Grindr und Datatilsynet – wohl kein Match!

Oslo

Der Betreiber der Dating-App Grindr geht gegen ein Bußgeld der norwegischen Datenschutzbehörde Datatilsynet in Höhe von 65 Millionen Norwegischen Kronen, umgerechnet rund 5,5 Millionen Euro, vor.

Hintergrund ist, dass Grindr vorgeworfen wird, personenbezogene Daten seiner Nutzenden ohne Einwilligung an Dritte für verhaltensbezogene Werbung weitergegeben zu haben – unter anderem GPS-Standort, IP-Adresse, Werbe-ID, Alter und Geschlecht. Insbesondere die Reichweite des Anwendungsbereichs von Art. 9 DSGVO, der die Verarbeitung besonderer Kategorien personenbezogener Daten regelt (nachfolgend „Art 9-Daten“ – u. a. „Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person“), steht im Zentrum der Auseinandersetzung. Der Vollständigkeit halber: Die DSGVO wurde mittels einer Referenzklausel in das norwegische Recht aufgenommen (vgl. EØS-notat, 24.03.2017). Die Datatilsynet orientiert sich daher an der Auslegung durch den EuGH.

Die werbliche Verarbeitung von Art. 9-Daten, wozu auch deren Übermittlung zählt, ist im Regelfall auf eine Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO zu stützen, da die übrigen Erlaubnistatbestände des Art. 9 Abs. 2 DSGVO im werblichen Kontext nicht einschlägig sind. Auch die allgemeine Interessenabwägungsklausel aus Art. 6 Abs. 1 S. 1 lit. f DSGVO kann nicht fruchtbar gemacht werden: Die Berufung auf berechtigte Unternehmensinteressen scheidet bei einer Verarbeitung von Art. 9-Daten aus.

Die norwegische Behörde ist der Auffassung, dass bereits die Offenlegung von Informationen über die betroffene Person zusammen mit der Information, dass die betroffene Person Grindr nutzt, ausreicht, um in den Anwendungsbereich des Art. 9 DSGVO anzunehmen – einschließlich des entsprechenden Einwilligungserfordernisses. Als Folge war die von Grindr eingeholte Einwilligung nach Ansicht der Datatilsynet (dementsprechend) nicht ausreichend, da sie unberücksichtigt ließ, dass Art. 9-Daten verarbeitet werden. Dies ist in diesen Fällen aber grundsätzlich Voraussetzung für die Wirksamkeit der Einwilligung.

Heißt auch: Wenn keine (potentiellen) Art. 9-Daten verarbeitet werden, ist die Erforderlichkeit einer Einwilligung anders zu bewerten. Insbesondere kommt dann grundsätzlich eine Interessenabwägung nach Art. 6 Abs. 1 S. 1 lit. f DSGVO – so diese ergibt, dass die Interessen der Betroffenen nicht überwiegen, braucht es für die jeweilige Datenverarbeitung keine Einwilligung.

Berlin

Zurück zum Fall: Grindr verweist hinsichtlich des aus dortiger Sicht zutreffenden Anwendungsbereiches von Art. 9 DSGVO unter anderem auf ein Urteil des VG Berlin (sic!) aus dem Jahr 2017 (Beschluss vom 27.03.2017 – VG 6 L 250.17): Die Richtenden aus der Hauptstadt ließen seinerzeit verlauten, dass die Angabe, dass eine Person eine Unterkunft über ein bestimmtes Internetportal vermietet, keinen zwingenden Schluss auf ihre Homosexualität zulasse, da auf dem Internetportal eine bestimmte Sexualität des Vermieters nicht grundsätzlich vorausgesetzt werde – vielmehr würden die Vermieter dort auch als „schwulenfreundlich“ beziehungsweise „Freunde“ bezeichnet.

Nach Auffassung von Grindr sei dies auch im Hinblick auf die App der Fall. Durch das Herunterladen und die Nutzung der App würden keine Informationen über die spezifische sexuelle Orientierung der Nutzenden preisgegeben. Die App repräsentiere die moderne LGBTQ+-Community, die alle sexuellen Orientierungen und Geschlechtsidentitäten umfasst. Die App setze insbesondere nicht voraus, dass sich Nutzende als LGBTQ+ identifizieren oder sich als „sexuelle Minderheit – homosexuell, bi, trans oder queer“ oder als „Gemeinschaft von Gleichgesinnten“ qualifizieren.

Vilnius

In der Rechtssache „OT gegen Vyriausioji tarnybinės etikos komisija“ (EuGH, Urteil vom 1.8.2022 – C-184/20) ging es zuletzt bereits um die Reichweite des Anwendungsbereiches von Art. 9 DSGVO, konkret um die Veröffentlichung von Online-Erklärungen über private Interessen von Beamten durch eine litauische Verwaltungsstelle. Die Veröffentlichung erfolgte im Rahmen der Transparenzverpflichtungen nach dem nationalen Korruptionsbekämpfungsgesetz. Die Listen enthielten unter anderem Informationen über die Namen von Mitbewohnern, Ehegatten oder Partnern.

Der EuGH stellte dazu fest, dass der Begriff „besondere Kategorien personenbezogener Daten“ auch diesbezüglich weit auszulegen ist und kam zu dem Schluss, dass es ausreicht, dass Informationen über die sexuelle Ausrichtung einer natürlichen Person indirekt aus den Informationen abgeleitet werden können, um unter den Begriff zu fallen – aus dem Geschlecht des Partners ergebe sich die sexuelle Orientierung. Sich auf die zu dieser Frage bis dato ergangene nationale Rechtsprechung zu berufen, wonach die Pflicht zu Berücksichtigung von Art. 9 DSGVO erst im Falle einer Auswertungsabsicht des Verantwortlichen gerichtet auf das sensitive Merkmal eines Datums ergebe (z. B. OLG Nürnberg Beschl. v. 9.11.2018 – 3 U 905/18 (PDF); VG Mainz Urt. v. 24.9.2020 – 1 K 584/19.MZ), ist seither mit erhöhten Risiken behaftet.

Dublin

Auch in der zuletzt ergangenen „Meta-Entscheidung“ des EuGH (Urteil vom 4.7.2023 – C-252/21) findet sich die weite Auslegung des Art. 9 DSGVO wieder: In dem Verfahren ging es unter anderem darum, dass Meta Platforms Ireland Informationen über die Besuche von Nutzenden auf anderen Websites und Apps, wie z. B. Gay-Dating-Websites, sowie Informationen, die die Nutzenden selbst auf solchen Websites und Apps eingegeben hatten, sammelte und zusammenstellte. Eine der Fragen, die der EuGH prüfte, war, ob die Erhebung und weitere Zusammenstellung von Daten über die Besuche von Nutzern auf den Websites/Apps und deren Eingaben eine Verarbeitung von Art. 9-Daten darstellt.
(Verkürztes) Ergebnis:

„die Gesamtheit dieser Daten (…) [ist] als eine „Verarbeitung besonderer Kategorien personenbezogener Daten“ im Sinne dieser Bestimmung (Art. 9 DSGVO) anzusehen (…), die vorbehaltlich der in Art. 9 Abs. 2 DSGVO vorgesehenen Ausnahmen grundsätzlich untersagt ist“.

Und jetzt?

Angesichts der eindeutigen Tendenz des EuGH, insbesondere in der Rechtssache Meta, den Anwendungsbereich von Art. 9 DGSVO weit auszulegen, bleibt es abzuwarten, wie das mit der Grindr-Sache befasste norwegische Gericht entscheidet – aus Oslo könnte insofern ein neuer Impuls für die Auslegung kommen, der auch in Luxemburg für frischen Wind sorgen könnte. Dies wäre insofern begrüßenswert, als dass es in der Tat diskutabel erscheint, ob die bloße Mitgliedschaft bei Grindr ein Art. 9-Datum darstellt (Grüße aus Berlin). Das müsste dann wohl auch für eine Mitgliedschaft bei Tinder gelten. Oder? Denn: es stellt sich die Frage, was sich aus einer Tinder-Mitgliedschaft ergeben soll – ausschließlich (hetero-) sexuelle Aktivität? Und, wenn das so sein sollte: Ist das ein Datum „zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person“?

Deutlich wird jedenfalls einmal mehr, dass personalisierte Werbung rechtlich schwierig bleibt. Sollen Art. 9-Daten in Nutzerprofile einfließen, wird es immer einer Einwilligung bedürfen. In anderen Fällen können bis zu einer (nur im Einzelfall bestimmbaren) Grenze auch die berechtigten Interessen helfen.

Unsere Beratung im Kampagnen-Management

Sprechen Sie uns an, wenn Sie dazu Fragen haben. Wir haben zuletzt mehrfach Usecase-orientierte Einschätzungen für Marketing-Abteilungen großer und kleiner Unternehmen erstellt, mit denen Inhouse-Teams die Beurteilung einzelner Kampagnen leichter fällt.