EuGH C-446/21 (Schrems ./. Meta, VO 2016/679) – Datenminimierung bei personalisierter Werbung & öffentlich gemachte sensible Daten

Kurzantwort

Mit Urteil vom 4. Oktober 2024 in der Rechtssache C-446/21 (Schrems ./. Meta Platforms Ireland) hat der Europäische Gerichtshof (EuGH) zwei Grenzen für das Geschäftsmodell der personalisierten Online-Werbung gezogen (EuGH-Pressemitteilung Nr. 166/24):

1. Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO): Ein soziales Netzwerk darf nicht sämtliche personenbezogenen Daten, die es von der betroffenen Person oder von Dritten – auf und außerhalb der Plattform – erhalten hat, zeitlich unbegrenzt und ohne Unterscheidung nach ihrer Art für Zwecke der zielgerichteten Werbung aggregieren, analysieren und verarbeiten. Der Grundsatz gilt unabhängig von der Rechtsgrundlage – also auch dann, wenn der Nutzer in personalisierte Werbung eingewilligt hat.
2. „Offensichtlich öffentlich gemachte" sensible Daten (Art. 9 Abs. 2 lit. e DSGVO): Wer bei einer öffentlichen Podiumsdiskussion seine sexuelle Orientierung mitteilt, erlaubt dem Plattformbetreiber damit nicht, andere Daten zur sexuellen Orientierung – etwa aus Apps und Websites dritter Partner – zu verarbeiten, zu aggregieren und für personalisierte Werbung auszuwerten. Die Ausnahme des Art. 9 Abs. 2 lit. e erfasst nur die konkret öffentlich gemachte Angabe, nicht die gesamte Datenkategorie.

Praktische Folge für Werbetreibende, Publisher und Plattformen: Es braucht Löschfristen und eine Differenzierung nach Datenart für alle Daten, die in Werbeprofile einfließen. Ein „ewiger Datenpool" ist DSGVO-widrig – auch mit Einwilligung. Sensible Daten (Art. 9) müssen von der übrigen Verarbeitung getrennt werden.

Vorlegendes Gericht war der österreichische Oberste Gerichtshof (OGH). Dieser hat das Verfahren am 18. Dezember 2025 endgültig entschieden: Meta muss dem Kläger binnen 14 Tagen vollständige Auskunft nach Art. 15 DSGVO erteilen; zugesprochen wurden 500 € immaterieller Schadensersatz (OGH-Pressemitteilung).

Kernfakten

Geltungsbereich / Wer ist betroffen?

Das Urteil legt die DSGVO (VO 2016/679) aus. Als EU-Verordnung gilt sie unmittelbar in Deutschland – ein nationales Umsetzungsgesetz ist nicht erforderlich; das BDSG enthält lediglich Öffnungsklausel-Regelungen.

Betroffen sind insbesondere:

• Betreiber sozialer Netzwerke und Plattformen, die Nutzerprofile für Werbung bilden,
• AdTech-Anbieter, Werbenetzwerke und Data Broker, die Daten aus mehreren Quellen zusammenführen,
• Website- und App-Betreiber, die Tracking-Pixel, Social Plugins oder SDKs einbinden und damit Daten an Plattformen übermitteln (im Ausgangsfall: Facebook-Pixel und „Gefällt mir"-Button),
• Händler und Retail-Media-Anbieter, die Kauf- und Interessendaten dauerhaft für Zielgruppenbildung speichern,
• mittelbar jede Verantwortliche Stelle, die Werbeprofile ohne definierte Löschkonzepte führt.

Zwei Pflichtenkreise ergeben sich unmittelbar:

• Speicherkonzept: Für Werbedaten müssen Aufbewahrungs- und Löschfristen sowie eine Differenzierung nach Datenart festgelegt und dokumentiert werden (Nachweispflicht nach Art. 5 Abs. 2 DSGVO).
• Trennung sensibler Daten: Daten, die Rückschlüsse auf Gesundheit, politische Meinung, Religion, Sexualleben oder sexuelle Orientierung zulassen, dürfen nur auf Grundlage einer Ausnahme nach Art. 9 Abs. 2 DSGVO – im Werbekontext praktisch nur ausdrückliche Einwilligung (lit. a) – in Profile einfließen.

Detail 1: Datenminimierung begrenzt Werbeprofile – auch mit Einwilligung

Die Vorlagefrage 2 des OGH zielte darauf, ob alle bei einer Plattform vorhandenen Daten „ohne Beschränkung nach Zeit oder Art der Daten" für zielgerichtete Werbung genutzt werden dürfen. Der EuGH verneint dies: Art. 5 Abs. 1 lit. c DSGVO verlangt, dass personenbezogene Daten dem Zweck angemessen und erheblich sowie auf das notwendige Maß beschränkt sind.

Zentral ist die Feststellung, dass die Datenminimierung rechtsgrundlagenunabhängig wirkt. Auch eine wirksame Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO legitimiert keine zeitlich unbegrenzte Nutzung: Ein Nutzerprofil, das Daten aus zwei Jahrzehnten unverändert weiterverwendet, verstößt gegen die Verhältnismäßigkeit. Der EuGH wertet die Erstellung derart detaillierter Profile als schweren Eingriff in die Grundrechte aus Art. 7 und 8 GRCh.

Die konkrete Ausgestaltung – welche Löschfrist für welche Datenart angemessen ist – überlässt der EuGH den nationalen Gerichten. Für die Praxis folgt daraus eine Dokumentationsaufgabe: Verantwortliche müssen je Datenkategorie begründen, warum eine bestimmte Speicher- und Nutzungsdauer für den Werbezweck erforderlich ist.

Detail 2: Art. 9 Abs. 2 lit. e DSGVO wird eng ausgelegt

Der Kläger hatte am 12. Februar 2019 bei einer öffentlich zugänglichen Podiumsdiskussion in Wien – auf Einladung der Vertretung der Europäischen Kommission in Österreich – seine sexuelle Orientierung erwähnt, und zwar im Rahmen von Kritik an der Datenverarbeitung durch Facebook. In seinem Facebook-Profil hatte er diese Angabe nie gemacht. Die Veranstaltung wurde gestreamt und später als Podcast sowie auf dem YouTube-Kanal der Kommission veröffentlicht.

Der EuGH schließt nicht aus, dass die Angabe damit offensichtlich öffentlich gemacht wurde – die Beurteilung obliegt dem OGH. Entscheidend ist aber die Reichweite der Folge: Die Offenlegung erlaubt die Verarbeitung dieser Daten unter Einhaltung der übrigen DSGVO-Vorgaben, berechtigt aber nicht zur Verarbeitung anderer personenbezogener Daten, die sich auf die sexuelle Orientierung derselben Person beziehen. Insbesondere darf ein Plattformbetreiber Daten, die er über Drittanbieter-Apps und -Websites erhalten hat, deshalb nicht aggregieren und für personalisierte Werbung auswerten.

Parallel wirkt die Zweckbindung (Art. 5 Abs. 1 lit. b DSGVO): Eine Äußerung, die der Kritik an unrechtmäßiger Verarbeitung dient, kann nicht rückwirkend zur Legitimation einer völlig anderen Verarbeitung – nämlich Werbung – umgedeutet werden.

Detail 3: Nationale Fortsetzung beim OGH (Dezember 2025)

Der OGH hat das seit 2014 laufende Verfahren am 18. Dezember 2025 abgeschlossen. Kernpunkte der Entscheidung nach den öffentlich zugänglichen Darstellungen:

• Art. 15 DSGVO: Meta muss alle personenbezogenen Daten sowie Angaben zu Quellen, Empfängern und Verarbeitungszwecken herausgeben – nicht nur den Inhalt eines Self-Service-Downloadtools. Einwände wegen Geschäftsgeheimnissen wurden zurückgewiesen. Frist: 14 Tage (Ablauf 31.12.2025).
• Werbung nur mit Opt-in: Personalisierte Werbung setzt eine spezifische, informierte, unmissverständliche und freiwillige Einwilligung voraus (Linie aus C-252/21).
• Sensible Daten: Der Verantwortliche kann sich der Anwendung des Art. 9 DSGVO nicht mit dem Argument entziehen, er erhebe solche Daten nicht absichtlich oder könne sie technisch nicht trennen.
• Schadensersatz: 500 € immaterieller Schadensersatz nach Art. 82 DSGVO.

Die genaue Geschäftszahl der OGH-Entscheidung ist auf Basis der ausgewerteten Quellen nicht zweifelsfrei belegt und daher hier nicht angegeben (factcheck_status: review_needed).

Häufige Fehler

• „Mit Einwilligung darf ich alles unbegrenzt nutzen." Falsch – die Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO gilt zusätzlich und unabhängig von der Rechtsgrundlage.
• Kein Löschkonzept für Werbedaten. Fehlende Fristen und fehlende Differenzierung nach Datenart sind genau der vom EuGH beanstandete Zustand.
• Öffentliche Äußerung als Freibrief verstanden. Art. 9 Abs. 2 lit. e DSGVO deckt nur die konkret öffentlich gemachte Angabe, nicht die ganze Datenkategorie und keine rückwirkenden Verarbeitungen.
• Sensible Daten „unabsichtlich" im Profil. Wer Interessen-Signale aus Drittquellen einsammelt, verarbeitet faktisch Art.-9-Daten – technische Unfähigkeit zur Trennung entlastet nicht.
• Verwechslung mit C-252/21 (Bundeskartellamt). Jenes Urteil vom 04.07.2023 betrifft die Rechtsgrundlage für Werbeverarbeitung; C-446/21 betrifft Speicherdauer/Datenart und die Reichweite von Art. 9 Abs. 2 lit. e.
• Pixel-Einbindung als reines Plattformproblem gesehen. Website- und App-Betreiber sind bei Social Plugins und Pixeln regelmäßig gemeinsam Verantwortliche und tragen eigene Nachweispflichten.

Quellen

• **EuGH, Urteil vom 04.10.2024 – C-446/21 (Schrems ./. Meta Platforms Ireland)**, Volltext (amtlich, curia): https://curia.europa.eu/juris/document/document.jsf?docid=290674 D
• **EuGH-Pressemitteilung Nr. 166/24 vom 04.10.2024** (amtlich, curia, deutsch): https://curia.europa.eu/site/upload/docs/application/pdf/2024-10/cp240166de.pdf D
• **EuGH, Rechtssache C-446/21**, Verfahrensdaten und Volltext bei EUR-Lex, CELEX:62021CJ0446: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62021CJ0446 A
• **DSGVO (VO 2016/679)**, Art. 5, Art. 9 und Art. 83 (amtlich, EUR-Lex, CELEX:32016R0679): https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679 A
• **EuGH, Urteil vom 04.07.2023 – C-252/21 (Meta Platforms u. a. / Bundeskartellamt)**, EUR-Lex, CELEX:62021CJ0252: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62021CJ0252 A
• **Oberster Gerichtshof (Österreich), Pressemitteilung „Datenschutz und soziales Online-Netzwerk"** (Endentscheidung, veröffentlicht 18.12.2025): https://www.ogh.gv.at/entscheidungen/entscheidungen-ogh/datenschutz-und-soziales-online-netzwerk/ D
• **Bundesdatenschutzgesetz (BDSG)** – nationale Ergänzungsregelungen zur unmittelbar geltenden DSGVO: https://www.gesetze-im-internet.de/bdsg_2018/ A
• **§ 25 TDDDG** – Einwilligung für Endgerätezugriff (Cookies, Pixel), nationale Umsetzung der ePrivacy-Richtlinie: https://www.gesetze-im-internet.de/ttdsg/__25.html A

Änderungsverlauf

• 2026-08-13: Erstveröffentlichung der Themenseite zum EuGH-Urteil C-446/21 vom 04.10.2024. Kernaussagen (Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO; enge Auslegung von Art. 9 Abs. 2 lit. e DSGVO) belegt über die amtliche EuGH-Pressemitteilung Nr. 166/24 und den curia-Volltext. factcheck_status: review_needed, weil die ECLI-Kennung des Urteils und die Geschäftszahl der abschließenden OGH-Entscheidung vom 18.12.2025 nicht gegen eine amtliche Primärquelle verifiziert werden konnten; diese Angaben sind daher bewusst nicht aufgeführt.

Stand

Stand: 13.08.2026. Diese Seite gibt die Rechtslage nach dem EuGH-Urteil C-446/21 vom 04.10.2024 wieder und ersetzt keine Rechtsberatung. Verbindlich sind die amtlichen Fassungen bei EUR-Lex und curia.europa.eu.