persönliche Nachrichten, Freundesliste und Anwendungen) nicht besteht;
5. Es wird mit Wirkung zwischen der beklagten Partei und der klagenden Partei festgestellt, dass die Zustimmung der klagenden Partei zu den Nutzungsbedingungen der beklagten Partei in der Fassung vom 19. 4. 2018 sowie in der Fassung vom 31. 7. 2019 samt der damit verbundenen Datenverwendungsrichtlinien (Datenrichtlinie, Cookie Richtlinie), sowie die Zustimmung zu (künftigen) sinngleichen Klauseln in Nutzungsbedingungen der beklagten Partei (gekoppelte Einwilligungserklärungen) keine wirksame Einwilligung zur Verarbeitung von personenbezogenen Daten gemäß Art 6 Abs 1 iVm Art 7 DSGVO an die beklagte Partei als Verantwortliche ist;
5.1. in eventu: Es wird mit Wirkung zwischen der beklagten Partei und der klagenden Partei festgestellt, dass die Zustimmung der klagenden Partei zu den Nutzungsbedingungen der beklagten Partei in der Fassung vom 19. 4. 2018 samt der damit verbundenen Datenverwendungsrichtlinien (Datenrichtlinie, Cookie-Richtlinie) keine wirksame Einwilligung zur Verarbeitung von personenbezogenen Daten gemäß Art 6 Abs 1 iVm Art 7 DSGVO an die beklagte Partei als Verantwortliche ist;
7. Es wird mit Wirkung zwischen der beklagten Partei und der klagenden Partei festgestellt, dass keine wirksame Einwilligung der klagenden Partei zur Verarbeitung von personenbezogenen Daten der klagenden Partei, welche die beklagte Partei von Dritten erhalten hat, zu den eigenen Zwecken der beklagten Partei, wie sie in der Datenrichtlinie ./AN in
• Zeile 69 74 ('Aktivitäten anderer und von ihnen über dich bereitgestellte Informationen: Außerdem erhalten und analysieren wir Inhalte, Kommunikationen und Informationen, die andere Personen bereitstellen, wenn sie unsere Produkte nutzen. Dies können auch Informationen über dich sein, beispielsweise, wenn andere ein Foto von dir teilen oder kommentieren, dir eine Nachricht senden bzw deine Kontaktinformationen hochladen, synchronisieren oder importieren.'),
• Zeile 126 143 ('Werbetreibende, App-Entwickler und Publisher können uns über die von ihnen genutzten F* Business Tools, u.a. unsere sozialen Plugins wie den `gefällt mir´ Button), F* Login, unsere APIs und SDKs oder das F* Pixel, Informationen senden.' und 'Wir erhalten außerdem Informationen über deine Online und Offline Handlungen und Käufe von Dritt Datenanbietern, die berechtigt sind, uns deine Informationen bereitzustellen.') und
• Zeile 166 168 ('Dies basiert auf den Daten, die wir von dir und anderen erfassen und erfahren [einschließlich jedweder von dir bereitgestellten Daten mit besonderem Schutz, für die du uns deine ausdrückliche Einwilligung gegeben hast]')
beschrieben wird, vorliegt;
9. Die beklagte Partei ist bei sonstiger Exekution schuldig, in Hinkunft die für eigene Zwecke der beklagten Partei erfolgende Verarbeitung von personenbezogenen Daten der klagenden Partei, welche die beklagte Partei von Dritten erhalten hat, zu unterlassen, soweit die klagende Partei nicht ohne jeden Zweifel, frei, informiert und eindeutig einem spezifischen Verarbeitungsvorgang vorab zugestimmt hat ('Opt In'),
10. Die beklagte Partei ist bei sonstiger Exekution schuldig, in Hinkunft die Verwendung der Daten der klagenden Partei im Rahmen der Datenanwendung 'Graph Search' sowie durch ähnliche Techniken zu unterlassen, soweit die klagende Partei nicht ohne jeden Zweifel, frei, informiert und eindeutig vorab zugestimmt hat ('Opt-In'),
werden abgewiesen .
6. Die beklagte Partei ist schuldig, es zu unterlassen, personenbezogene Daten der klagenden Partei für personalisierte Werbung, Aggregation und Analyse von Daten für Zwecke der Werbung zu verarbeiten.
8. Die beklagte Partei ist schuldig, die Verwendung der personenbezogenen Daten der klagenden Partei, die sie aus dem Besuch und/oder der Nutzung von Webseiten Dritter durch die klagende Partei, insbesondere durch den Einsatz von 'Social Plugins' und ähnlichen Techniken, erlangt, zu unterlassen, sofern technische Daten nicht allein zum Zweck der Anzeige von Webseitenelementen verarbeitet werden oder soweit die klagende Partei nicht ohne jeden Zweifel, frei, informiert und eindeutig vorab einem spezifischen Verarbeitungsvorgang zugestimmt hat ('Opt-in', zB durch Anklicken eines 'Social Plugins').
11. Die beklagte Partei ist schuldig, der klagenden Partei binnen vierzehn Tagen schriftlich und kostenlos Auskunft zu erteilen über alle von ihr verarbeiteten personenbezogenen Daten der klagenden Partei unter Angabe der Verarbeitungszwecke, der Empfänger, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, und – soweit die personenbezogenen Daten nicht bei der klagenden Partei erhoben werden – über die Herkunft.
12. Die beklagte Partei ist schuldig, der klagenden Partei binnen vierzehn Tagen 500 EUR zu zahlen. “
III. Die Kostenentscheidung bleibt dem Erstgericht vorbehalten.
Entscheidungsgründe:
[1] Die Beklagte ist eine nach dem Recht der Republik Irland eingerichtete Gesellschaft mit Sitz in Dublin, Irland. Sie hat in Österreich keine Zweigniederlassung. Ein erheblicher Teil der Weltbevölkerung (ausgenommen vor allem China und Russland) kommuniziert regelmäßig über das „geschlossene“ Kommunikationsnetzwerk der Beklagten bzw ihrer Muttergesellschaft, wobei den Nutzern in der Europäischen Union die Beklagte den F* Dienst zur Verfügung stellt.
[2] Der F* Dienst ist eine Online Plattform und ein soziales Netzwerk zum Teilen von Inhalten. Er ermöglicht Nutzern, diverse Inhalte (zB Textbeiträge, Bilder, Videos, Veranstaltungen, Notizen oder persönliche Informationen) hochzuladen und je nach den gewählten Einstellungen mit anderen Nutzern auszutauschen. Diese Inhalte können auch von anderen Nutzern mit weiteren Inhalten angereichert werden (zB durch Hinzufügen von Kommentaren, „Likes“ oder Markierungen in Fotos oder anderen Inhalten). Nutzer können auch direkt mit anderen Nutzern kommunizieren und mit diesen „chatten“ bzw auch Daten über Direktnachrichten und E Mails austauschen.
[3] Im Übrigen wird zu dem der vorliegenden Entscheidung zugrunde liegenden Sachverhaltauf die zwei in der vorliegenden Rechtssache am 23. 6. 2021 je zu 6 Ob 56/21k gefassten Entscheidungen (Teilurteil und Vorabentscheidungsersuchen) verwiesen.
[4] Der Kläger stellte folgende Begehren, die noch Gegenstand des Revisionsverfahrens und noch nicht rechtskräftig erledigt sind (Punkte 5 bis 9 und Punkt 11 des Klagebegehrens):
„ 5. Es wird mit Wirkung zwischen der Beklagten und dem Kläger festgestellt, dass die Zustimmung des Klägers zu den Nutzungsbedingungen der Beklagten in der Fassung vom 19. 4. 2018 sowie in der Fassung vom 31. 7. 2019 samt der damit verbundenen Datenverwendungsrichtlinien (Datenrichtlinie, Cookie Richtlinie), sowie die Zustimmung zu (künftigen) sinngleichen Klauseln in Nutzungsbedingungen der Beklagten (gekoppelte Einwilligungserklärungen) keine wirksame Einwilligung zur Verarbeitung von personenbezogenen Daten gemäß Art 6 Abs 1 iVm Art 7 DSGVO an die Beklagte als Verantwortliche ist.
5.1. In eventu: Es wird mit Wirkung zwischen der Beklagten und dem Kläger festgestellt, dass die Zustimmung des Klägers zu den Nutzungsbedingungen der Beklagten in der Fassung vom 19. 04. 2018 sowie in der Fassung vom 31. 7. 2019 (in eventu: in der Fassung vom 19. 4. 2018) samt der damit verbundenen Datenverwendungsrichtlinien (Datenrichtlinie, Cookie Richtlinie) keine wirksame Einwilligung zur Verarbeitung von personenbezogenen Daten gem äß Art 6 Abs 1 iVm Art 7 DSGVO an die Beklagte als Verantwortliche ist.
6. Die Beklagte ist schuldig, es bei sonstiger Exekution zu unterlassen, personenbezogene Daten des Klägers für personalisierte Werbung, Aggregation und Analyse von Daten für Zwecke der Werbung zu verarbeiten.
7. Es wird mit Wirkung zwischen der Beklagten und dem Kläger festgestellt, dass keine wirksame Einwilligung des Klägers zur Verarbeitung von personenbezogenen Daten des Klägers, welche die Beklagte von Dritten erhalten hat, zu den eigenen Zwecken der Beklagten, wie sie in der Datenrichtlinie ./AN in
• Zeile 69 74 ('Aktivitäten anderer und von ihnen über dich bereitgestellte Informationen. Außerdem erhalten und analysieren wir Inhalte, Kommunikationen und Informationen, die andere Personen bereitstellen, wenn sie unsere Produkte nutzen. Dies können auch Informationen über dich sein, beispielsweise, wenn andere ein Foto von dir teilen oder kommentieren, dir eine Nachricht senden bzw. deine Kontaktinformationen hochladen, synchronisieren oder importieren.'),
• Zeile 126 143 ('Werbetreibende, App -Entwickler und Publisher können uns über die von ihnen genutzten F* Business Tools, u.a. unsere sozialen Plugins [wie den `gefällt mir´ Button], F* Login, unsere APIs und SDKs oder das F* Pixel, Informationen senden.' und 'Wir erhalten außerdem Informationen über deine Online und Offline Handlungen und Käufe von Dritt Datenanbietern, die berechtigt sind, uns deine Informationen bereitzustellen.') und
• Zeile 166 168 ('Dies basiert auf den Daten, die wir von dir und anderen erfassen und erfahren [einschließlich jedweder von dir bereitgestellten Daten mit besonderem Schutz, für die du uns deine ausdrückliche Einwilligung gegeben hast]')
beschrieben wird, vorliegt.
8. Die Beklagte ist bei sonstiger Exekution schuldig, in Hinkunft die Verwendung der Daten des Klägers bezüglich des Besuchs bzw der Nutzung von Drittseiten (insbesondere durch den Einsatz von 'Social Plugins' und ähnlicher Techniken) zu unterlassen, sofern technische Daten nicht alleine zum Zweck der Anzeige von Webseitenelementen verarbeitet werden, und soweit der Kläger nicht ohne jeden Zweifel, frei, informiert und eindeutig vorab einem spezifischen Verarbeitungsvorgang zugestimmt hat ('Opt In'; zB durch Anklicken eines 'Social Plugins').
9. Die Beklagte ist bei sonstiger Exekution schuldig, in Hinkunft die für eigene Zwecke der Beklagten erfolgende Verarbeitung von personenbezogenen Daten des Klägers, welche die Beklagte von Dritten erhalten hat, zu unterlassen, soweit der Kläger nicht ohne jeden Zweifel, frei, informiert und eindeutig einem spezifischen Verarbeitungsvorgang vorab zugestimmt hat ('Opt In').
11. Die Beklagte ist schuldig, dem Kläger binnen 14 Tagen bei sonstiger Exekution schriftlich und kostenlos vollständig Auskunft über alle von ihr verarbeiteten personenbezogenen Daten des Klägers unter Angabe des genauen jeweiligen Zwecks, wenn immer möglich der genauen Herkunft und gegebenenfalls der genauen Empfänger der Daten, zu erteilen. “
[5] Der Kläger brachte – soweit für die vorliegende Entscheidung noch relevant – zusammengefasst vor, er habe ein rechtliches Interesse an den Feststellungen laut den Punkten 5 und 7 des Klagebegehrens. Die Datenverarbeitung der Beklagten verstoße in mehreren Bereichen gegen die DSGVO. Es bestehe Wiederholungsgefahr und daher ein Unterlassungsanspruch wie Klagebehren Punkte 6 und 8 bis 10. Die Partner der Beklagten hätten keine Einwilligung des Klägers für die Übermittlung von Daten an und/oder die weitere Verwendung durch die Beklagte eingeholt. Die Beklagte sei auch ihrer Auskunftspflicht nicht nachgekommen.
[6] Die Beklagte bestritt das Klagebegehren. Die Verarbeitung der Daten des Klägers erfolge entsprechend den vereinbarten Richtlinien und Bedingungen, die mit der DSGVO in Einklang stünden. Die Datenverarbeitung sei rechtmäßig und stützte sich nicht auf die Einwilligung des Klägers iSd Art 6 f DSGVO, sondern auf andere Rechtfertigungsgründe, überwiegend auf vertragliche Notwendigkeit.
[7] Soweit erforderlich ist das Parteienvorbringen im Einzelnen bei der Behandlung der jeweiligen Punkte des Klagebegehrens wiedergegeben.
[8] Das Erstgericht wies die Punkte 1 bis 10 des Klagebegehrens ab und gab dem Klagebegehren hinsichtlich Punkt 11 (Auskunftsanspruch) und 12 (Zahlung immateriellen Schadenersatzes) statt. Zu den Punkten 5 bis 9 und 11 führte es aus:
[9] Für die Klagebegehren Punkte 5 und 7 fehle dem Kläger das rechtliche Interesse an der begehrten Feststellung.
[10] Die Unterlassungsbegehren Punkte 6 und 8 bis 10 seien nicht berechtigt. Die Personalisierung und auch die personalisierte Werbung als ein wesentlicher Bestandteil des von der Beklagten angebotenen Dienstes ergebe sich aus den Nutzungsbedingungen und den verlinkten Richtlinien, die zum Vertragsinhalt gemacht worden seien. Zwar sei richtig, dass die Beklagte diesen Vertragszweck selbst vorgegeben habe. Der Kläger habe aber trotzdem einen Vertrag mit diesem Inhalt abgeschlossen, weshalb die Beklagte die festgestellten Datenverarbeitungen durchführen dürfe, solange der Kläger sein Konto nicht lösche und damit den Vertrag mit der Beklagten beende.
[11] Eine Verletzung von Art 9 DSGVO liege nicht vor. Dabei könne dahingestellt bleiben, ob die festgestellten Einladungen zu Veranstaltungen und Werbungen die Homosexualität des Klägers offenbarten, weil der Kläger diese selbst öffentlich gemacht habe, sodass ein Ausnahmegrund von dem Erfordernis einer ausdrücklichen Einwilligung (Art 9 Abs 2 lit e DSGVO) vorliege. Das „Interesse“ des Klägers an verschiedenen Parteien und Politikern offenbare nur sein Interesse an Politik, aber keine politische Meinung.
[12] Allerdings habe die Beklagte gegenüber dem Kläger ihre Auskunftspflicht gemäß Art 15 DSGVO verletzt. Der Auskunftsanspruch (Punkt 11 des Klagebegehrens) sei zu sämtlichen über den Kläger gespeicherten Daten nach Art 15 DSGVO berechtigt und von der Beklagten noch nicht erfüllt worden. Es reiche nicht aus, dass die Beklagte die von ihr für relevant erachteten Daten beauskunfte.
[13] Das Berufungsgericht gab den von beiden Streitteilen gegen dieses Urteil erhobenen Berufungen nicht Folge und bestätigte das Urteil des Erstgerichts mit der Maßgabe, dass Spruchpunkt I (Punkt 11 des Klagebegehrens) wie folgt zu lauten habe:
„ Die beklagte Partei ist schuldig, der klagenden Partei binnen 14 Tagen schriftlich und kostenlos Auskunft zu erteilen über alle von ihr verarbeiteten personenbezogenen Daten der klagenden Partei unter Angabe der Verarbeitungszwecke, der Empfänger, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, und – soweit die personenbezogenen Daten nicht bei der klagenden Partei erhoben werden – über die Herkunft. “
[14] Es übernahm die Feststellungen zur Sichtbarkeit von Profiling Daten in den Tools und die dislozierte Feststellung, wonach der Großteil der Nutzer personalisierte Werbung der nicht personalisierten vorziehe und sie bewusst in Kauf nähme, um die Plattform dafür „gratis“ zu nutzen, nicht. Im Übrigen verwarf es die erhobenen Beweis und die Mängelrügen.
[15]Rechtlich führte es, soweit für die noch nicht erledigten Punkte des Klagebegehrens relevant, aus, das Begehren auf Feststellung, näher bezeichnete Zustimmungserklärungen des Klägers seien nicht als wirksame Einwilligung iSd Art 6 Abs 1 iVm Art 7 DSGVO einzustufen und es liege keine wirksame Einwilligung des Klägers zu näher konkretisierten, von der Beklagten durchgeführten Datenverarbeitungen vor, sei nicht berechtigt, weil eine Rechtshandlung nicht Gegenstand eines Feststellungsbegehrens gemäß § 228 ZPO sein könne.
[16] Beim Vertrag zwischen den Streitteilen handle es sich um ein in der österreichischen Rechtsordnung nicht ausdrücklich geregeltes, also atypisches Schuldverhältnis. Sein Inhalt bestehe im Wesentlichen darin, dass die Beklagte dem F* Nutzer eine „personalisierte“, also auf seine Interessen und Einstellungen individuell zugeschnittene Plattform eröffne, auf der er mit anderen F* Nutzern kommunizieren könne. Zwar schulde der F* Nutzer für den Zutritt zu diesem Forum kein Geld, doch dulde er, dass die Beklagte alle ihr zur Verfügung stehenden personenbezogenen Daten des Nutzers verwerte. Die Verarbeitung dieser Daten diene dazu, dem Nutzer personalisierte Werbung zu senden. Zu diesem Zweck gebe die Beklagte die Daten ihrer Nutzer ohne deren ausdrückliche Zustimmung nicht an Dritte weiter, sondern sende Werbung im Auftrag von Werbekunden an bestimmte, gegenüber den Werbetreibenden anonym bleibende Zielgruppen, die sie aus den Daten herausfiltere. Das Wesen dieses F* Geschäftsmodells werde in den Bedingungen in einer Weise erläutert, die für jeden auch nur durchschnittlich aufmerksamen Leser leicht verständlich sei. Dieses Modell sei weder sittenwidrig noch ungewöhnlich. Die Verarbeitung der personenbezogenen Nutzerdaten sei eine tragende Säule des zwischen den Streitteilen geschlossenen Vertrags. Daher sei die Verarbeitung der personenbezogenen Daten des Klägers für die Vertragserfüllung „erforderlich“ iSd Art 6 Abs 1 lit b DSGVO.
[17] Der Kläger habe zuletzt 2019 ein auf Art 15 DSGVO gestütztes Auskunftsbegehren an die Beklagte gerichtet, mit dem er auf einschlägige Online Tools verwiesen wurde. Allerdings stellte die Beklagte darin nur einen Teil der von ihr über den Kläger verarbeiteten Daten zur Verfügung. Damit sei der dem Klagebegehren Punkt 11 stattgebende Spruchpunkt I des Ersturteils mit der Maßgabe zu bestätigen, dass eine von diesem Begehren geringfügig abweichende Formulierung gewählt werde, die sich enger am Verordnungswortlaut orientiere.
[18] Die ordentliche Revision ließ das Berufungsgericht zu, weil die zu lösenden Rechtsfragen auch für viele andere, gleichartige Vertragsverhältnisse bedeutsam sein könnten, die die Beklagte mit F* Nutzern in Österreich geschlossen habe. Dies gelte insbesondere für die Rechtsfrage, ob sich die Beklagte mit Erfolg auf den Rechtfertigungstatbestand des Art 6 Abs 1 lit b DSGVO berufen könne, wenn sie personenbezogene Daten ihrer Vertragspartner (F* Nutzer) verarbeite, um aus der dadurch ermöglichten personalisierten Werbung Einkünfte zu erzielen.
[19] Der Kläger erhob Revision gegen die Abweisung der Punkte 1 bis 9 des Klagebegehrens; die Entscheidung über Punkt 10 seines Begehrens ließ er unbekämpft.
[20] Die Beklagte erhob Revision gegen den stattgebenden Teil des Berufungsurteils (Punkte 11 und 12 des Klagebegehrens).
[21] Der Oberste Gerichtshof entschied mit Teilurteilvom 23. 6. 2021, 6 Ob 56/21k (ecolex 2022/28, 42 [ Hafner Tomic ] = jusIT 2022/27, 72 [ Schmitt ]) in der Sache über die Punkte 1 bis 4 und 12 des Klagebegehrens. Diese Punkte sind daher rechtskräftig erledigt.
[22] Hinsichtlich Punkt 11des Klagebegehrens wurde das Revisionsverfahren mit in das Teilurteil vom 23. 6. 2021, 6 Ob 56/21k, aufgenommenem Beschluss bis zum Vorliegen der Entscheidung des Gerichtshofs der Europäischen Union (EuGH) über das Vorabentscheidungsersuchen des Obersten Gerichtshofs vom 18. 2. 2021 ( 6 Ob 159/20f ) unterbrochen.
[23] Mit gesondert ausgefertigtem Beschlussvom selben Tag, ebenfalls zu 6 Ob 56/21k, legte der Oberste Gerichtshof dem EuGH vier Fragen zur Vorabentscheidung vor und unterbrach das Revisionsverfahren hinsichtlich der Punkte 5 bis 9 des Klagebegehrens bis zum Einlangen der Vorabentscheidung des EuGH.
[24] Mit Beschlussvom 19. 7. 2023 zu 6 Ob 134/23h zog der Oberste Gerichtshof dieses Vorabentscheidungsersuchen hinsichtlich der Fragen 1 und 3 zurück.
Zu I. (Verfahrensfortsetzung)
[25]Die Entscheidungen des EuGH über das am 23. 6. 2021 zu 6 Ob 56/21k gestellte Vorabentscheidungsersuchen ( C 446/21 , Maximilian Schrems gegen Meta Platforms Ireland) und über das am 18. 2. 2021 zu 6 Ob 159/20f gestellte Vorabentscheidungsersuchen ( C 154/21 , RW gegen Österreichische Post ) liegen vor.
[26] Das Verfahren ist daher fortzusetzen.
Zu II. (Revisionen der Parteien)
[27]Die Revisionen beider Streitteile sind zulässig (vgl Teilurteil 6 Ob 56/21k Rz 111). Jene des Klägers ist teilweise berechtigt , jene der Beklagte ist nicht berechtigt .
A. Zur Revision des Klägers
1. Zu Punkten 5 und 7 des Klagebegehrens – Allgemeines
[28] Mit Punkt 5 des Klagebegehrens begehrt der Kläger die Feststellung, dass seine Zustimmung zu den Nutzungsbedingungen der Beklagten in den Fassungen vom 19. 4. 2018 und vom 31. 7. 2019 (in eventu: nur in der Fassung vom 19. 4. 2018) einschließlich der Daten und Cookie Richtlinien keine wirksamen Einwilligungen in die Verarbeitung personenbezogener Daten gemäß Art 6 Abs 1 iVm Art 7 DSGVO seien; darüber hinaus begehrt er diese Feststellung hinsichtlich künftiger sinngleicher Klauseln.
[29] Mit Punkt 7 des Klagebegehrens strebt er die Feststellung an, dass zur Verarbeitung seiner personenbezogenen Daten, wie in drei Unterpunkten der Datenrichtlinie der Beklagten umschrieben, keine wirksame Einwilligung des Klägers vorliege.
[30] Die Vorinstanzenwiesen beide Klagebegehren mangels Feststellungsfähigkeit (das Erstgericht zusätzlich mangels Feststellungsinteresses) iSd § 228 ZPO ab.
2.Zu den Voraussetzungen des § 228 ZPO
[31]Nach § 228 ZPO kann Klage auf Feststellung des Bestehens oder Nichtbestehens eines Rechtsverhältnisses oder Rechts erhoben werden, wenn der Kläger ein rechtliches Interesse daran hat, dass das Rechtsverhältnis oder Recht alsbald festgestellt werde.
[32]§ 228 ZPO setzt einen feststellungsfähigen Gegenstand sowie das rechtliche Interesse des Klägers an der alsbaldigen Feststellung voraus.
2.1. Feststellungsfähigkeit
[33]2.1.1. Ein – nach § 228 ZPO feststellungsfähiges – Rechtsverhältnis ist eine bestimmte, durch den vorgetragenen Sachverhalt gegebene und konkretisierte, rechtlich geregelte Beziehung zwischen Personen oder zwischen einer Person und einem Gegenstand ( RS0039053 ; RS0039223 ; RS0038988 ). Auch bei einem unbestrittenen Rechtsverhältnis kann zu seiner näheren Aufklärung die Feststellung der sich daraus ergebenden einzelnen Rechte , Befugnisse und Verbindlichkeiten begehrt werden (vgl 6 Ob 288/98s ). Feststellungsfähig sind daher auch einzelne rechtliche Beziehungen, die Ausfluss eines weitergehenden Rechtsverhältnisses sind, oder einzelne rechtliche Folgen solcher Rechtsbeziehungen, wie einzelne Forderungen oder daraus abgeleitete Ansprüche ( RS0038986 [T2]; RS0039053 [T5]; RS0039223[T4]; 4 Ob 14/24y Rz 12).
[34] In diesem Sinn ist die Feststellung des Bestehens von Gewährleistungsoder Schadenersatzansprüchen feststellungsfähig (vgl nur 6 Ob 288/98s). Als feststellungsfähig wurde etwa auch die Frage angesehen, ob ein Rechtsverhältnis zwischen zwei Streitteilen dahin auszulegen sei, dass die Hinterlegung beim Notar eine Bezahlung darstelle ( 7 Ob 270/99b ). Ebenfalls als feststellungsfähig beurteilt wurde das Begehren auf Feststellung des (Nicht)Bestehens eines Rechtsverhältnisses aus zwei Kaufanboten. Dabei differenzierte der Oberste Gerichtshof zwischen diesem Begehren und dem (nicht feststellungsfähigen) Begehren auf Feststellung der Unwirksamkeit von Vertragserklärungen (4 Ob 14/24y Rz 15, 17). Bejaht wurde die Feststellungsfähigkeit auch für eine Klage auf Feststellung, dass für den (unstrittig) aus einem Behandlungsfehler geschuldeten Verdienstentgang eine vertragliche Vereinbarung über eine bestimmte Bemessung von dessen Höhe bestand. Ausschlaggebend war, dass das Begehren auf die Feststellung bestimmter aus einem Gesamtrechtsverhältnis abgeleiteter rechtlicher Folgen abzielte (6 Ob 147/22v Rz 13).
[35] 2.1.2. Im Unterschied zu Rechtsverhältnissen sind Rechtshandlungen Erklärungen und Äußerungen, mit denen einem anderen etwas kundgemacht werden soll, woran sich Rechtsfolgen knüpfen ( Frauenberger Pfeiler in Fasching/Konecny³ § 228 ZPO Rz 40). Eine Rechtshandlung kann nicht Gegenstand eines Feststellungsbegehrens gemäß § 228 ZPO sein, weil es sich dabei nicht um ein Recht oder Rechtsverhältnis, sondern nur um eine Vorfrage für dessen Bestand handelt ( RS0038804 ; 7 Ob 210/22sRz 36; vgl 4 Ob 14/24y Rz 13). Auch die rechtlichen Eigenschaften von Rechtshandlungen sind nicht feststellungsfähig, sondern nur ein daraus resultierendes Recht oder Rechtsverhältnis ( RS0039087 [T8] = RS0039036 [T17]).
[36]Nicht feststellungsfähig gemäß § 228 ZPO sind in diesem Sinn etwa die Wirksamkeit oder Unwirksamkeit von Vertragskündigungen ( 1 Ob 98/21z ; 1 Ob 1615/95 ) oder einer Rücktrittserklärung ( 4 Ob 573/94 ).
[37] 2.1.3. Auch in Feststellungsklagen muss das festzustellende Recht oder Rechtsverhältnis inhaltlich und umfänglich genau und zweifelsfrei bezeichnet werden. Die Notwendigkeit der Bestimmtheit des Klagebegehrens ergibt sich hier zwar nicht, wie beim Leistungsurteil, aus der Erwägung, dass es zur Zwangsvollstreckung geeignet sein müsse, wohl aber aus dem Zweck und der Funktion der Feststellungsklage und ihrer Rechtskraftwirkung ( RS0037437 ). Da der Kläger bei der negativen Feststellungsklage den Nichtbestand eines ganz bestimmten Rechts oder Rechtsverhältnisses begehren muss, muss dieses genau bezeichnet und damit auch rechtlich qualifiziert werden ( RS0037437 [T6]).
2.2. Feststellungsinteresse
[38] 2.2.1. Prozessökonomischer Zweck der Feststellungsklage ist es, die Rechtslage dort zu klären, wo ein von der Rechtsordnung anerkanntes Bedürfnis zur Klärung streitiger Rechtsbeziehungen besteht ( RS0037422 [T1]). Sie bedarf eines konkreten, aktuellen Anlasses, der zur Hintanhaltung einer tatsächlichen und ernstlichen Gefährdung der Rechtslage des Klägers eine ehebaldige gerichtliche Entscheidung notwendig macht ( RS0039215 ; vgl RS0039071 ). Die Feststellung von bloßen „Rechtslagen“ reicht dafür nicht aus ( RS0037422 [T3, T8]). Hingegen begründet ein Streit über die Auslegung eines Vertrags, konkret über die dort festgeschriebenen Befugnisse einer Vertragspartei, deren Feststellungsinteresse ( RS0102433 ).
[39] Ein rechtliches Interesse an einer Feststellungsklage ist sogar trotz möglicher Leistungsklage zu bejahen, wenn das Feststellungsbegehren geeignet ist, über die Rechtsbeziehungen der Parteien ein für allemal Klarheit zu schaffen und einen künftigen Leistungsanspruch abzuschneiden oder wenn künftige Prozesse zufolge der die Vorfrage klärenden Rechtskraftwirkung des Feststellungsurteils abgekürzt werden ( RS0038908). Der Satz, dass die Feststellungsklage nicht zuzulassen ist, wenn die Leistungsklage eingebracht werden kann, gilt nur dann, wenn durch den Leistungsanspruch auch der Feststellungsanspruch ausgeschöpft wird, das heißt, wenn weitere als die durch das Leistungsbegehren gezogenen Rechtsfolgen aus der Feststellung des fraglichen Rechtsverhältnisses oder Anspruchs nicht in Betracht kommen (RS0039021).
[40] An die Klärungsbedürftigkeit eines Rechts oder Rechtsverhältnisses ist kein strenger Maßstab anzulegen ( RS0038908 [T12]).
3. Zu Punkt 5 des Klagebegehrens
[41] 3.1. Mit Punkt 5 seines Klagebegehrens begehrt der Kläger die Feststellung, dass die von ihm erteilte Zustimmung „keine wirksame Einwilligung … iSd Art 6 Abs 1 iVm Art 7 DSGVO“ sei. Damit wird die Feststellung einer rechtlichen Eigenschaft der Vertragserklärung des Klägers angestrebt, konkret, dass diese gemessen an einem bestimmten rechtlichen Prüfungsmaßstab – Art 6 Abs 1 iVm Art 7 DSGVO – unwirksam sei. Hingegen ist das Begehren nicht auf die aus der behaupteten Unwirksamkeit resultierende Feststellung des Nichtbestehens eines Rechtsverhältnisses oder konkreter daraus abgeleiteter Rechte oder Ansprüche (vgl RS0039053 [T5]; RS0039223 [T4]) gerichtet.
[42]Damit erweist sich die Beurteilung der Vorinstanzen, die die Feststellungsfähigkeit des zu Punkt 5 gestellten Klagebegehrens nach § 228 ZPO verneinten, als zutreffend.
[43] 3.2. Soweit der Kläger in seiner Revision das Klagebegehren dahin verstanden wissen will, dass es nicht auf die Feststellung der rechtlichen Qualifikation seiner Vertragserklärung, sondern auf die Feststellung des daraus resultierenden (Nicht)Bestehens eines Rechtsverhältnisses über die Datenverarbeitung gerichtet sei, entspricht das nicht dem gestellten Begehren. Der Kläger hat in seiner gegen das Urteil des Erstgerichts erhobenen Berufung auch nicht geltend gemacht, dass er das Klagebegehren Punkt 5 bei allfälliger Erörterung durch das Erstgericht gemäß §§ 182, 182a ZPO anders gefasst hätte. Daher war Punkt 5 des Klagebegehrens mit dem vom Kläger gestellten Urteilsantrag der Beurteilung zugrunde zu legen.
[44] Da das Klagebegehren Punkt 5 weder in der Fassung des Hauptnoch in der Fassung des Eventualbegehrens (Punkt 5.1.) den Anforderungen des § 228 ZPO an Feststellungsklagen genügt, war die Abweisung der Punkte 5 und 5.1. des Klagebegehrens zu bestätigen.
[45] 3.3. Die Revision des Klägers ist daher hinsichtlich Punkt 5 des Klagebegehrens nicht berechtigt .
4. Zu Punkt 7 des Klagebegehrens
[46] 4.1. Mit Punkt 7 des Klagebegehrens strebt der Kläger die Feststellung an, dass keine wirksame Einwilligung zur näher spezifizierten Verarbeitung solcher personenbezogener Daten des Klägers, die die Beklagte auf die im Klagebegehren beschriebene Art und Weise – im Wesentlichen von Dritten – erhalten habe, vorliege.
[47]4.2. Gleich wie das Begehren Punkt 5 ist auch das Klagebegehren Punkt 7 nicht auf die aus der behaupteten Unwirksamkeit resultierende Feststellung des Nichtbestehens eines Rechtsverhältnisses oder des Nichtbestehens konkreter aus dem Rechtsverhältnis der Parteien abgeleiteter Rechte oder Ansprüche (vgl RS0039053 [T5]; RS0039223 [T4]) gerichtet. Denn der Kläger begehrt nicht die Feststellung, dass die Beklagte zur Durchführung der angeführten Datenverarbeitungen nicht berechtigt sei oder dass sie diese zu unterlassen habe. Er strebt vielmehr die Abklärung des Vorliegens einer von mehreren in Betracht kommenden Rechtsgrundlagen für bestimmte von der Beklagten vorgenommener Datenverarbeitungen an. Dieses Begehren zielt nicht auf die Feststellung eines Rechts oder Rechtsverhältnisses ab.
[48] Daher ist auch die Feststellungsfähigkeitder zu Punkt 7 des Klagebegehrens begehrten Feststellung nach § 228 ZPO zu verneinen.
[49]Dass der Kläger das Unterblieben einer Erörterung iSv §§ 182, 182a ZPO nicht gerügt hat, wurde bereits ausgeführt.
[50] 4.3. Die Revision des Klägers ist daher auch hinsichtlich Punkt 7 des Klagebegehrens nicht berechtigt .
5. Zu Punkt 6 des Klagebegehrens
5.1. Vorbringen und Verfahrensgang
[51] Mit Punkt 6 des Klagebegehrens strebt der Kläger gegenüber der Beklagten das Verbot der Verarbeitung seiner personenbezogenen Daten für personalisierte Werbung, Aggregation und Analyse von Daten für Zwecke der Werbung an.
[52] Er brachte zusammengefasst vor, die Beklagte vermeide es, klarzustellen, auf welchen Erlaubnistatbestand sie sich (unter anderem) für diese Verarbeitungen stütze. Es liege keine wirksame Einwilligung des Klägers vor. Die Beklagte verstoße im Rahmen der Datenverarbeitung für personalisierte Werbung gegen die Prinzipien des Art 5 Abs 1 lit a bis e DSGVO, indem sensible Daten des Klägers ohne dessen Zustimmung und damit gegen Treu und Glauben (lit a) verarbeitet würden; sie verstoße durch die Weiterverwendung von Tracking Daten für Werbezwecke gegen das Prinzip der Zweckbindung (lit b), durch die Erhebung von Daten weit über das nötige Maß hinaus gegen das Prinzip der Datenminimierung (lit c); sie verstoße gegen das Prinzip der Richtigkeit (lit d) und verarbeite personenbezogene Daten entgegen lit e leg cit ohne weitere Speicherbegrenzung. Weder bestehe für die in Punkt 6 beanstandete Datenverarbeitung eine Notwendigkeit zur Vertragserfüllung iSv Art 6 Abs 1 lit b DSGVO, noch sei ein berechtigtes Interesse der Beklagten iSv Art 6 Abs 1 lit f DSGVO erkennbar.
[53] Die Beklagte hielt dem entgegen, sie verarbeite die personenbezogenen Daten des Klägers rechtmäßig nach Art 6 Abs 1 lit b DSGVO, da personalisierte Werbung ein wesentlicher, vertraglich vereinbarter Bestandteil des F* Dienstes sei. Weiters sei der Rechtfertigungsgrund des Art 6 Abs 1 lit f DSGVO erfüllt, weil in der Verarbeitung personenbezogener Daten zur Bereitstellung von Messungen und Analysen an Werbetreibende ein berechtigtes wirtschaftliches Interesse liege, das die Privatsphäre der Nutzer nicht beeinträchtige.
[54] Im Revisionsverfahren wiederholen die Parteien im Wesentlichen ihre bereits im Verfahren erster Instanz vorgebrachten Argumente.
5.2. Zur Rechtmäßigkeit der Verarbeitung
5.2.1. Zu Art 6 Abs 1 lit b DSGVO
[55] 5.2.1.1. Damit eine Verarbeitung personenbezogener Daten als für die Erfüllung eines Vertrags erforderlich iSd Art 6 Abs 1 lit b DSGVO angesehen werden kann, muss sie objektiv unerlässlich sein, um einen Zweck zu verwirklichen, der notwendiger Bestandteil der für die betroffene Person bestimmten Vertragsleistung ist. Der Verantwortliche muss somit nachweisen können, inwiefern der Hauptgegenstand des Vertrags ohne die betreffende Verarbeitung nicht erfüllt werden könnte (EuGH C 252/21, Meta Platforms ua gegen Bundeskartellamt , Rz 98).
[56] Der etwaige Umstand, dass eine solche Verarbeitung im Vertrag erwähnt wird oder für dessen Erfüllung lediglich von Nutzen ist, ist insoweit für sich genommen unerheblich. Entscheidend für die Anwendung des in Art 6 Abs 1 lit b DSGVO genannten Rechtfertigungsgrundes ist nämlich, dass die Verarbeitung personenbezogener Daten durch den Verantwortlichen für die ordnungsgemäße Erfüllung des zwischen ihm und der betroffenen Person geschlossenen Vertrags wesentlich ist und dass daher keine praktikablen und weniger einschneidenden Alternativen bestehen (C 252/21, Meta Platforms ua gegen Bundeskartellamt , Rz 99).
[57] Im Fall eines Vertrags, der mehrere Dienstleistungen oder mehrere eigenständige Elemente einer Dienstleistung umfasst, die unabhängig voneinander erbracht werden können, ist die Anwendbarkeit von Art 6 Abs 1 lit b DSGVO für jede dieser Dienstleistungen gesondert zu beurteilen (C 252/21, Meta Platforms ua gegen Bundeskartellamt , Rz 100).
[58] Gefragt, ob ein Unternehmen wie die Beklagte des hier vorliegenden Verfahrens, das ein werbefinanziertes, digitales soziales Netzwerk betreibt und in seinen Nutzungsbedingungen unter anderem die Personalisierung der Inhalte und der Werbung anbietet, sich auf den Rechtfertigungsgrund der Erforderlichkeit zur Vertragserfüllung gemäß (auch) Art 6 Abs 1 lit b DSGVO berufen könne, wenn es zu diesen Zwecken Daten (unter anderem) von dritten Webseiten und Apps über in diese eingebundene Schnittstellen, wie „F* Business Tools“, oder über auf dem Computer oder mobilen Endgerät des Internetnutzers eingesetzte Cookies oder ähnliche Speichertechnologien erfasse, mit dem F*.com Konto des Nutzers verknüpft und verwendet (vgl C 252/21, Meta Platforms ua gegen Bundeskartellamt , Rz 35 Frage 3), nahm der EuGH zur Rechtfertigung der Datenverarbeitung zur Personalisierung der Inhalte im Lichte des Rechtfertigungstatbestands des Art 6 Abs 1 lit b DSGVO wie folgt Stellung:
[59] Nach den Ausführung im Urteil Meta Platforms ua gegen Bundeskartellamt sei eine Personalisierung der Inhalte für den Nutzer zwar insofern von Nutzen, als sie es unter anderem ermögliche, dass ihm ein Inhalt gezeigt werde, der weitgehend seinen Interessen entspreche. Gleichwohl erscheine die Personalisierung der Inhalte – vorbehaltlich der Überprüfung durch das vorlegende Gericht – nicht erforderlich, um dem Nutzer die Dienste des sozialen Online Netzwerks anzubieten. Diese Dienste könnten gegebenenfalls in Form einer gleichwertigen Alternative an ihn erbracht werden, die nicht mit einer solchen Personalisierung verbunden sei, sodass diese nicht objektiv unerlässlich sei, um einen Zweck zu verwirklichen, der notwendiger Bestandteil der Dienste sei (vgl C 252/21 Rz 102).
[60] 5.2.1.2. Punkt 6 des Klagebegehrens beanstandet nicht schlechthin jede Personalisierung der dem Kläger im F* Netzwerk angezeigten Inhalte, sondern konkret die Personalisierung der Werbung.
[61] Diese ist nicht objektiv unerlässlich, um jenen Vertragszweck zu verwirklichen, der notwendiger Bestandteil der für die betroffene Person bestimmten Vertragsleistung ist: Denn die konkrete Überprüfung des vorliegenden Falls ergibt, dass die Personalisierung von Werbung mittels personenbezogener Nutzerdaten eine Dienstleistung ist, die die Beklagte gegenüber Werbetreibenden erbringt, um dadurch selbst Einnahmen zu generieren. Das Ausspielen personalisierter Werbung ist damit nicht „notwendiger Bestandteil der für die betroffene Person bestimmten Vertragsleistung“, sondern Teil des Finanzierungskonzepts der Beklagten. Es ermöglicht der Beklagten, den Nutzern ihre Dienste anzubieten, ohne von ihnen eine in Geld bestehende Gegenleistung zu verlangen. Daraus folgt, dass durch die in Punkt 6 des Klagebegehrens beanstandete Verarbeitung personenbezogener Daten zum Zweck der Personalisierung von Werbung das festgestellte Finanzierungsmodell der Beklagten ermöglicht wird. Dieses kommt den Nutzern insofern zugute, als die Beklagte von ihnen kein in Geld bestehendes Entgelt für ihre Dienstleistung verlangt. Dies betrifft allerdings nicht die für die Betroffenen bestimmte Vertragsleistung, auf die nach der dargestellten Rechtsprechung abzustellen ist, sondern die Ausgestaltung der von den Nutzern zu erbringenden Gegenleistung. Für die Erbringung der Dienste des sozialen Online Netzwerks ist diese Art der Finanzierung und damit auch die Personalisierung von Werbung unter Verwendung der personenbezogenen Daten des Nutzers hingegen nicht erforderlich.
[62] Auch die Aggregation und Analyse personenbezogener Daten zu Werbezwecken ist kein Bestandteil der für den Kläger bestimmten Vertragsleistung. Darin liegt vielmehr die Erbringung von Leistungen der Beklagten gegenüber ihren Werbekunden.
[63] 5.2.1.3. Da die in Punkt 6 des Klagebegehrens angeführten Verarbeitungen der personenbezogenen Daten des Klägers nicht Teil der Erbringung der für den Betroffenen – also den Kläger – bestimmten Vertragsleistung der Beklagten sind, sind sie nicht vom Erlaubnistatbestand des Art 6 Abs 1 lit b DSGVO erfasst.
5.2.2. Zu Art 6 Abs 1 lit f DSGVO
[64] Zum Erlaubnistatbestand des Art 6 Abs 1 lit f DSGVO hat der EuGH klargestellt, dass, auch wenn die Dienste eines sozialen Online Netzwerks wie des hier zu beurteilenden unentgeltlich sind, der Nutzer dieses Netzwerks vernünftigerweise nicht damit rechnen kann, dass der Betreiber dieses sozialen Netzwerks seine personenbezogenen Daten ohne seine Einwilligung zum Zweck der Personalisierung der Werbung verarbeitet. Unter diesen Umständen ist davon auszugehen, dass die Interessen und Grundrechte eines solchen Nutzers gegenüber dem Interesse dieses Betreibers an einer solchen Personalisierung der Werbung, mit der er seine Tätigkeit finanziert, überwiegen, sodass die von ihm zu solchen Zwecken vorgenommene Verarbeitung nicht unter Art 6 Abs 1 lit f DSGVO fallen kann (EuGH C 252/21, Meta Platforms ua gegen Bundeskartellamt , Rz 117).
[65] Die Beklagte kann daher auch den Erlaubnistatbestand des Art 6 Abs 1 lit f DSGVO nicht für die in Punkt 6 des Klagebegehrens angeführten Verarbeitungen der personenbezogenen Daten des Klägers in Anspruch nehmen.
5.2.3. Zwischenergebnis
[66] Die Rechtfertigungsgründe des Art 6 Abs 1 lit b und lit f DSGVO können, wie ausgeführt, für die in Punkt 6 des Klagebegehrens beanstandete Verarbeitung personenbezogener Daten des Klägers nicht in Anspruch genommen werden.
[67] Auf andere Rechtfertigungsgründe hat sich die unter anderem für die Rechtmäßigkeit der Verarbeitung beweispflichtige (vgl nur EuGH C 252/21, Meta Platforms ua gegen Bundeskartellamt , Rz 95) Beklagte nicht gestützt. Mangels Vorliegens eines der behaupteten Rechtfertigungsgründe erfolgte die zu Punkt 6 des Klagebegehrens beanstandete Verarbeitung der personenbezogenen Daten des Klägers nicht rechtmäßig iSd Art 5 Abs 1 lit a DSGVO.
[68] Auf die weiteren geltend gemachten Verstöße gegen Art 5 Abs 1 DSGVO ist daher nicht mehr einzugehen.
[69] 5.2.4. Soweit in dem im vorliegenden Verfahren am 4. 10. 2024 ergangenen Urteil des EuGH C 446/21, Maximilian Schrems gegen Meta Platforms Ireland , darauf Bezug genommen wird, dass der F*Dienst seit dem 6. 11. 2023 nur noch für jene Nutzer kostenlos sei, die zugestimmt hätten, dass ihre personenbezogenen Daten erhoben und verwendet würden, um personalisierte Werbung an sie zu richten, wobei die Nutzer die Möglichkeit hätten, ein kostenpflichtiges Abonnement abzuschließen, um Zugang zu einer Version dieser Dienste ohne zielgerichtete Werbung zu erhalten (Rz 11), handelt es sich dabei um Umstände, die nach dem Zeitpunkt des Schlusses der mündlichen Streitverhandlung erster Instanz (§ 193 ZPO) liegen. Diese sind daher nicht Teil des im vorliegenden Verfahren zu beurteilenden Sachverhalts ( RS0036969 ).
5.3. Zum Unterlassungsanspruch
[70] 5.3.1. Der Unterlassungsanspruch wird durch zwei Elemente konkretisiert: Eine Unterlassungspflicht und die Gefahr, dass dieser Unterlassungspflicht zuwidergehandelt wird ( RS0037660 [T7]). Diese kann als Erstbegehungsgefahr oder als Wiederholungsgefahr ausgeprägt sein (vgl RS0037661 ). Für die Wiederholungsgefahr spricht die Vermutung, dass derjenige, welcher gegen eine bestimmte Rechtspflicht verstoßen hat, hiezu neuerlich geneigt sein wird. Er hat daher jene besonderen Umstände darzutun, die eine Wiederholung seiner Handlung als völlig ausgeschlossen oder doch äußerst unwahrscheinlich erscheinen lassen (vgl RS0080065 ). Bestreitet der Beklagte im Prozess seine Unterlassungspflicht, so ist dies als Indiz für das Vorhandensein von Wiederholungsgefahr zu werten ( RS0012055 [T3]).
[71] Allfällige Rechtfertigungsgründe und daraus resultierende Einschränkungen des Unterlassungsauftrags müssen in den Spruch einer Unterlassungsentscheidung nicht aufgenommen werden; vielmehr bestehen diese Rechtfertigungsgründe bereits von Gesetzes wegen und müssen gegebenenfalls aus Anlass einer Exekutionsführung vom Gericht überprüft werden ( RS0114017 ; 6 Ob 16/21b Rz 27).
[72] 5.3.2. Im vorliegenden Fall geht aus den Feststellungen klar hervor, dass die Beklagte die in Punkt 6 des Klagebegehrens beanstandeten Verarbeitungen der personenbezogenen Daten des Klägers vornimmt. So steht fest, dass die Beklagte Daten, die der Kläger ihr zur Verfügung stellt, und Daten, die sie aufgrund seiner Handlungen über ihn erhält, verwendet, um ihm personalisierte Werbung anzuzeigen. Dass die dafür von der Beklagten in Anspruch genommenen Rechtfertigungsgründe nicht erfüllt sind, wurde bereits ausgeführt. Die Beklagte trifft daher materiell eine Unterlassungspflicht. Die Wiederholungsgefahr liegt aufgrund des festgestellten Verstoßes und der im Verfahren von der Beklagten vertretenen Rechtsposition ebenfalls vor.
[73] 5.4. Im Ergebnis erweist sich die Revision des Klägers zu Punkt 6 des Klagebegehrens als berechtigt.
6. Zu Punkt 8 des Klagebegehrens
6.1. Vorbringen und Verfahrensgang
[74] Mit Punkt 8 des Klagebegehrens soll der Beklagten die „Verwendung der Daten des Klägers bezüglich des Besuchs bzw der Nutzung von Drittseiten (insbesondere durch den Einsatz von 'Social Plugins' und ähnlicher Techniken)“ untersagt werden, sofern technische Daten nicht alleine zum Zweck der Anzeige von Webseitenelementen verarbeitet werden und soweit der Kläger nicht in näher beschriebener Art und Weise einem spezifischen Verarbeitungsvorgang zugestimmt hat.
[75] Der Kläger brachte zusammengefasst vor, die Beklagte beschaffe sich mittels Cookies und Social Plugins (auch: soziale Plugins) Daten darüber, welche Webseiten er zu welchen Zeitpunkten im Internet aufrufe. Sie verstoße dabei gegen die in Art 5 DSGVO verankerten Grundsätze der Zweckbindung, der Datenminimierung und der Datenverarbeitung nach Treu und Glauben, weil kein eindeutiger Zweck für die Datenerhebung festgelegt werde, die Daten von Umfang und Zeit her über das erforderliche Maß hinaus gespeichert würden und eine solche Datensammlung nicht rechtmäßig sei. Sie könne sich auf keinen Rechtfertigungsgrund des Art 6 Abs 1 DSGVO stützen. Der Kläger habe der Nutzung seiner personenbezogenen Daten, die über Cookies, Social Plugins und vergleichbare Technologien gesammelt würden, nicht zugestimmt.
[76] Die Beklagte sei für die Gewinnung von Daten aus Social Plugins neben der Betreiberin einer Webseite, die Plugins einbinde, ebenfalls als Verantwortliche im Sinn der DSGVO anzusehen. Sie sei auch die datenschutzrechtlich Verantwortliche für die Verarbeitung der durch Social Plugins und ähnliche Techniken erhobenen Daten. Sie habe nicht dargetan, auf welcher vermeintlichen Rechtsgrundlage sie Social Plugins und die über Social Plugins gewonnenen Daten verarbeite.
[77] Die Beklagte gehe zu Unrecht davon aus, dass der Kläger dem Setzen von Cookies dadurch zugestimmt habe, dass er den F* Dienst weiter genutzt habe, nachdem das CookieBanner eingeblendet worden sei. Er habe das Setzen von Cookies nicht akzeptiert und berufe sich dazu neben der DSGVO auf § 96 Abs 3 TKG 2003 (vgl nunmehr § 165 TKG 2021). Nach der Entscheidung C 673/17, Planet 49 , des EUGH bestehe eine Einwilligungspflicht für den Einsatz aller technisch nicht notwendigen Cookies, wozu das Einblenden des Cookie Banners nicht ausreiche. Beim Einsatz sogenannter „Datr Cookies“ erfolge eine Datenverarbeitung in Form der Verfolgung des Surfverhaltens sogar dann, wenn der Kläger nicht auf dem F* Dienst eingeloggt sei. Dies gehe über den Zweck der Zurverfügungstellung personalisierter und maßgeschneiderter F* Produkte hinaus. Der Kläger verlange nicht, den Einsatz von Cookies einzustellen, sondern, eine Einwilligung einzuholen oder die Verarbeitung zu rechtswidrigen Zwecken zu unterlassen.
[78] Die Beklagte beanstandete das Klagebegehren Punkt 8 als unbestimmt, weil es unüberprüfbare Bedingungen enthalte. Sie stütze sich für die Bearbeitung personenbezogener Daten, die sie aus Cookies, Social Plugins und Pixels erhalte, nur insoweit auf eine Einwilligung, als die Verarbeitung das Personalisieren von Werbung bezwecke. Da der Kläger keine Einwilligung dazu erteilt habe, verarbeite sie die aus diesen Quellen stammenden Daten des Klägers auch nicht zu diesem Zweck. Für andere Zwecke, für die sie personenbezogene Daten aus Cookies, Social Plugins und Pixels verarbeite – um ihre Dienste bereitzustellen und zu personalisieren und die F* Produkte zu verbessern sowie zur Förderung von Schutz, Integrität und Sicherheit –, stütze sie sich als Rechtsgrundlage auf die Notwendigkeit zur Vertragserfüllung.
[79] Der Kläger wende sich offenkundig nicht gegen die Platzierung von Cookies durch die Beklagte, sondern nur gegen die Verarbeitung seiner aus Cookies, Social Plugins und Pixels erhaltenen personenbezogenen Daten. Für „bestimmte Verarbeitungstätigkeiten im Zusammenhang mit Daten von Cookies, Social Plugins und Pixels“ verarbeite die Beklagte Daten allerdings nur als Auftragsverarbeiter für „Webseiten, Anwendungen, Werbetreibende und andere Geschäftspartner“, die die Daten im Rahmen von F* Business Tools übermittelten. Nach den Nutzungsbedingungen für F* Business Tools seien Werbetreibende, die personenbezogene Daten, einschließlich Daten „von“ Cookies, Social Plugins und Pixels, zum Zweck von Messungen und Analysediensten an die Beklagte sendeten, datenschutzrechtlich Verantwortliche, die Beklagte nur deren Auftragsverarbeiterin. Da das Klagebegehren auf behauptete Pflichten der Beklagten als Verantwortliche gestützt sei, sei es insofern zu weit gefasst und abzuweisen. Darüber hinaus sei die Erfüllung unmöglich, weil das Funktionieren des Internets von Cookies abhänge.
[80] In seiner Revision stützt sich der Kläger im Wesentlichen auf die bereits im erstinstanzlichen Verfahren vorgetragenen Argumente.
6.2. Auslegung des Begehrens
[81] 6.2.1. Ein Begehren ist immer so zu verstehen, wie es im Zusammenhalt mit dem Vorbringen tatsächlicher Art von der Partei gemeint war ( RS0041254[T20]). Dabei ist nicht nur der Wortlaut des Begehrens, sondern auch das erkennbare Rechtsschutzziel der Klage zu beachten (6 Ob 35/15p; RS0039010 [T3]; RS0041254 [T36]).
[82] 6.2.2. Im vorliegenden Fall ist das vom Kläger formulierte Unterlassungsbegehren bei isolierter Betrachtung des Wortlauts insofern auslegungsbedürftig, als aus der Formulierung „die Verwendung der Daten bezüglichdes Besuchs bzw der Nutzung von Drittseiten“ die Art der begehrten Unterlassung nicht mit der für das Exekutionsverfahren gemäß § 7 EO erforderlichen Bestimmtheit (vgl RS0000878 [T1]; RS0000466 [T2]) hervorgeht. Aus der Zusammenschau des zu Punkt 8 formulierten Klagebegehrens mit dem dazu erstatteten Vorbringen des Klägers ergibt sich allerdings eindeutig, worauf das Rechtsschutzziel des Klägers gerichtet ist: Er wendet sich gegen jegliche Verarbeitung seiner personenbezogenen Daten, die der Beklagten im Zuge des Besuchs und/oder der Nutzung von Webseiten Dritter durch den Kläger insbesondere durch den Einsatz von sozialen Plugins und ähnlichen Techniken zufließen, sofern nicht eine der beiden von ihm formulierten Ausnahmen – Verarbeitung technischer Daten ausschließlich zum Zweck der Anzeige von Webseitenelementen oder qualifizierte Zustimmung – erfüllt sind.
[83] Dieser Bedeutungsinhalt ist der Prüfung der Berechtigung des Begehrens zugrunde zu legen.
6.3. Qualifikation als Verantwortliche
[84] 6.3.1. Die Beklagte steht auf dem Standpunkt, sie sei für bestimmte – allerdings nicht konkret beschriebene – Verarbeitungen der ihr auf die in Punkt 8 des Klagebegehrens bezeichnete Weise zugekommenen Daten nicht als Verantwortliche zu qualifizieren. Dies trifft nicht zu:
[85] 6.3.2. Der EuGH hatte in der Entscheidung C 40/17, Fashion ID , zu dem auch im vorliegenden Verfahren gegenständlichen Vorgang des Einbindens von sozialen Plugins der Anbieterin des F* Dienstes in die von beliebigen Unternehmen betriebenen Webseiten (vgl die Darstellung des tatsächlichen Vorgangs in C 40/17, Fashion ID , Rz 26) im Hinblick auf die Qualifikation der beteiligten Akteure als datenschutzrechtlich Verantwortliche Stellung zu nehmen.
[86] Dass diese Entscheidung noch zur Richtlinie 95/46/EG (Datenschutzrichtlinie), die mit Wirkung zum 25. 5. 2018 aufgehoben und durch die DSGVO ersetzt wurde, erging (vgl EuGH C 40/17, Fashion ID , Rz 3), steht der Maßgeblichkeit der vom EuGH getroffenen Klarstellungen zur Verantwortlichen-Stellung für den vorliegenden Rechtsstreit nicht entgegen, weil die Definition des „für die Verarbeitung Verantwortliche[n]“ gemäß Art 2 lit d der Richtlinie 95/46/EG der Definition des „Verantwortlichen“ in Art 4 Z 7 DSGVO entspricht.
[87] Der EuGH führte aus, der Begriff des „für die Verarbeitung Verantwortlichen“ sei weit definiert, um einen wirksamen und umfassenden Schutz der betroffenen Person zu gewährleisten (Rz 65 f). Den durch die Einbindung eines sozialen Plugins der (hier) Beklagten in die Webseite eines dritten Webseiten Betreibers ausgelösten Vorgang des Zuflusses personenbezogener Daten der Besucher der Dritt Webseite an die (hier) Beklagte qualifizierte der EuGH als Verarbeitung personenbezogener Daten, konkret des Erhebens und der Weitergabe personenbezogener Daten, für die die Anbieterin des sozialen Plugins (das ist im vorliegenden Verfahren die Beklagte) und die Webseiten Anbieterin gemeinsam über Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheiden (Rz 76, 82). Hingegen erfolge die weitere Verarbeitung der so erhobenen personenbezogenen Daten (nach dem dort zu beurteilenden Sachverhalt) so, dass die Anbieterin der Dritt Webseite nicht mehr über deren Zwecke und Mittel entscheide, sondern nur noch die (hier) Beklagte (Rz 76).
[88] 6.3.3. Dass die Beklagte im vorliegenden Fall die mittels sozialer Plugins und ähnlicher Technologien erhobenen personenbezogenen Daten als Verantwortliche iSd Art 4 Z 7 DSGVO verarbeitet – also über die Zwecke und Mittel der Verarbeitung entscheidet – ergibt sich aus den Feststellungen, nach denen die über Cookies, soziale Plugins und vergleichbare Technologien auf Webseiten Dritter erlangten personenbezogenen Daten des Klägers von ihr gespeichert und zu den festgestellten Zwecken der Personalisierung, der Verbesserung der F*-Produkte, „zur Förderung von Schutz, Integrität und Sicherheit“ sowie dazu verwendet werden, dem Kläger Veranstaltungen anzubieten.
[89] Die Beklagte ist daher hinsichtlich des Erhebens, der Übermittlung und der weiteren Verarbeitung jener personenbezogenen Daten des Klägers, die sie mittels ihrer sozialen Plugins und ähnlicher Technologien im Zuge von Besuchen oder Aktivitäten des Klägers auf Webseiten dritter Anbieter erlangt, als Verantwortliche iSd Art 4 Z 7 DSGVO anzusehen.
[90] Darauf, ob die Beklagte die von ihr auf die beschriebene Art und Weise (sohin als Verantwortliche) erlangten Daten danach in einzelnen Fällen im Auftrag eines anderen Verantwortlichen, sohin als Auftragsverarbeiter iSd Art 4 Z 8 DSGVO verarbeitet, kommt es für die Berechtigung des Unterlassungsbegehrens aufgrund der festgestellten Verstöße der Beklagten gegen ihre Unterlassungspflicht (dazu sogleich) nicht an.
6.4. Zur Rechtmäßigkeit der Verarbeitung laut Punkt 8 des Klagebegehrens
[91] 6.4.1. Wie bereits ausgeführt, werden Unterlassungsansprüche durch das Vorliegen einer Unterlassungspflicht und die Gefahr, dass dieser Unterlassungspflicht zuwidergehandelt wird, charakterisiert (vgl RS0037660 [T7]), wobei ein erfolgter Verstoß gegen die Unterlassungspflicht die Wiederholungsgefahr indiziert (vgl RS0080065 ).
[92] Zur Beurteilung der Berechtigung des zu Punkt 8 geltend gemachten Klagebegehrens ist daher zu prüfen, ob die Beklagte zur Durchführung der mit Punkt 8 des Klagebegehrens beanstandeten Datenverarbeitungen berechtigt ist oder ob sie insofern eine Unterlassungspflicht trifft.
[93] 6.4.2. Die Beklagte leitet die Berechtigung der in Punkt 8 des Klagebegehrens beschriebenen Datenverarbeitungen aus Art 6 Abs 1 lit b DSGVO ab. Dieser Tatbestand kann die hier zu prüfenden Verarbeitungen allerdings im vorliegenden Fall nicht rechtfertigen, weil es – wie im Folgenden ausgeführt – an der Erfüllung eines hier erforderlichen Erlaubnistatbestands gemäß Art 9 Abs 2 DSGVO fehlt.
[94] 6.4.2.1. Neben den allgemeinen Erlaubnistatbeständen des Art 6 Abs 1 DSGVO gelten für die Zulässigkeit der Verarbeitung besonderer Kategorien personenbezogener Daten zusätzliche Kautelen. Bei den personenbezogenen Daten besonderer Kategorien gemäß Art 9 DSGVO handelt es sich unter anderem um Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen oder religiöse Überzeugungen hervorgehen, sowie um Gesundheitsdaten und Daten zum Sexualleben oder zur sexuellen Orientierung einer natürlichen Person (EuGH C 252/21, Meta Platforms ua gegen Bundeskartellamt , Rz 67).
[95] Maßgeblich für die Anwendung von Art 9 Abs 1 DSGVO ist im Fall einer Verarbeitung personenbezogener Daten durch den Betreiber eines sozialen Online-Netzwerks, ob diese Daten die Offenlegung von Informationen ermöglichen, die unter eine der in dieser Bestimmung genannten Kategorien fallen. Ist dies der Fall, ist eine solche Verarbeitung personenbezogener Daten vorbehaltlich der in Art 9 Abs 2 DSGVO vorgesehenen Ausnahmen untersagt (EuGH C 252/21, Meta Platforms ua gegen Bundeskartellamt , Rz 68; C 446/21, Maximilian Schrems gegen Meta Platforms Ireland , Rz 72). Dieses in Art 9 Abs 1 DSGVO vorgesehene grundsätzliche Verbot gilt unabhängig davon, ob die durch die fragliche Verarbeitung offengelegte Information richtig ist oder nicht und ob der Verantwortliche mit dem Ziel handelt, Informationen zu erhalten, die unter eine der in dieser Bestimmung genannten besonderen Kategorien fallen (EuGH C 252/21, Meta Platforms ua gegen Bundeskartellamt , Rz 69; C 446/21, Maximilian Schrems gegen Meta Platforms Ireland , Rz 73).
[96] Der EuGH geht zudem davon aus, dass in bestimmten Fällen schon die Verarbeitung der Daten über den Aufruf der fraglichen Websites oder Apps solche Informationen offenbaren können, ohne dass die Nutzer dort Informationen eingeben müssen, indem sie sich registrieren oder Online-Bestellungen aufgeben (EuGH C 252/21, Meta Platforms ua gegen Bundeskartellamt , Rz 72).
[97] Zusammengefasst ist Art 9 Abs 1 DSGVO demnach dahin auszulegen, dass in dem Fall, dass ein Nutzer eines sozialen Online Netzwerks Websites oder Apps mit Bezug zu einer oder mehreren der in dieser Bestimmung genannten Kategorien aufruft und dort gegebenenfalls Daten eingibt, indem er sich registriert oder Online Bestellungen aufgibt, die Verarbeitung personenbezogener Daten durch den Betreiber dieses sozialen Online Netzwerks, die darin besteht, dass dieser Betreiber die aus dem Aufruf dieser Websites und Apps stammenden Daten sowie die vom Nutzer eingegebenen Daten über integrierte Schnittstellen, Cookies oder ähnliche Speichertechnologien erhebt, die Gesamtheit dieser Daten mit dem jeweiligen Nutzerkonto des sozialen Netzwerks verknüpft und diese Daten verwendet, als eine „Verarbeitung besonderer Kategorien personenbezogener Daten“ im Sinn dieser Bestimmung anzusehen ist, die vorbehaltlich der in Art 9 Abs 2 DSGVO vorgesehenen Ausnahmen grundsätzlich untersagt ist, wenn diese Datenverarbeitung die Offenlegung von Informationen ermöglicht, die in eine dieser Kategorien fallen, unabhängig davon, ob diese Informationen einen Nutzer dieses Netzwerks oder eine andere natürliche Person betreffen (EuGH C 252/21, Meta Platforms ua gegen Bundeskartellamt , Rz 73).
[98] 6.4.2.2. Im vorliegenden Fall steht fest, dass soziale Plugins der Beklagten auch in die Webseiten von politischen Parteien, auf medizinischen Seiten oder auf Seiten für Homosexuelle, die der Kläger besuchte, eingebunden sind, dass die Beklagte die über Cookies, soziale Plugins und vergleichbare Technologien auf Webseiten Dritter erlangten personenbezogenen Daten des Klägers – daher auch die auf den Webseiten politischer Parteien, auf Webseiten zu Gesundheitsthemen und auf Webseiten, die spezifisch ein homosexuelles Publikum adressieren, erlangten personenbezogenen Daten des Klägers – verarbeitete und unter anderem zur Personalisierung ihres Dienstes verwendete. Es erfolgte demnach die auch in der Entscheidung des EuGH C 252/21 angesprochene Verknüpfung mit dem Benutzerkonto. Darüber hinaus steht fest, dass die Datenverarbeitung insofern nicht zwischen „einfachen“ und „sensiblen“ personenbezogenen Daten unterscheidet, als sie nicht extrahiert, ob Daten sensibel sind oder nicht.
[99] Aus diesen Feststellungen ergibt sich, dass die Beklagte nicht mit dem Ziel handelte, personenbezogene Daten des Klägers, die in die in Art 9 Abs 1 DSGVO genannten besonderen Kategorien fallen, zu erlangen oder herauszufiltern. Daraus folgt aber auf rechtlicher Ebene nicht, wie die Beklagte vertritt, dass Art 9 DSGVO auf diese – unterschiedslose, aber sensible Daten objektiv umfassende – Verarbeitung unanwendbar sei. Vielmehr ist der gesamte hier in Rede stehende Verarbeitungsvorgang als „Verarbeitung besonderer Kategorien personenbezogener Daten“ zu beurteilen (vgl EuGH C 252/21, Meta Platforms ua gegen Bundeskartellamt , Rz 73).
[100] 6.4.3. Ein dem Erlaubnistatbestand der Notwendigkeit für die Vertragserfüllung (Art 6 Abs 1 lit b DSGVO) entsprechender Rechtfertigungsgrund ist in Art 9 Abs 2 DSGVO für die Verarbeitung besonderer Kategorien personenbezogener Daten nicht vorgesehen.
[101] Die zu Punkt 8 des Klagebegehrens zu prüfende Datenverarbeitung könnte daher selbst dann, wenn die Voraussetzungen des Art 6 Abs 1 lit b DSGVO erfüllt wären, allein dadurch nicht gerechtfertigt sein.
[102] Solange nicht einer der Erlaubnistatbestände des Art 9 Abs 2 DSGVO erfüllt ist, ist daher das Vorliegen der Voraussetzungen des Art 6 Abs 1 lit b DSGVO für die Beurteilung der Berechtigung von Punkt 8 des Klagebegehrens nicht relevant und kann dahinstehen. Nur wenn die Voraussetzungen eines Tatbestands nach Art 9 Abs 2 DSGVO vorliegen, ist auch das Vorliegen der allgemeinen Verarbeitungsvoraussetzungen des Art 6 Abs 1 DSGVO zu beachten (vgl RS0132791 ).
[103] 6.4.4. Hinsichtlich der in Art 9 Abs 2 DSGVO normierten Rechtfertigungsgründe ist nicht strittig, dass der Kläger keine Einwilligung zur Verarbeitung jener Daten erteilt hat, die die Beklagte in ihren Nutzungsbedingungen als „Daten mit besonderem Schutz“ bezeichnet und unter die sie unter anderem personenbezogene Daten über politische Meinungen, Gesundheitsdaten und Daten zur sexuellen Orientierung einer Person (in der Diktion ihrer Nutzungsbedingungen „deine politische Meinung, an wem du 'interessiert' bist oder deine Gesundheit“) zählt.
[104] Es liegt daher keine Einwilligung des Klägers zur Verarbeitung seiner personenbezogenen Daten der genannten besonderen Kategorien des Art 9 Abs 1 DSGVO im Sinn des Rechtfertigungstatbestands des Art 9 Abs 2 lit a DSGVO vor.
[105] 6.4.5. Auch der Rechtfertigungsgrund des Art 9 Abs 2 lit e DSGVO ist nicht erfüllt. Demnach gilt das in Art 9 Abs 1 DSGVO aufgestellte grundsätzliche Verbot jeder Verarbeitung besonderer Kategorien personenbezogener Daten nicht, wenn sich die Verarbeitung auf personenbezogene Daten bezieht, die „die betroffene Person offensichtlich öffentlich gemacht hat“.
[106] 6.4.5.1. Diese – wie alle Ausnahmen vom Grundsatz des Verbots der Verarbeitung besonderer Kategorien personenbezogener Daten eng auszulegende (EuGH C 252/21, Meta Platforms ua gegen Bundeskartellamt , Rz 76) – Norm verlangt die Prüfung, ob die betroffene Person die Absicht hatte, die fraglichen personenbezogenen Daten ausdrücklich und durch eine eindeutig bestätigende Handlung der breiten Öffentlichkeit zugänglich zu machen (EuGH C 252/21, Meta Platforms ua gegen Bundeskartellamt , Rz 77).
[107] Der Aufruf von Webseiten oder Apps mit Bezug zu einer oder mehreren der in Art 9 Abs 1 DSGVO genannten Kategorien reicht nicht aus, um die diesen Aufruf betreffenden Daten, die der Betreiber des sozialen Online-Netzwerks über Cookies oder ähnliche Speichertechnologien erhebt, iSd Art 9 Abs 2 lit e DSGVO öffentlich zu machen (vgl EuGH C 252/21, Meta Platforms ua gegen Bundeskartellamt , Rz 78 f, 84).
[108] In Bezug auf Handlungen, die darin bestehen, Daten auf diesen Websites oder in diesen Apps einzugeben und darin eingebundene Schaltflächen zu betätigen – wie etwa „Gefällt mir“ oder „Teilen“ oder Schaltflächen, die es dem Nutzer ermöglichen, sich auf einer Website oder in einer App unter Verwendung der Anmeldedaten, die mit seinem F* Nutzerkonto, seiner Telefonnummer oder seiner E Mail-Adresse verknüpft sind, zu identifizieren –, weist der EuGH darauf hin, dass mit diesen Handlungen eine Interaktion zwischen dem Nutzer und der betreffenden Webseite oder App und gegebenenfalls der Webseite des sozialen Online-Netzwerks einhergeht, wobei die Öffentlichkeit dieser Interaktion unterschiedliche Formen annehmen kann, da der Nutzer insoweit individuelle Einstellungen vornehmen kann (EuGH C 252/21, Meta Platforms ua gegen Bundeskartellamt , Rz 81). Haben die betreffenden Nutzer tatsächlich eine solche Wahl, so kann, wenn sie Daten aus freien Stücken auf einer Website oder in einer App eingeben oder darin eingebundene Schaltflächen betätigen, nur dann davon ausgegangen werden, dass sie iSv Art 9 Abs 2 lit e DSGVO Daten, die sie betreffen, offensichtlich öffentlich machen, wenn sie durch in voller Kenntnis der Sachlage vorgenommene individuelle Einstellungen klar ihre Entscheidung zum Ausdruck gebracht haben, dass diese Daten einer unbegrenzten Zahl von Personen zugänglich gemacht werden sollen (EuGH C 252/21, Meta Platforms ua gegen Bundeskartellamt , Rz 82).
[109] Werden solche individuellen Einstellungen nicht angeboten, ist hingegen davon auszugehen, dass Nutzer, wenn sie Daten freiwillig auf einer Webseite oder in einer App eingeben oder darin eingebundene Schaltflächen betätigen, diese Daten nur dann offensichtlich öffentlich gemacht haben, wenn sie auf der Grundlage einer auf dieser Website bzw in dieser App erteilten expliziten Information vor einer solchen Eingabe bzw Betätigung ausdrücklich darin eingewilligt haben, dass die Daten von jeder Person, die Zugang zu dieser Webseite bzw App hat, eingesehen werden können (EuGH C 252/21, Meta Platforms ua gegen Bundeskartellamt , Rz 83).
[110] 6.4.5.2. Handlungen des Klägers, durch die er beim Aufruf von Webseiten, die einen Bezug zu besonderen Kategorien personenbezogener Daten haben, seinen Willen zur Öffentlich Machung der sich aus dem Besuch solcher Webseiten ergebenden personenbezogenen Daten in der vom EuGH geforderten Art und Weise durch individuelle Einstellungen zum Ausdruck gebracht hätte, liegen nach dem festgestellten Sachverhalt nicht vor. Derartige Handlungen sind nach den Feststellungen auch nicht Voraussetzung dafür, dass die Beklagte im Weg der Einbindung ihrer sozialen Plugins in die Webseiten Dritter unterschiedslos auch „sensible“ personenbezogene Daten des Klägers erhebt und auf andere Weise verarbeitet.
[111] 6.4.5.3. Sofern die betroffene Person Daten zu ihrer sexuellen Orientierung offensichtlich öffentlich gemacht hat – was bei der Äußerung über die eigene sexuelle Orientierung bei einer öffentlich zugänglichen Podiumsdiskussion, deren Aufzeichnung später als Podcast und in einem Youtube Kanal veröffentlicht werden sollte, nicht auszuschließen ist (vgl C 446/21, Maximilian Schrems gegen Meta Platforms Ireland , Rz 78 f) – führt dies zwar dazu, dass diese Daten abweichend vom Verbot gemäß Art 9 Abs 1 DSGVO und im Einklang mit den Anforderungen, die sich aus den anderen Bestimmungen der DSGVO ergeben, verarbeitet werden können (C 446/21, Maximilian Schrems gegen Meta Platforms Ireland , Rz 80).
[112] Dieser Umstand allein berechtigt jedoch nicht dazu, andere personenbezogene Daten zu verarbeiten, die sich auf die sexuelle Orientierung dieser Person beziehen (C 446/21, Maximilian Schrems gegen Meta Platforms Ireland , Rz 88, vgl Rz 82).
[113] 6.4.5.4. Im vorliegenden Fall steht fest, dass in der Liste der Beklagten über die Aktivitäten des Klägers außerhalb von F* unter anderem Apps oder Webseiten von zwei auf ein homosexuelles Publikum abzielenden Dating Plattformen sowie die Webseite einer politischen Partei aufscheinen.
[114] In der Verarbeitung – worunter bereits die hier stattgefundene Speicherung fällt – der Informationen, dass der Kläger Webseiten oder Apps von solchen Dating Plattformen aufrief, liegt eine Verarbeitung personenbezogener Daten des Klägers, bei denen es sich im Sinn der dargestellten Rechtsprechung des EuGH um „andere“ personenbezogenen Daten zum Sexualleben oder der sexuellen Orientierung des Klägers handelt als bei seiner „bloßen“ sexuellen Orientierung. Dass der Kläger seine Homosexualität gegenüber der Öffentlichkeit kommuniziert, berechtigte die Beklagte daher nicht zur Speicherung und allenfalls weiteren Verarbeitung der personenbezogenen Daten des Klägers, die darüber Auskunft geben, dass er (auf homosexuelle Personen ausgerichtete) Dating Plattformen aufsuchte.
[115] Darin liegt eine nicht vom Rechtfertigungsgrund des Art 9 Abs 2 lit e DSGVO erfasste Verarbeitung personenbezogener Daten besonderer Kategorien des Klägers.
[116] Der Rechtfertigungsgrund des Art 9 Abs 2 lit e DSGVO deckt darüber hinaus nicht die Speicherung des personenbezogenen Datums über den Aufruf der Webseite einer politischen Partei durch den Kläger.
[117] 6.4.6. Einen anderen Erlaubnistatbestand des Art 9 Abs 2 DSGVO hat die Beklagte nicht in Anspruch genommen.
[118] 6.4.7. Da die zu Punkt 8 des Klagebegehrens zu beurteilende Datenverarbeitung nach der Rechtsprechung des EuGH insgesamt – ohne nach den einzelnen verarbeiteten personenbezogenen Daten hinsichtlich ihrer Qualifikation als „einfache“ oder „sensible“ personenbezogene Daten zu differenzieren – als „Verarbeitung besonderer Kategorien personenbezogener Daten“ zu qualifizieren ist (vgl EuGH C 252/21, Meta Platforms ua gegen Bundeskartellamt , Rz 73), führt der Umstand, dass jedenfalls hinsichtlich eines Teils der unter Art 9 DSGVO fallenden personenbezogenen Daten des Klägers kein die Verarbeitung deckender Rechtfertigungsgrund des Art 9 Abs 2 DSGVO gegeben ist, dazu, dass die gesamte Verarbeitung als unzulässig anzusehen ist. Eine Aufspaltung des Gesamtvorgangs in einzelne Verarbeitungsvorgänge und unterschiedliche Datenkategorien lehnt der EuGH bei einem derartigen Gesamtvorgang ausdrücklich ab (C 252/21, Meta Platforms ua gegen Bundeskartellamt , Rz 73).
[119] 6.4.8. Im Ergebnis erweist sich die zu Punkt 8 des Klagebegehrens beschriebene Datenverarbeitung aus den dargelegten Erwägungen als unzulässig .
[120] 6.4.9.1. Der Umstand, dass die Beklagte die durch den Einsatz sozialer Plugins und vergleichbarer Techniken aufgrund des Besuchs von Drittseiten durch den Kläger gewonnenen personenbezogenen Daten des Klägers nicht zum Zweck der Personalisierung von Werbung verarbeitete, steht der Berechtigung des geltend gemachten Unterlassungsanspruchs nicht entgegen, weil die Verarbeitung zu anderen Zwecken festgestellt ist.
[121] 6.4.9.2. Aufgrund der sich aus dem Sachverhalt ergebenden Verstöße gegen die Unterlassungspflicht kann dem Unterlassungsgebot auch nicht erfolgreich entgegengehalten werden, wenn es zutreffen sollte, dass die Beklagte hinsichtlich einzelner Verarbeitungen der personenbezogenen Daten des Klägers, die sie auf die in Punkt 8 des Klagebegehrens beschriebene Art und Weise (daher als Verantwortliche iSd Art 4 Z 8 DSGVO) erhoben hat, in der Folge als Auftragsverarbeiterin iSd Art 4 Z 9 DSGVO tätig geworden sein sollte.
[122]Es bedarf diesbezüglich auch keiner Einschränkung des Unterlassungsgebots, weil allfällige Rechtfertigungsgründe und daraus resultierende Einschränkungen des Unterlassungsauftrags bereits von Gesetzes wegen bestehen und gegebenenfalls aus Anlass einer Exekutionsführung vom Gericht überprüft werden müssen (RS0114017; 6 Ob 16/21b Rz 27).
[123] 6.4.10. Der Verstoß gegen die Unterlassungspflicht sowie die Rechtsposition der Beklagten im Verfahren begründen die Wiederholungsgefahr . Der zu Punkt 8 des Klagebegehrens geltend gemachte Unterlassungsanspruch besteht daher zu Recht (zur Formulierung des Unterlassungsgebots siehe unten).
[124] 6.4.11. Dass der Kläger die Verarbeitung technischer Daten alleine zum Zweck der Anzeige von Webseitenelementen von seinem Unterlassungsbegehren ausnahm , liegt innerhalb der ihm aufgrund des Dispositionsgrundsatzes zustehenden Freiheit, den Umfang seines Sachantrags selbst zu bestimmen (vgl nur Fucik in Fasching/Konecny, Zivilprozessgesetze³ § 405 ZPO Rz 1).
[125] 6.4.12. Die zweite, eindeutig alternativ zu verstehende Ausnahme vom Unterlassungsgebot soll nach dem Urteilsantrag dann greifen, wenn der Kläger „ohne jeden Zweifel, frei, informiert und eindeutig vorab einem spezifischen Verarbeitungsvorgang zugestimmt hat ('Opt in'; zB durch Anklicken eines 'Social Plugins')“.
[126] Damit nimmt der Urteilsantrag offenkundig auf die Voraussetzungen einer wirksamen Einwilligung gemäß Art 4 Z 11, Art 6 Abs 1 lit a DSGVO Bezug. So versteht Art 4 Z 11 DSGVO unter einer Einwilligung der betroffenen Person jede „freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist“. Die Einwilligung muss zudem vor Beginn der Verarbeitung der personenbezogenen Daten, für die die Einwilligung benötigt wird, durch den Verantwortlichen eingeholt werden ( Kastelitz/Hötzendorfer/Tschohl , Der DatKomm [39. Lfg 2020] Art 6 DSGVO Rz 31; Buchner/Kühling in Kühling/Buchner , Datenschutz Grundverordnung/BDSG 4 [2024] Art 7 Rz 30).
[127] Dass diese Bedingungen unüberprüfbar sein sollten, wie die Beklagte meint, ist nicht nachvollziehbar.
[128] 6.4.13. Soweit die Beklagte vorbrachte, Punkt 8 des Klagebegehrens sei abzuweisen, weil das Funktionieren des Internets von Cookies abhänge und es deshalb unmöglich sei, dem Begehren zu entsprechen, ist klarzustellen, dass sich der Kläger nicht schlechthin gegen den Einsatz von Cookies wendet, sondern gegen die Verarbeitung seiner aus dem Besuch von Webseiten dritter Anbieter in bestimmter Weise gewonnener personenbezogener Daten ohne Vorliegen einer qualifizierten Einwilligung.
6.5. Zur Fassung des Unterlassungsbegehrens
[129]6.5.1. Das Gericht darf dem Urteilsspruch eine klare und deutliche, vom Begehren abweichende Fassung geben, wenn sich letztere im Wesentlichen mit dem Begehren deckt (RS0039357). Das Klagebegehren ist nämlich so zu verstehen, wie es im Zusammenhalt mit der Klageerzählung vom Kläger gemeint ist; das Gericht hat ein nur versehentlich unrichtig formuliertes Begehren richtig zu fassen ( RS0037440 ). Maßgeblich ist, welchen Ausspruch des Gerichts der Kläger im Zusammenhalt mit dem Sachvorbringen seinem Sinngehalt nach begehrt ( RS0041165 [T3]). Das Gericht ist insoweit in der Regel zur Verdeutlichung nicht nur berechtigt, sondern sogar verpflichtet; dies gilt insbesondere dort, wo sonst die Vollstreckbarkeit des Urteils gefährdet wäre ( RS0041254 [T17]; vgl RS0039357 [T24]). Eine amtswegige deutlichere Fassung des Urteilsspruchs kann auch noch im Rechtsmittelverfahren durch den Obersten Gerichtshof erfolgen ( RS0039357 [T6]).
[130] 6.5.2. Wie bereits ausgeführt, wendet sich der Kläger gegen jegliche Verarbeitung seiner personenbezogenen Daten, die der Beklagten im Zuge des Besuchs und/oder der Nutzung von Webseiten Dritter durch den Kläger, insbesondere durch den Einsatz von sozialen Plugins und ähnlichen Techniken zufließen, sofern nicht eine der beiden von ihm formulierten Ausnahmen – Verarbeitung technischer Daten ausschließlich zum Zweck der Anzeige von Webseitenelementen oder qualifizierte Zustimmung – erfüllt sind.
[131] Im vorliegenden Fall ist das Klagebegehren entsprechend diesem Rechtsschutzziel des Klägers dahin zu verdeutlichen, dass der Beklagten aufgetragen wird, die Verwendung personenbezogener Daten des Klägers, die sie aus dem Besuch und/oder der Nutzung von Webseiten Dritter durch den Kläger, insbesondere durch den Einsatz von „Social Plugins“ und ähnlichen Techniken, erlangt, zu unterlassen, sofern nicht die beiden angegebenen Ausnahmen erfüllt sind.
[132] Die unpräzise Formulierung, die auf Daten „bezüglich“ des Besuchs und der Nutzung von Drittseiten abstellte, wird damit klargestellt. Die Hinweise auf die „sonstige Exekution“ und die Zukunftsgerichtetheit des Unterlassungsgebots (vgl nur 4 Ob 4/22z Rz 28) können entfallen, ohne dass dadurch eine inhaltliche Änderung einträte. Die beiden vom Kläger formulierten Ausnahmen vom Unterlassungsgebot sind durch das Wort „oder“ anstatt „und“ zu verbinden, weil aus seinem Vorbringen eindeutig hervorgeht, dass er zwei voneinander unabhängige Konstellationen – die Datenübermittlung rein aus bestimmten technischen Gründen einerseits, die qualifizierte Zustimmung andererseits – aus der Unterlassungspflicht ausgenommen wissen will.
[133] 6.6. Im Ergebnis ist die Revision des Klägers zu Punkt 8 des Klagebegehrens im Sinn des aus dem Spruch ersichtlichen, verdeutlichten Unterlassungsgebots berechtigt.
7. Zu Punkt 9 des Klagebegehrens
7.1. Vorbringen und Verfahrensgang
[134] Mit Punkt 9 des Klagebegehrens soll der Beklagten verboten werden, personenbezogene Daten des Klägers, die die Beklagte von Dritten erhalten hat, für ihre eigenen Zwecke zu verarbeiten, sofern der Kläger einem spezifischen Verarbeitungsvorgang nicht in näher beschriebener Weise zugestimmt hat.
[135] Der Kläger brachte dazu nach zugelassener Klageänderung vor, die Beklagte beziehe personenbezogene Daten des Klägers sowohl von anderen Nutzern als auch von externen Datenanbietern und Werbepartnern. Dafür bestehe keine Rechtsgrundlage, weil der Kläger dafür keine Zustimmung erteilt habe, die Verarbeitung nicht zur Vertragserfüllung erforderlich sei und es keine überwiegenden berechtigten Interessen der Beklagten am Bezug personenbezogener Daten von Dritten gebe. Die eigenmächtige Nutzung der von anderen Nutzern auf dem F* Dienst gespeicherten Daten des Klägers durch die Beklagte sei rechtswidrig.
[136] Die Beklagte vertrat den Standpunkt, sie verarbeite personenbezogene Daten, die sie von Dritten erhalte, rechtmäßig zu den in ihrer Datenrichtlinie angeführten Zwecken. Mangels Zustimmung des Klägers nehme sie keine Verarbeitung solcher Daten zum Zweck der Personalisierung von Werbung vor. Für alle übrigen Verarbeitungen stütze sie sich auf Art 6 Abs 1 lit b DSGVO. Das Vorbringen des Klägers zu Punkt 9 des Klagebegehrens sei unklar, das Begehren sei wegen Unbestimmtheit abzuweisen. Dennoch werde vorgebracht, dass der Kläger die Rechte anderer F* Nutzer auf Meinungsäußerungs- und Informationsfreiheit nicht beschränken könne; er könne von der Beklagten, die als Host Provider zu qualifizieren sei, keine aktive Überwachung der von anderen Nutzern über den Kläger geposteten Informationen verlangen. Es sei daher unmöglich, der begehrten Unterlassung zu entsprechen.
[137] Das Berufungsgericht beurteilte die Verarbeitung als rechtmäßig nach Art 6 Abs 1 lit b DSGVO.
[138] In seiner Revision bringt der Kläger vor, das Begehren erfasse insbesondere Daten, die die Beklagte ohne Wissen des Klägers von Dritten, sowie Daten, die sie von anderen Nutzern über den Kläger erhalte, beispielsweise durch das Hochladen von Kontaktdaten oder Fotos des Klägers. „Für eigene Zwecke“ betreffe „in diesem Zusammenhang“ jeden anderen als den ursprünglichen Zweck, der beispielsweise im Teilen eines Fotos mit einem F* Freund bestanden habe. Das Begehren umfasse bereits das reine Sammeln, Speichern und sonstige Verarbeitung von Daten zu eigenen Zwecken der Beklagten. Es liege ein Verstoß gegen die Grundsätze der Zweckbindung und der Datenminimierung vor.
7.2. Bestimmtheit von Unterlassungsgeboten
[139]7.2.1. Unterlassungsgeboten darf zwar eine weitere Fassung gegeben werden, um Umgehungen nicht allzu leicht zu machen (RS0037607; RS0037733). Ein Unterlassungsgebot muss das verbotene Verhalten aber so deutlich umschreiben, dass es dem Beklagten als Richtschnur für sein künftiges Verhalten dienen kann. Diesem Erfordernis genügen nicht näher konkretisierte, allgemeine Begriffe nicht. Es muss in einer für das Gericht und die Parteien unverwechselbaren Weise feststehen, was geschuldet wird ( RS0119807 ). Dementsprechend ist es zulässig, die konkrete Verletzungshandlung zu nennen und das Verbot auf ähnliche Eingriffe zu erstrecken, oder das unzulässige Verhalten verallgemeinernd zu umschreiben und durch „insbesondere“ aufgezählte Einzelverbote zu verdeutlichen. Immer muss der Spruch aber den Kern der Verletzungshandlung erfassen ( RS0119807 [T5]; vgl RS0037733; 1 Ob 100/24y Rz 22; 8 Ob 137/21m mwN). Die Abgrenzungskriterien müssen derart bestimmt angegeben sein, dass es zu keiner Verlagerung des Rechtsstreits in das Exekutionsverfahren kommt ( RS0000878 [T7]).
[140] 7.2.2. Im vorliegenden Fall umschreibt der Kläger die Datenverarbeitungen, deren Unterlassung er zu Punkt 9 begehrt, unter Bezugnahme auf deren Zweckrichtung, nämlich Verarbeitungen „zu eigenen Zwecken“ der Beklagten. Eine weitere Konkretisierung, sei es durch Nennen der konkreten Verletzungshandlungen kombiniert mit dem Antrag, das Verbot auf ähnliche Eingriffe zu erstrecken, sei es durch eine verallgemeinernde Umschreibung des unzulässigen Verhaltens samt Verdeutlichung durch „insbesondere“ aufgezählte Einzelverbote, ist im Klagebegehren nicht enthalten.
[141] Wem die Zwecke der einzelnen von der Beklagten vorgenommenen Verarbeitungen der von Dritten erlangten personenbezogenen Daten dienen, um wessen Zwecke es sich also bei einzelnen Verarbeitungen handelt, hängt von der Auslegung des zwischen den Parteien bestehenden Vertragsverhältnisses hinsichtlich jeder in Zweifel gezogenen Verarbeitung ab. Würde das Unterlassungsgebot wie begehrt ohne nähere Konkretisierung erlassen werden, würde dadurch der Rechtsstreit über zahlreiche, im Vorhinein nicht eingegrenzte Fragen der Vertragsauslegung ins Exekutionsverfahren verlagert.
[142] Die Unbestimmtheit des Begehrens – die die Beklagte gerügt hat – kann auch nicht mittels einer deutlicheren Fassung des Urteilsspruchs durch das Gericht behoben werden (vgl RS0039357 ), weil hinsichtlich Punkt 9 des Begehrens nicht bloß eine Verdeutlichung des Gemeinten, sondern eine inhaltliche Determinierung des Begehrten vorzunehmen ist, was nicht Aufgabe des erkennenden Gerichts, sondern des Klägers ist.
[143] 7.3. Aus diesem Grund ist die Revision des Klägers gegen die Abweisung von Punkt 9 des Klagebegehrens nicht berechtigt.
B. Zur Revision der Beklagten
1. Vorbringen und Verfahrensgang
[144] 1.1. Der Kläger brachte zu Punkt 11 des Begehrens vor, die Beklagte habe seine Auskunftsersuchen unvollständig beantwortet. Zu seinem letzten Ersuchen 2019 habe sie ihn ausschließlich auf diverse Tools verwiesen. Diese stellten – wie er unter anderem durch den Vergleich mit früher gewährten Informationen erkennen könne – keine vollständige Auskunft zur Verfügung. Konkret habe ihn die Beklagte auf das „Zugriff auf deine Informationen-Tool“ und das „Deine Informationen Herunterladen Tool“ verwiesen. Er habe versucht, über diese Links an alle gemäß Art 15 DSGVO vorgesehenen Auskünfte zu gelangen. Er habe dabei 54 Links öffnen müssen, die auf weiter verzweigte Links verwiesen hätten. Er habe bereits für das Öffnen und Laden der Links mehrere Stunden gebraucht. Letztlich verfüge er nach wie vor nicht über alle nach Art 15 DSGVO geschuldeten Informationen. Unabhängig von der Unvollständigkeit der Auskunft sei bereits aufgrund der Form und Darstellungsweise nicht von einem rechtskonform erfüllten Auskunftsbegehren auszugehen. Der Verantwortliche müsse die Auskunft aufbereiten, um den Betroffenen einen Überblick in vertretbarer Zeit und mit vertretbarem Aufwand zu ermöglichen.
[145] Die Beklagte brachte vor, nach Inkrafttreten der DSGVO könne das zuvor gestellte Auskunftsbegehren des Klägers nicht erfolgreich sein. Nachdem der Kläger daraufhin im Jahr 2019 ein neues Auskunftsersuchen gestellt hatte, brachte sie vor, der Anspruch sei nicht berechtigt. Sie stelle dem Kläger „alle gemäß Art 15 DSGVO erforderlichen Informationen zur Verfügung“. Selbst wenn der Kläger „nun endlich“ ein „gültiges“ Auskunftsersuchen nach der DSGVO durchsetzen wolle, hätte er den in seinem Urteilsbegehren formulierten Anspruch nicht. Art 15 DSGVO sei in seinem Umfang eingeschränkter, als der Kläger dies wünsche. Es bestehe kein Recht auf „vollständige Auskunft“. Der Kläger habe, soweit für seine Ansprüche relevant, nur ein Recht auf Bestätigung, ob personenbezogene Daten verarbeitet würden oder nicht, und falls dies der Fall sei, Zugang zu den personenbezogenen Daten und den folgenden Informationen: Bearbeitungszwecke, Kategorien der betreffenden personenbezogenen Daten; Empfänger oder Kategorien von Empfängern, denen die personenbezogenen Daten offen gelegt worden seien, insbesondere bei Empfängern in Drittländern oder internationalen Organisationen; wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben worden seien, alle verfügbaren Informationen über die Herkunft der Daten. Zudem lasse der Kläger die Einschränkungen des Auskunftsrechts gemäß Art 15 Abs 4 und Art 12 Abs 5 DSGVO sowie die von Art 23 DSGVO den Mitgliedstaaten eingeräumte Möglichkeit, Ausnahmen vorzusehen, außer Acht. Welche allenfalls unter Art 23 DSGVO fallenden Bestimmungen des nationalen Rechts sie im Blick habe, konkretisierte die Beklagte nicht. Sie brachte vor, sie stelle ihren Nutzern „alle gemäß Art 15 DSGVO erforderlichen Informationen durch eine Vielzahl von produktinternen Tools“ zur Verfügung, die über das „Zugriff auf deine Daten Tool“ zugänglich seien. Diese beinhalteten das „Aktivitätenprotokoll“ und das „Deine Werbepräferenzen Tool“ zusammen mit „anderen unmittelbaren produktinternen Zugangspunkten wie dem 'Info' Abschnitt des Profils eines * Nutzers und 'Deine Fotos'“. Das „Zugriff auf deine Daten Tool“, das „Aktivitätenprotokoll“ und das „Deine Werbepräferenzen Tool“ bildeten gemeinsam die „Kern Tools“. Die Tools stellten einen umfassenden Zugang zu Daten und Informationen in Übereinstimmung mit Art 15 DSGVO zur Verfügung.
[146] Hinsichtlich der Auskunft über Daten und Kategorien personenbezogener Daten stütze sich die Beklagte auf „eine Vielzahl produktinterner Kern Tools“. „Diese Information“ sei mit dem „Zugriff auf deine Daten Tool“ verlinkt, das den Nutzern erlaube, zu sehen, welche Kategorien von personenbezogenen Daten die Beklagte von ihm speichere, und ermögliche, die Informationen direkt einzusehen. Beispielsweise sei das „Aktivitätenprotokoll“ eine Verlaufshistorie der Aktivitäten eines Nutzers auf F*.
[147] Zu den Verarbeitungszwecken und „ Kategorien von Empfängern “ – „Empfänger“ spricht die Beklagte nicht an – brachte die Beklagte vor, ihre Datenrichtlinie gebe dem Kläger Auskunft über die Verarbeitungszwecke und die Kategorien von Empfängern, dies „insbesondere“ in drei angeführten Abschnitten der Datenrichtlinie. Die „Rechtsgrundlagen-Information“ biete dem Kläger zusätzliche – im Vorbringen nicht konkretisierte – Verwendungszwecke.
[148] Zur Herkunft der Daten brachte sie vor, ihre Datenrichtlinie lege im Abschnitt „Welche Informationen erfassen wir?“ dar, wie und woher Informationen erfasst würden. Es werde die Herkunft der Daten, die die Beklagte erhalte, erläutert, auch „betreffend Daten aus Inhalten und Informationen, die Nutzer bereitstellen, aus Netzwerken und Verbindungen, aus der Nutzung von Produkten durch die Nutzer, Informationen über Transaktionen, die über Produkte der Beklagten durchgeführt werden, über Dinge, die andere tun, und Informationen, die sie bereitstellen, Geräteinformationen und Informationen von Partnern“. Darüber hinaus biete das „Deine Werbepräferenzen Tool“ Informationen über Werbetreibende, die eine Liste mit personenbezogenen Daten hochgeladen hätten. Das „Zugriff auf Deine Daten Tool“ offenbare, welche Informationen der Beklagten von Dritten zu Werbezwecken zur Verfügung gestellt würden.
[149] Zusammenfassend komme die Beklagte ihren Verpflichtungen aus Art 15 DSGVO nach. Darüber hinaus könnten Nutzer F* separat kontaktieren, wenn sie über bestimmte Datenpunkte Auskunft erhalten wollten.
[150] 1.2. Das Erstgericht beurteilte den Anspruch als berechtigt.
[151] 1.3. Das Berufungsgericht erkannte die Beklagte im Weg einer Maßgabebestätigung schuldig, dem Kläger schriftlich und kostenlos Auskunft zu erteilen über alle von ihr verarbeiteten personenbezogenen Daten des Klägers unter Angabe der Verarbeitungszwecke, der Empfänger, gegenüber denen die personenbezogenen Daten offengelegt worden seien oder noch offengelegt würden, und – soweit die personenbezogenen Daten nicht bei der klagenden Partei erhoben würden – über die Herkunft.
[152] Es wertete die Feststellungen, dass der Kläger mit seinem 2019 gestellten Auskunftsersuchen auf einschlägige Online Tools der Beklagten verwiesen wurde, mit denen die Beklagte nur einen Teil der von ihr über den Kläger verarbeiteten personenbezogenen Daten zur Verfügung stellte, dahin, dass der Auskunftsanspruch des Klägers gemäß Art 15 Abs 1 zweiter Halbsatz DSGVO nicht erfüllt und daher nach wie vor aufrecht sei. Die Rechtsrüge der Beklagten sei zudem in wesentlichen Punkten nicht vom festgestellten Sachverhalt ausgegangen.
[153] 1.4. Die Revision der Beklagten macht zusammengefasst geltend, das Berufungsgericht verkenne, dass Art 15 Abs 1 DSGVO nicht die Auskunft über alle verarbeiteten personenbezogenen Daten einer betroffenen Person verlange. Sie habe mittels der in ihrer Datenrichtlinie gegebenen Informationen ihre Auskunftspflicht erfüllt. Das Berufungsgericht habe die getroffenen Feststellungen unrichtig interpretiert, erwähne Rechte Dritter nicht, vernachlässige den exzessiven Charakter des Auskunftsbegehrens des Klägers, lasse Gesetzesvorbehalte nach irischem Recht unbeachtet, lasse zu Unrecht eine Zusammenfassung nicht genügen, beachte nicht, dass das Auskunftsbegehren für den Kläger „nur ein Spiel“ sei, überschreite den gebotenen Umfang des Auskunftsrechts im Hinblick auf die Zwecke, Empfänger bzw Kategorien von Empfängern und Herkunft der Daten, verkenne, dass der Kläger in Wahrheit Auskunft über die involvierte Logik iSv Art 15 Abs 1 lit h DSGVO verlange und habe mit der Maßgabebestätigung in einem Punkt das ursprüngliche Begehren überschritten.
2. Zum Auskunftsrecht gemäß Art 15 Abs 1 DSGVO
2.1. Allgemeines und Zweck des Auskunftsrechts
[154] 2.1.1. Sofern eine Person betreffende personenbezogene Daten verarbeitet werden – was im vorliegenden Fall feststeht –, hat diese Person gegenüber dem Verantwortlichen nach Art 15 Abs 1 DSGVO ein Recht auf Auskunft über diese personenbezogenen Daten und auf die in lit a bis g dieser Bestimmung angeführten weiteren Informationen. Das Auskunftsrecht ist als einheitlicher Anspruch zu betrachten ( Ehmann in Ehmann/Selmayr , DS GVO³ [2024] Art 15 Rz 6 unter Hinweis auf C 487/21, Österreichische Datenschutzbehörde und CRIF , Rz 30 ff).
[155] 2.1.2. Art 15 Abs 1 DSGVO stellt eine derjenigen Bestimmungen dar, die die Transparenz der Art und Weise der Verarbeitung personenbezogener Daten gegenüber der betroffenen Person gewährleisten sollen (EuGH C 579/21, Pankki , Rz 53).
[156] Gemäß dem Grundsatz der Transparenz, auf den im 58. Erwägungsgrund der DSGVO Bezug genommen wird und der in Art 12 Abs 1 DSGVO ausdrücklich verankert ist, muss eine für die betroffene Person bestimmte Information in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache übermittelt werden (vgl EuGH C 203/22, Dun Bradstreet Austria , Rz 49; C 579/21, Pankki , Rz 51; C 487/21, Österreichische Datenschutzbehörde und CRIF , Rz 49). Dass dies auch bei Anwendung des Art 15 DSGVO zu beachten ist, hat der EuGH ausdrücklich klargestellt (EuGH C 579/21, Pankki , Rz 51; vgl C 203/22, Dun Bradstreet Austria , Rz 48 f ).
[157] Das Auskunftsrecht gemäß Art 15 DSGVO muss der betroffenen Person ermöglichen, zu überprüfen, ob sie betreffende Daten richtig sind und ob sie in zulässiger Weise verarbeitet werden (EuGH C 203/22, Dun Bradstreet Austria , Rz 53). Es ist insbesondere erforderlich, um es der betroffenen Person zu ermöglichen, gegebenenfalls ihr Recht auf Berichtigung, ihr Recht auf Löschung („Recht auf Vergessenwerden“) und ihr Recht auf Einschränkung der Verarbeitung, die ihr nach den Art 16, 17 bzw 18 DSGVO zukommen, sowie ihr in Art 21 DSGVO vorgesehenes Recht auf Widerspruch gegen die Verarbeitung ihrer personenbezogenen Daten oder im Schadensfall ihr in den Art 79 und 82 DSGVO vorgesehenes Recht auf Einlegung eines gerichtlichen Rechtsbehelfs auszuüben (EuGH C 203/22, Dun Bradstreet Austria , Rz 54; C 487/21, Österreichische Datenschutzbehörde und CRIF , Rz 35; C 154/21, RW gegen Österreichische Post , Rz 38).
[158] Nach dem 60. Erwägungsgrund zur DSGVO machen es die Grundsätze einer fairen und transparenten Verarbeitung erforderlich, dass die betroffene Person über die Existenz des Verarbeitungsvorgangs und seine Zwecke unterrichtet wird, wobei der Verantwortliche alle weiteren Informationen zur Verfügung stellen sollte, die unter Berücksichtigung der besonderen Umstände und Rahmenbedingungen, unter denen die personenbezogenen Daten verarbeitet werden, notwendig sind, um eine faire und transparente Verarbeitung zu gewährleisten (EuGH C 487/21, Österreichische Datenschutzbehörde und CRIF , Rz 36).
2.2. Umfang des Auskunftsrechts
[159] 2.2.1. Das Auskunftsrecht des Art 15 Abs 1 DSGVO bezieht sich auf personenbezogene Daten, verweist also auf die Legaldefinition des Art 4 Z 1 DSGVO (vgl EuGH C 579/21, Pankki , Rz 40 ). In der Verwendung der Formulierung „alle Informationen“ bei der Bestimmung des Begriffs „personenbezogene Daten“ in dieser Vorschrift kommt das Ziel des Unionsgesetzgebers zum Ausdruck, diesem Begriff eine weite Bedeutung beizumessen (EuGH C 579/21 , Pankki , Rz 42). Daher erfasst die weite Definition des Begriffs „personenbezogene Daten“ nicht nur die von dem Verantwortlichen erhobenen und gespeicherten Daten, sondern auch alle Informationen über eine identifizierte oder identifizierbare Person, die aus einer Verarbeitung personenbezogener Daten resultieren (EuGH C 579/21 , Pankki , Rz 42; C 487/21, Österreichische Datenschutzbehörde und CRIF , Rz 26).
[160] 2.2.2. Art 15 Abs 1 und 2 DSGVO normieren den Inhalt des Auskunftsrechts, nämlich die Auskunft, ob überhaupt personenbezogene Daten verarbeitet werden, die konkret verarbeiteten Daten sowie die entsprechenden Zusatzinformationen, auch Metadaten oder Annexinformationen genannt, wie beispielsweise die Verarbeitungszwecke, Empfänger und Herkunft (vgl Haidinger in Knyrim , Der DatKomm [79. Lfg 2024] Art 15 Rz 3).
[161] Die betroffene Person hat stets das Recht, Auskunft über alle personenbezogenen Daten und die zugehörigen Informationen zu fordern, solange nicht ein in der DSGVO vorgesehener Ausschlussgrund vorliegt ( Ehmann in Ehmann/Selmayr , DS GVO³ [2024] Art 15 Rz 52). Der in Erwägungsgrund 63 letzter Satz DSGVO enthaltene Hinweis, Verantwortliche, die große Mengen von Informationen über die betroffene Person verarbeiteten, sollten verlangen können, dass die betroffene Person präzisiere, auf welche Informationen oder welche Verarbeitungsvorgänge sich ihr Auskunftsersuchen beziehe, ändert daran nichts ( Bäcker in Kühling/Buchner , Datenschutz Grundverordnung/BDSG 4 [2024] Art 15 Rz 30; vgl Ehmann in Ehmann/Selmayr , DS GVO³ [2024] Art 15 Rz 53 f). Selbst wenn eine Auskunft begehrende Person der Bitte um Konkretisierung nicht entspricht, rechtfertigt das keine Verweigerung der Auskunft ( Ehmann in Ehmann/Selmayr , DS GVO³ [2024] Art 15 Rz 53); es steht der betroffenen Person frei, Auskunft über alle vorhandenen Daten und Metainformationen zu verlangen ( Bäcker in Kühling/Buchner , Datenschutz Grundverordnung/BDSG 4 [2024] Art 15 Rz 30).
[162] Der EuGH hat die Pflicht zur Vollständigkeit (vgl Bäcker in Kühling/Buchner , Datenschutz Grundverordnung/ BDSG 4 [2024] Art 15 Rz 30) bestätigt, indem er sie hinsichtlich des Rechts auf Erhalt einer Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, gemäß Art 15 Abs 3 DSGVO, der „nicht ein anderes Recht gewährt als in seinem Abs 1 vorgesehen“, ausdrücklich einforderte (EuGH C 312/23, Addiko Bank , Rz 26; C 307/22 , FT gegen DW , Rz 72; C 487/21, Österreichische Datenschutzbehörde und CRIF , Rz 32).
[163] 2.2.3. Zusätzlich zur Auskunft über die verarbeiteten Daten gewährt Art 15 Abs 1 DSGVO der betroffenen Person das Recht auf folgende Informationen:
a) die Verarbeitungszwecke;
b) die Kategorien personenbezogener Daten, die verarbeitet werden;
c) die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen;
d) falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;
e) das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung;
f) das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;
g) wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten;
h) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Art 22 Abs 1 und 4 und – zumindest in diesen Fällen – aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.
[164] 2.2.4. Vor dem Hintergrund, dass die betroffene Person nicht verpflichtet ist, den Antrag auf Auskunft über die Daten zu begründen, stellte der EuGH klar, dass es einem Auskunftsanspruch nicht entgegensteht, wenn der Betroffene damit einen anderen Zweck verfolgt als den im ersten Satz des 63. Erwägungsgrundes zur DSGVO angesprochenen, von der Verarbeitung Kenntnis zu nehmen und deren Rechtmäßigkeit zu überprüfen (EuGH C 307/22 , FT gegen DW , Rz 43; vgl 6 Ob 233/23t Rz 28).
2.3. Anwendung dieser Grundsätze auf den vorliegenden Fall
[165] Im vorliegenden Fall trifft die Beurteilung der Vorinstanzen, dass die Beklagte dem Kläger keine vollständige Auskunft über seine von ihr verarbeiteten personenbezogenen Daten erteilt hat, zu.
[166] Dies ergibt sich schon daraus, dass die Beklagte nach den Feststellungen in ihren Tools, auf die sie den Kläger zur Erfüllung seines zuletzt gestellten Auskunftsersuchens verwies, „nur einen Teil der von ihr über den Kläger verarbeiteten Daten zu Verfügung [stellt], nämlich nur die, die sie für den Nutzer für relevant und interessant hält“.
[167] Diese Unvollständigkeit wurde auch im Zuge des vorliegenden Verfahrens nicht behoben. Die Beklagte behauptete nicht, dem Kläger während oder im Zuge des Verfahrens Informationen übermittelt zu haben, durch die sie ihrer Auskunftspflicht nachgekommen wäre.
[168] Ihrem Prozessvorbringen ist lediglich zu entnehmen, dass der Kläger, will er die in Art 15 Abs 1 DSGVO angeführten Informationen erlangen, eine Vielzahl von Quellen aufzurufen hat, die von der Beklagten nicht abschließend aufgelistet wurden. Ihr Prozessvorbringen zu den Tools, die den Nutzern das Erlangen der vom Auskunftsrecht des Art 15 Abs 1 DSGVO erfassten Informationen ermöglichen sollten, ist vielmehr – wie sich aus der obigen Wiedergabe ergibt – nur beispielhaft ausgestaltet. Selbst unter Berücksichtigung des Umstands, dass das Klagebegehren nicht auf alle in Art 15 Abs 1 DSGVO angeführten Annexinformationen ausdrücklich Bezug nimmt, kann dem Prozessvorbringen der Beklagten nicht entnommen werden, dass ihre Aufzählung der Informationsquellen hinsichtlich einzelner Aspekte Vollständigkeit beanspruche.
[169] Auf die Frage, ob die nach Art 15 DSGVO geschuldete Auskunft zur Gänze dadurch erfüllt werden kann, dass der Betroffene darauf verwiesen wird, sich bestimmte allgemeine oder individuell ihn betreffende Informationen selbst herunterladen zu müssen, muss nicht eingegangen werden, weil in einer bloß beispielhaften Aufzählung von Informationsquellen jedenfalls keine Übermittlung in der vom EuGH geforderten „präzise[n], transparente[n], verständliche[n] und leicht zugängliche[n] Form“ (vgl EuGH C 203/22 , Dun Bradstreet Austria , Rz 49) erblickt werden kann.
[170] Die Beurteilung des Berufungsgerichts, dass mangels Erteilung einer Art 15 DSGVO entsprechenden Auskunft der hier geltend gemachte Auskunftsanspruch des Klägers berechtigt ist, ist daher richtig.
[171] Hingegen sind die von der Beklagten in der Revision angeführten Einwände nicht berechtigt:
2.4. Einwände der Beklagten
[172] 2.4.1. Die Beklagte zieht in Zweifel, dass es sich bei den „über den Kläger“ verarbeiteten Daten, die sie ihm nicht zur Verfügung stellte, um personenbezogene Daten des Klägers handelte. Diese Rechtsansicht ist mit Art 4 Z 1 DSGVO nicht in Deckung zu bringen.
[173] Der Ausdruck „personenbezogene Daten“ bezeichnet nach Art 4 Z 1 DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann.
[174] Dass nach der Rechtsprechung des EuGH von einem weiten Begriffsverständnis auszugehen ist, das nicht nur die von dem Verantwortlichen erhobenen und gespeicherten Daten, sondern auch alle Informationen über eine identifizierte oder identifizierbare Person, die aus einer Verarbeitung personenbezogener Daten resultieren, erfasst (vgl C 579/21 , Pankki , Rz 42; C 487/21, Österreichische Datenschutzbehörde und CRIF , Rz 26), wurde bereits dargelegt.
[175] Die vom Erstgericht zum Umfang der zur Verfügung gestellten – oder von ihr als für den Nutzer nicht relevant erachteten – Daten getroffenen Feststellungen beziehen sich sowohl nach der Formulierung als auch nach dem Sinnzusammenhang auf die von der Beklagten „über den Kläger“ verarbeiteten, sohin rechtlich auf personenbezogene Daten des Klägers.
[176] 2.4.2. Die Beklagte moniert in ihrer Revision die Missachtung der Einschränkungen gemäß Art 15 Abs 4 DSGVO durch das Berufungsgericht und vermisst eine Bezugnahme auf im nationalen irischen und österreichischen Recht gemäß Art 23 DSGVO vorgenommene Einschränkungen des Auskunftsrechts sowie auf Art 12 Abs 5 DSGVO. Das Berufungsgericht habe zu Unrecht keine „materiell rechtliche Prüfung oder Erörterung hinsichtlich fehlender Daten“ vorgenommen, „um festzustellen, ob eine Ausnahme oder Einschränkung auf irgendwelche 'fehlenden' Datenpunkte anwendbar“ sei. Dass dies der Fall sei, sei – so das Revisionsvorbringen – durch den festgestellten Sachverhalt „impliziert“.
[177] 2.4.2.1. Welche Bestimmungen des irischen oder österreichischen nationalen Rechts sie im Blick hat, legt die Beklagte auch im Revisionsverfahren nicht offen.
[178] 2.4.2.2. Soweit sie jenes Nutzerverhalten des Klägers (Klickverhalten), das zur vorübergehenden Sperre der Funktion „Why Am I Seeing This Ad“ für den Kläger geführt hatte, mit der Begründung nicht beauskunften will, dass dies die Rechte Dritter, nämlich die Rechte anderer Nutzer, den F* Dienst in sicherer Weise zu nutzen, beeinträchtige, findet diese Argumentation keine Deckung im festgestellten Sachverhalt, sodass für die Beklagte daraus nichts zu gewinnen ist. Festgestellt ist, dass die Beklagte es für die Gewährleistung der Sicherheit „der Daten“ für erforderlich erachtet, übermäßiges Klicken auf bestimmte Funktionen zu unterbinden. Dass die Beauskunftung von Gründen, aus denen die Funktion „Why Am I Seeing This Ad“ für den Kläger vorübergehend gesperrt wurde, die Rechte und Freiheiten anderer Nutzer im Hinblick auf die Sicherheit der Nutzung des F* Dienstes beeinträchtigen würde, ergibt sich aus dem festgestellten Sachverhalt, von dem bei Ausführung der Rechtsrüge auszugehen ist (vgl nur RS0043312 ), hingegen nicht.
[179] Dass die Beklagte das Klickverhalten des Klägers, der nach den Feststellungen „schnell und wiederholt“ die Funktion „Why Am I Seeing This Ad“ angeklickt hatte, als „exzessiv“ bezeichnet, macht das Auskunftsersuchen des Klägers nicht „exzessiv“ iSd Art 12 Abs 5 DSGVO.
[180] 2.4.2.3. Die in Erwägungsgrund 63 Satz 5 zur DSGVO und in Art 15 Abs 4 DSGVO (dort spezifisch für das Recht auf Ausfolgung einer Datenkopie) angesprochene Hintanhaltung der Beeinträchtigung von Rechten und Freiheiten Dritter (vgl dazu EuGH C 579/21, Pankki , Rz 77 f) kann es erforderlich machen, hinsichtlich einzelner Informationen eine entsprechende Interessenabwägung durchzuführen (vgl EuGH C 579/21, Pankki , Rz 80), um zu überprüfen, ob eine erteilte Auskunft trotz Fehlens konkreter Einzelinformationen vollständig iSd Art 15 DSGVO ist. Im vorliegenden Fall, in dem eine vollständige Auskunft schon deshalb nicht vorliegt, weil die Beklagte dem Kläger nicht alle von ihr über ihn verarbeiteten personenbezogenen Daten zugänglich machte, sondern ihm den Zugang nur zu den von ihr für relevant erachteten personenbezogenen Daten ermöglichte, geht der lediglich allgemeine Hinweis auf Rechte und Freiheiten Dritter allerdings in Leere.
[181] 2.4.3. Soweit die Beklagte beanstandet, die Vorinstanzen hätten zu Unrecht nicht geprüft, ob ein „vermeintlich fehlendes Datum“ dem Kläger „ anderweitig “, etwa im Rahmen der zur Verfügung gestellten Tools, beauskunftet worden sei, lässt sie die Feststellung außer Acht, dass die Beklagte dem Kläger mit Hilfe ihrer Tools nur einen Teil und nicht die Gesamtheit der von ihr über ihn verarbeiteten Daten zur Verfügung stellte.
[182] 2.4.4. Schließlich will die Revision aus der noch zur Datenschutzrichtlinie 95/46/EG ergangenen Entscheidung des EuGH C 141/12, 372/12, YS , ableiten, dass der Kläger mit seinem Auskunftsanspruch keinen rechtmäßigen Zweck verfolge. Dazu ist klarzustellen, dass es einem Auskunftsanspruch nicht entgegensteht, wenn – was im vorliegenden Fall ohnehin nicht feststeht – der Betroffene damit einen anderen Zweck verfolgt als den im ersten Satz des 63. Erwägungsgrundes zur DSGVO angesprochenen, von der Verarbeitung Kenntnis zu nehmen und deren Rechtmäßigkeit zu überprüfen (EuGH C 307/22, FT gegen DW, Rz 43; vgl 6 Ob 233/23t Rz 28). Für den Rechtsstandpunkt der Beklagten ist aus der zitierten Entscheidung des EuGH, der die begehrte Einsicht in einen Entscheidungsentwurf einer Behörde zum Gegenstand hatte, nichts zu gewinnen.
[183] 2.4.5. Die von der Beklagten im Revisionsverfahren gegen ihre Verurteilung zur Auskunftserteilung erhobenen grundsätzlichen Einwände verfangen daher nicht.
2.5. Begehrte Auskunft über Metadaten
[184] Die Revision beanstandet, das Berufungsgericht verpflichte die Beklagte in mehrfacher Hinsicht – betreffend Verarbeitungszwecke, Empfänger und Herkunft personenbezogener Daten – in einem über Art 15 Abs 1 DSGVO hinausgehenden Umfang zur Auskunftserteilung.
[185] Das ist – wie im Folgenden ausgeführt – nicht der Fall.
2.5.1. Auskunft über Verarbeitungszwecke
[186] 2.5.1.1. Der Umfang des Auskunftsrechts des Betroffenen umfasst nach Art 15 Abs 1 lit a DSGVO die Information über die Verarbeitungszwecke. Dass die Beklagte verpflichtet wurde, dem Kläger Auskunft über die von ihr verarbeiteten personenbezogenen Daten des Klägers unter Angabe der Verarbeitungszwecke zu geben, entspricht daher der Rechtslage.
[187] 2.5.1.2. In Wahrheit zielt das Revisionsvorbringen nicht darauf ab, dass der Umfang der dem Kläger zugesprochenen Auskunft hinsichtlich der Auskunft über die Verarbeitungszwecke von Art 15 Abs 1 lit a DSGVO abweiche, sondern darauf, darzutun, dass die Beklagte mit den ihren Nutzern zur Verfügung gestellten Informationsquellen den Auskunftsanspruch des Klägers bereits erfüllt habe.
[188] 2.5.1.3. Dass die bloß beispielhafte Aufzählung von Informationsquellen zur Erfüllung des Auskunftsanspruchs nicht ausreicht, wurde bereits dargelegt und gilt auch hinsichtlich der Information über die Verarbeitungszwecke.
[189] Soweit die Beklagte in ihrer Revision vorbringt, dass sich die Informationen über die Verarbeitungszwecke erstens in ihrer Datenrichtlinie, zweitens in der „Rechtsgrundlagen Information“ und drittens in ihren „Nutzer Schulungsmodulen“ fänden – wofür sie, wieder beispielhalber, die „Privatsphäre Grundlagen“-Seiten, das „Privatsphäre Check-Tool“, das „Control Center“, das „Werbepräferenzen Tool“, das Tool „Über F* Werbeanzeigen“, das „Aktivitäten außerhalb von F* Tool“ und die Funktion „Warum sehe ich diese Werbeanzeige?“ nennt –, ist diese Aufzählung nicht einmal mit ihrem in erster Instanz zur Information über die Verarbeitungszwecke erstatteten Vorbringen deckungsgleich. Um darzutun, dass die Beklagte die geschuldeten Informationen in „präziser, transparenter, verständlicher und leicht zugänglicher Form“ (vgl EuGH C 203/22 , Dun Bradstreet Austria , Rz 49) bereits erteilt habe, ist das Revisionsvorbringen zur Auskunft über Verarbeitungszwecke daher ungeeignet.
2.5.2. Auskunft über die Empfänger
[190] 2.5.2.1. Soweit die Beklagte beanstandet, nicht zur Auskunft über Empfänger verpflichtet zu sein, weil Art 15 Abs 1 DSGVO die Möglichkeit einräume, nur die „Kategorien von Empfängern“ offen zu legen, wurde diese Frage vom EuGH in seinem Urteil C 154/21 , RW gegen Österreichische Post , geklärt.
[191] Demnach ist Art 15 Abs 1 lit c DSGVO dahin auszulegen, dass das in dieser Bestimmung vorgesehene Recht der betroffenen Person auf Auskunft über die sie betreffenden personenbezogenen Daten bedingt, dass der Verantwortliche, wenn diese Daten gegenüber Empfängern offengelegt worden sind oder noch offengelegt werden, verpflichtet ist, der betroffenen Person die Identität der Empfänger mitzuteilen, es sei denn, dass es nicht möglich ist, die Empfänger zu identifizieren, oder dass der Verantwortliche nachweist, dass die Anträge auf Auskunft der betroffenen Person offenkundig unbegründet oder exzessiv iSv Art 12 Abs 5 DSGVO sind; in diesem Fall kann der Verantwortliche der betroffenen Person lediglich die Kategorien der betreffenden Empfänger mitteilen (C 154/21, RW gegen Österreichische Post , Rz 51).
[192] Ein Wahlrecht des Verantwortlichen, nach eigenem Gutdünken entweder konkrete Empfänger oder nur Kategorien von Empfängern anzugeben, ergibt sich aus Art 15 Abs 1 lit c DSGVO daher nicht.
[193] Die vom Berufungsgericht ausgesprochene Verpflichtung zur Auskunftsgewährung überschreitet daher insofern, als darin die Auskunft über Empfänger und nicht wahlweise über „Empfänger oder Kategorien von Empfängern“ begehrt wird, nicht den materiellen Gehalt des Art 15 Abs 1 DSGVO. Dass sich der Anspruch auf Auskunft über „Empfänger“ auf identifizierbare Empfänger bezieht, ergibt sich bereits aus der Auslegung dieses Gesetzesbegriffs durch den EuGH. Dass der Antrag gemäß Art 12 Abs 5 Satz 2 DSGVO offenkundig unbegründet oder exzessiv wäre, hat die Beklagte, die bereits im Verfahren erster Instanz auf die sich aus Art 12 Abs 5 DSGVO ergebenden Einschränkungen der Auskunftspflicht hingewiesen hat, nicht nachgewiesen.
[194] 2.5.2.2. Bereits an dieser Stelle ist zum Revisionsvorbringen, das Berufungsgericht hätte im Zuge seiner Maßgabebestätigung den vom Kläger ursprünglich gestellten Urteilsantrag überschritten, Stellung zu nehmen.
[195]Das Klagebegehren ist so zu verstehen, wie es im Zusammenhalt mit der Klagserzählung vom Kläger gemeint ist. Das Gericht hat ein nur versehentlich unrichtig formuliertes Klagebegehren richtig zu fassen. Eine in diesem Rahmen geänderte Formulierung ist keine Überschreitung des Begehrens iSd § 405 ZPO ( RS0037440 ;RS0041207 [T1] ).
[196] Die vom Berufungsgericht vorgenommene geringfügige Änderung der Formulierung diente dem Ziel, unklare, keinen exequierbaren Inhalt aufweisende Worte bzw Wortfolgen zu eliminieren und die Formulierung der Auskunftsverpflichtung enger am Wortlaut des Art 15 DSGVO zu orientieren. Indem das Berufungsgericht das Begehren auf Angabe „der genauen Empfänger“ dahin umformulierte, dass die „Empfänger, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden“ (vgl Art 15 Abs 1 lit c DSGVO) mitzuteilen sind, hielt es sich im Rahmen des vom Kläger erstatteten Vorbringens, das auf Art 15 DSGVO verwies und dem hinsichtlich der Auskunft über die Empfänger der personenbezogenen Daten des Klägers keinerlei Einschränkung auf die in der Vergangenheit weitergegebenen Daten zu entnehmen ist.
[197] Zum Bedenken der Beklagten, dass die Auskunft über Empfänger, denen die Daten zukünftig übermittelt würden, mangels Kenntnis, wie der Kläger den Dienst nutzen werde, „aus Compliance Sicht“ nicht möglich sei, ist darauf hinzuweisen, dass die Verpflichtung zur Erteilung von Informationen über konkrete Empfänger (anstatt Kategorien von Empfängern) ohnehin nicht besteht, wenn konkrete Empfänger noch nicht bekannt sind (vgl C 154/21, RW gegen Österreichische Post , Rz 48).
2.5.3. Auskunft über die Herkunft
[198] 2.5.3.1. Wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden, hat die betroffene Person ein Recht auf alle verfügbaren Informationen über die Herkunft der Daten.
[199] Die der Beklagten vom Berufungsgericht auferlegte Verpflichtung geht daher auch im Hinblick auf die Auskunft über die Herkunft der personenbezogenen Daten des Klägers nicht über Art 15 DSGVO hinaus.
[200] 2.5.3.2. Die Beklagte vertritt in ihrer Revision den Standpunkt, dieser Verpflichtung bereits entsprochen zu haben.
[201] Eine den Anforderungen an eine Information in „präziser, transparenter, verständlicher und leicht zugänglicher Form“ (vgl EuGH C 203/22 , Dun Bradstreet Austria , Rz 49) entsprechende Auskunft über die Herkunft der von Dritten erlangten personenbezogenen Daten des Klägers wurde allerdings nicht erteilt.
[202] Zusätzlich zu der bereits aufgezeigten mangelnden Vollständigkeit der Auskunft, die dazu führt, dass der Auskunftsanspruch des Klägers nach wie vor unerfüllt aufrecht besteht, steht fest, dass die mit Hilfe des „Aktivitäten außerhalb von F* Tools“ herunterladbare Liste von Dritten, die Informationen über den Kläger an die Beklagte übermittelten, keine Informationen darüber enthielt, welche konkreten personenbezogenen Daten des Klägers die dort angeführten Dritten an die Beklagte übermittelten.
[203] Angesichts des Zwecks des Auskunftsrechts gemäß Art 15 DSGVO, der betroffenen Person die Überprüfung der Zulässigkeit der Verarbeitung der sie betreffenden personenbezogenen Daten zu ermöglichen (vgl EuGH C 487/21, Österreichische Datenschutzbehörde und CRIF , Rz 34), ist die bloße Information über die Identität jener Personen, die der Beklagten personenbezogene Daten des Klägers übermittelten, unzureichend. Denn es liegt auf der Hand, dass die Rechtmäßigkeit der Datenübermittlung eines bestimmten Dritten an die Beklagte maßgeblich davon abhängt, um welche Daten es sich dabei handelte.
[204] Aus diesen Gründen trifft der Rechtsstandpunkt der Beklagten, ihrer Auskunftspflicht über die Herkunft personenbezogener Daten des Klägers, die sie nicht beim Kläger erhoben hat, bereits nachgekommen zu sein, nicht zu.
2.5.4. Auskunft über die angewendete Logik
[205] Das Revisionsvorbringen zu Art 15 Abs 1 lit h DSGVO geht bereits deshalb ins Leere, weil das Klagebegehren nicht auf die Erteilung von Informationen über das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Art 22 Abs 1 und 4 DSGVO und – zumindest in diesen Fällen – aussagekräftigen Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person gerichtet ist.
C. Ergebnis
[206]Unter Berücksichtigung der bereits mit Teilurteil vom 23. 6. 2021 (6 Ob 56/21k) rechtskräftig beurteilten Ansprüche erweist sich die Revision des Klägers hinsichtlich der Punkte 1 bis 5 samt den zu 4.1. und 5.1. gestellten Eventualbegehren, sowie hinsichtlich der Punkte 7 und 9 des Klagebegehrens als nicht berechtigt, hinsichtlich der Punkte 6 und 8 des Klagebegehrens hingegen als berechtigt.
[207] Die Revision der Beklagten ist zur Gänze (Punkte 11 und 12 des Klagebegehrens) nicht berechtigt.
Zu III. (Kostenvorbehalt)
[208]Die Entscheidung über die Kosten des Verfahrens aller drei Instanzen war dem Erstgericht zu überlassen, weil schon dieses die Kostenentscheidung bis zur rechtskräftigen Erledigung vorbehalten hat. Daran ist auch der Oberste Gerichtshof gebunden (RS0129336).
Rückverweise
Keine Ergebnisse gefunden
RIS