Soziale Netzwerke finanzieren sich in hohem Ausmaß über personalisierte Werbung. Dafür werden nicht nur Daten verarbeitet, die Nutzer unmittelbar auf der Plattform eingeben, sondern oft auch Informationen aus der Nutzung anderer Websites, Apps oder sogenannter sozialer Plugins. Datenschutzrechtlich ist diese Praxis freilich besonders heikel, wie auch der OGH im Anschluss an die Rechtsprechung des EuGH kürzlich festhielt.
Dem Verfahren lag die Datenverarbeitung eines großen sozialen Online-Netzwerks zugrunde. Der Plattformbetreiber verarbeitete personenbezogene Daten seiner Nutzer, um Werbung zu personalisieren. Dabei ging es nicht nur um Angaben, die Nutzer freiwillig in ihrem Profil machten oder durch Likes und Interaktionen innerhalb der Plattform erzeugten, vielmehr standen auch Daten im Mittelpunkt, die über sogenannte soziale Plugins auf Websites Dritter gewonnen wurden.
Solche Plugins können etwa dann relevant werden, wenn Websites Schaltflächen oder technische Schnittstellen eines sozialen Netzwerks einbinden. Dadurch kann der Plattformbetreiber unter Umständen Informationen darüber erhalten, welche externen Websites ein Nutzer besucht oder mit welchen Inhalten er interagiert. Besonders sensibel wird dies, wenn aus solchen Daten Rückschlüsse auf politische Meinungen, sexuelle Orientierung, Gesundheit, Religion oder andere besonders geschützte Kategorien personenbezogener Daten gezogen werden können.
Im Verfahren stellte sich daher die Frage, ob eine derartige Verarbeitung ohne wirksame Einwilligung zulässig ist. Zusätzlich war strittig, wie weit der Auskunftsanspruch nach Art 15 DSGVO reicht. Der betroffene Nutzer wollte wissen, welche personenbezogenen Daten verarbeitet wurden und wie diese Daten für Werbezwecke verwendet worden waren.
Der OGH hielt fest, dass die Personalisierung von Werbung und die Verwendung personenbezogener Daten aus sozialen Plugins ohne Zustimmung unzulässig ist. Für besondere Kategorien personenbezogener Daten ist zusätzlich eine ausdrückliche Einwilligung erforderlich. Weder die „Notwendigkeit zur Vertragserfüllung“ noch ein „berechtigtes Interesse“ können dabei als Erlaubnistatbestand herangezogen werden: Einerseits ist personalisierte Werbung für die Bereitstellung des Netzwerks nicht objektiv erforderlich. Andererseits überwiegen – selbst bei unentgeltlichen Diensten – die Interessen und Grundrechte der Nutzer gegenüber dem wirtschaftlichen Finanzierungsinteresse des Plattformbetreibers. Weiters betonte der OGH, dass der Auskunftsanspruch alle verarbeiteten personenbezogenen Daten umfasst und nicht auf eine bloß abstrakte Beschreibung der Datenverarbeitung reduziert werden darf.
Die Entscheidung zeigt deutlich, dass personalisierte Werbung datenschutzrechtlich kein Selbstläufer ist. Je umfassender die Profilbildung, desto höher sind die Anforderungen an Transparenz, Einwilligung und Auskunft. Unternehmen, die personalisierte Werbung einsetzen, sollten ihre Rechtsgrundlagen sehr genau prüfen. Eine pauschale Zustimmung in allgemeinen Nutzungsbedingungen wird regelmäßig nicht ausreichen. Besonders bei Tracking über Websites Dritter, Retargeting und Social-Media-Pixeln ist eine saubere Einwilligungsarchitektur erforderlich.
OGH 26.11.2025, 6 Ob 189/24y