Verstoß: Unvollständige Auskunft entgegen Art. 15 DSGVO

Das Oberlandesgericht Wien hat als Berufungs- und Rekursgericht durch die Senatspräsidentin des Oberlandesgerichts als Vorsitzende sowie die Richter des Oberlandesgerichts in der Rechtssache der klagenden Partei Mag. Maximilian Schrems, vertreten durch die Lansky, Ganzger & partner Rechtsanwälte GmbH in Wien, wider die beklagte Partei Facebook Ireland Limited, 4 Grand Canal Square, Dublin, Irland, vertreten durch die Schönherr Rechtsanwälte GmbH in Wien und die Knoetzl Haugeneder Netal Rechtsanwälte GmbH in Wien, zuletzt wegen Feststellung, Unterlassung und Vertragsabschluss (insgesamt EUR 31.000), Auskunft (EUR 1.000) und EUR 500, über die Berufungen beider Parteien gegen das Urteil des Landesgerichts für Zivilrechtssachen Wien vom 30. Juni 2020, GZ 3 Cg 52/14k-91, und über den Rekurs der klagenden Partei gegen den  Beschluss des Landesgerichts für Zivilrechtssachen Wien vom 11. November 2019, GZ 3 Cg 52/14k-80 (S 14 unten), zu Recht erkannt und beschlossen:

I.

Beiden Berufungen wird nicht Folge gegeben. Das angefochtene Urteil wird mit der Maßgabe bestätigt, dass Spruchpunkt I.) folgendermaßen zu lauten hat:

„Die beklagte Partei ist schuldig, der klagenden Partei binnen 14 Tagen schriftlich und kostenlos Auskunft zu erteilen über alle von ihr verarbeiteten personenbezogenen Daten der klagenden Partei unter Angabe der Verarbeitungszwecke, der Empfänger, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, und – soweit die personenbezogenen Daten nicht bei der klagenden Partei erhoben werden - über die Herkunft.“

Die Entscheidung über die zweitinstanzlichen Verfahrenskosten bleibt bis zur rechtskräftigen Erledigung der Streitsache vorbehalten. Die ordentliche Revision ist zulässig.

II.

Dem Rekurs der klagenden Partei wird nicht Folge gegeben. Der Revisionsrekurs ist jedenfalls unzulässig.

E n t s c h e i d u n g s g r ü n d e:

Der anfängliche Verfahrensverlauf ist aus dem Beschluss des Erstgerichts vom 30.6.2015 (ON 29), der

Rekursentscheidung des erkennenden Senats vom 9.10.2015 (ON 33 = 11 R 146/15v), berichtigt am 29.1.2016 (ON 39), sowie dem Beschluss des Obersten Gerichtshofs vom 28.2.2018 (ON 43 = 6 Ob 23/18b) ersichtlich. Auf den Inhalt dieser drei Entscheidungen wird zur Vermeidung von Wiederholungen verwiesen.

In weiterer Folge brachte der Kläger im Wesentlichen vor, die Beklagte habe nach dem Inkrafttreten der DSGVO ihre Nutzungsbedingungen und weitere allgemeine Bedingungen wie insb eine Datenrichtlinie komplett neu erstellt. Auf Basis der geänderten Rechtslage und der neuen Vertragsklauseln, denen der Kläger zugestimmt habe, zog er in seinem Schriftsatz vom 2.7.2018 (ON 49) seine ursprünglichen Begehren 5, 6, 12, 13, 15, 16, 19 und 20 zurück, und zwar unter Anspruchsverzicht (präzisierend ON 57, S 13). Gleichzeitig formulierte der Kläger seine Begehren neu (zusammenfassend ON 49, S 61 – 64). In seinem Schriftsatz vom 31.7.2019 modifizierte der Kläger sein (neues) 5. Begehren und ergänzte es um ein Eventualbegehren (ON 73, S 20f). Die zuletzt verfahrensgegenständlichen Klagebegehren (siehe zu ihrer mittlerweile rechtskräftigen Zulassung: Beschluss des Erstgerichts vom 9.1.2019 [ON 60]; Rekursentscheidung des Oberlandesgerichts Wien vom 14.3.2019 [ON 65 = 11 R 24/19h]; Revisionsrekursentscheidung des Obersten Gerichtshofs vom 23.5.2019 [ON 69 = 6 Ob 91/19d]) lauten insgesamt folgendermaßen:

„1. Es wird mit Wirkung zwischen der Beklagten und dem Kläger festgestellt, dass der Kläger ‚Verantwortlicher‘ iSd Art 4 Z 7 DSGVO der von ihm selbst über das Portal facebook.com zu seinen persönlichen Zwecken betriebenen Datenanwendungen (Profil, Chronik – inklusive Likes und Kommentare - Veranstaltungen, Fotos, Videos, Gruppen, persönliche Nachrichten, Freundesliste und

Anwendungen) ist, während der Beklagten diesbezüglich nur die Funktion der ‚Auftragsverarbeiterin‘ iSd Art 4 Z 8 DSGVO zukommt.

2. Es wird mit Wirkung zwischen der Beklagten und dem Kläger festgestellt, dass die Beklagte ‚Verantwortlicher‘ iSd Art 4 Z 7 DSGVO der Datenanwendungen im Portal facebook.com ist, welche über die vom Kläger selbst über das Portal facebook.com zu seinen persönlichen Zwecken betriebenen Datenanwendungen (insbesondere Profil, Chronik - inklusive Likes und Kommentare - Veranstaltungen, Fotos, Videos, Gruppen, persönliche Nachrichten, Freundesliste und Anwendungen) hinausgehen und dabei personenbezogene Daten des Klägers oder von ihm in seinen Datenanwendungen gespeicherte personenbezogene Daten Dritter betreffen, und für die die Beklagte Mittel und Zwecke selbst bestimmt (insbesondere der Zusammenstellung und Aggregation von Inhalten, der Suchfunktion, der Werbung, der Nutzeradministration und ähnlicher Datenanwendungen).
3. Die Beklagte ist schuldig, es bei sonstiger Exekution zu unterlassen, personenbezogene Daten des Klägers und/oder von Dritten, die vom Kläger zu seinen Zwecken über das Portal facebook.com in Datenanwendungen zu seinen persönlichen Zwecken gespeichert und übermittelt werden (Profil, Chronik - inklusive Likes und Kommentare - Veranstaltungen, Fotos, Videos, Gruppen, persönliche Nachrichten, Freundesliste und Anwendungen), ohne oder entgegen der Weisung des Klägers zu verarbeiten.
4. Die Beklagte ist schuldig, binnen 28 Tagen bei sonstiger Exekution mit dem Kläger einen den Anforderungen des Art 28 Abs 3 DSGVO entsprechenden schriftlichen Vertrag zwischen dem Kläger als Verantwortlichem und der Beklagten als Auftragsverarbeiter hinsichtlich der vom Kläger selbst über das Portal facebook.com zu seinen persönlichen Zwecken betriebenen Datenanwendungen (Profil, Chronik - inklusive Likes und Kommentare - Veranstaltungen, Fotos, Videos, Gruppen, persönliche Nachrichten, Freundesliste und Anwendungen) zu schließen.

4.1. In eventu: Es wird mit Wirkung zwischen der Beklagten und dem Kläger festgestellt, dass ein wirksamer, Art 28 Abs 3 DSGVO entsprechender Vertrag zwischen dem Kläger als Verantwortlichem und der Beklagten als Auftragsverarbeiter hinsichtlich der vom Kläger selbst über das Portal facebook.com zu seinen persönlichen Zwecken betriebenen Datenanwendungen (Profil, Chronik - inklusive Likes und Kommentare - Veranstaltungen, Fotos, Videos, Gruppen, persönliche Nachrichten, Freundesliste und Anwendungen) nicht besteht.

5. Es wird mit Wirkung zwischen der Beklagten und dem Kläger festgestellt, dass die Zustimmung des Klägers zu den Nutzungsbedingungen der Beklagten in der Fassung vom 19.04.2018 sowie in der Fassung vom 31.07.2019 samt der damit verbundenen Datenverwendungsrichtlinien (Datenrichtlinie, Cookie-Richtline), sowie die Zustimmung zu (künftigen) sinngleichen Klauseln in Nutzungsbedingungen der Beklagten (gekoppelte Einwilligungserklärungen) keine wirksame Einwilligung zur Verarbeitung von personenbezogenen Daten gem. Art 6 Abs 1 iVm Art 7 DSGVO an die Beklagte als Verantwortliche ist.

5.1. In eventu: Es wird mit Wirkung zwischen der Beklagten und dem Kläger festgestellt, dass die Zustimmung des Klägers zu den Nutzungsbedingungen der Beklagten in der Fassung vom 19.04.2018 sowie in der Fassung vom 31.07.2019 (in eventu: in der Fassung vom 19.04.2018) samt der damit verbundenen Datenverwendungsrichtlinien (Datenrichtlinie, Cookie-Richtlinie) keine wirksame Einwilligung zur Verarbeitung von personenbezogenen Daten gem. Art 6 Abs 1 iVm Art 7 DSGVO an die Beklagte als Verantwortliche ist.

6. Die Beklagte ist schuldig, es bei sonstiger Exekution zu unterlassen, personenbezogene Daten des Klägers für personalisierte Werbung, Aggregation und Analyse von Daten für Zwecke der Werbung zu verarbeiten.
7. Es wird mit Wirkung zwischen der Beklagten und dem Kläger festgestellt, dass keine wirksame Einwilligung des Klägers zur Verarbeitung von personenbezogenen Daten des Klägers, welche die Beklagte von Dritten erhalten hat, zu den eigenen Zwecken der Beklagten, wie sie in der

Datenrichtlinie

• Zeile 69-74 (‚Aktivitäten anderer und von ihnenüber dich bereitgestellte Informationen. Außerdem erhalten und analysieren wir Inhalte, Kommunikationen und Informationen, die andere Personen bereitstellen, wenn sie unsere Produkte nutzen. Dies können auch Informationen über dich sein, beispielsweise, wenn andere ein Foto von dir teilen oder kommentieren, dir eine Nachricht senden bzw. deine Kontaktinformationen hochladen, synchronisieren oder importieren.‘),
• Zeile 126-143 (‚Werbetreibende, App-Entwickler und Publisher können uns über die von ihnen genutzten Facebook Business-Tools, u. a. unsere sozialen Plugins (wie den <Gefällt mir>-Button), Facebook Login, unsere APIs und SDKs oder das Facebook-Pixel, Informationen senden.‘ und ‚Wir erhalten außerdem Informationen über deine Online- und Offline-Handlungen und Käufe von Dritt-Datenanbietern, die berechtigt sind, uns deine Informatio- nen bereitzustellen.‘) und
• Zeile 166-168 (‚Dies basiert auf den Daten, die wir von dir und anderen erfassen und erfahren (einschließlich jedweder von dir bereitgestellten Daten mit besonderem Schutz, für die du uns deine ausdrückliche Einwilligung gegeben hast);‘)

beschrieben wird, vorliegt.

8. Die Beklagte ist bei sonstiger Exekution schuldig, in Hinkunft die Verwendung der Daten des Klägers bezüglich des Besuchs bzw der Nutzung von Drittseiten (insbesondere durch den Einsatz von ‚Social Plugins‘ und ähnlicher Techniken) zu unterlassen, sofern technische Daten nicht alleine zum Zweck der Anzeige von Webseiten elementen verarbeitet werden, und soweit der Kläger nicht ohne jeden Zweifel, frei, informiert und eindeutig vorab einem spezifischen Verarbeitungsvorgang zugestimmt hat (‚Opt-In‘; zB durch Anklicken eines ‚Social Plugins‘).
9. Die Beklagte ist bei sonstiger Exekution schuldig, in Hinkunft die für eigene Zwecke der Beklagten erfolgende Verarbeitung von personenbezogenen Daten des Klägers, welche die Beklagte von Dritten erhalten hat, zu unterlassen, soweit der Kläger nicht ohne jeden Zweifel, frei, informiert und eindeutig einem spezifischen Verarbeitungsvorgang vorab zugestimmt hat (‚Opt-In‘).
10. Die Beklagte ist bei sonstiger Exekution schuldig, in Hinkunft die Verwendung der Daten des Klägers im Rahmen der Datenanwendung ‚Graph Search‘ sowie durch ähnliche Techniken zu unterlassen, soweit der Kläger nicht ohne jeden Zweifel, frei, informiert und eindeutig vorabzugestimmt hat (‚Opt-In‘).
11. Die Beklagte ist schuldig, dem Kläger binnen vierzehn Tagen bei sonstiger Exekution schriftlich und kostenlos vollständig Auskunft über alle von ihr verarbeiteten personenbezogenen Daten des Klägers unter Angabe des genauen jeweiligen Zwecks, wenn immer möglich der genauen Herkunft und gegebenenfalls der genauen Empfänger der Daten, zu erteilen.
12. Die Beklagte ist schuldig, dem Kläger binnen vierzehn Tagen bei sonstiger Exekution zu Handen der Klagevertretung einen Betrag von € 500,00 zu bezahlen.“

Die zu diesen Begehren aufgestellten Behauptungen des Klägers werden zwecks Wahrung einer besseren Übersichtlichkeit in dem für das Berufungsverfahren relevanten Umfang bei der Behandlung der Rechtsrügen (unten ad I.3.) dargestellt werden.

Die Beklagte beantragt die Abweisung dieser Begehren, weil die Ansprüche des Klägers unberechtigt seien.

Auch das Bestreitungsvorbringen der Beklagten wird, soweit es für das Berufungsverfahren bedeutsam ist, im Abschnitt über die Rechtsrügen (unten ad I.3.) zusammengefasst.

In seinem Schriftsatz vom 2.7.2018 stellte der Kläger – gestützt auf § 303ff iVm § 318 ZPO - den Antrag, der Beklagten zum Beweis näher bezeichneter Umstände „1. die Inhalte der von der Bekl betriebenen Datenbank ‚Facebook‘, welche personenbezogene Daten des Klägers enthalten, 2. das Verzeichnis von Verarbeitungstätigkeiten gem. Art 30 DSGVO soweit es Personengruppen betrifft, zu denen auch der Kl zählt“, vorzulegen (ON 49, S 60). In der Tagsatzung vom 11.11.2019 präzisierte der Kläger diesen Antrag dergestalt, „dass die konkreten Festplatten, auf denen sich die Daten des Klägers befinden, vorgelegt werden sollen“ (ON 80, S 14).

Ebenfalls in der Tagsatzung vom 11.11.2019 verkündete das Erstgericht einen – in weiterer Folge nicht ausgefertigten – Beschluss, mit dem es diesen Antrag des Klägers abwies (ON 80, S 14 ganz unten [zweiter Beschluss]).

Mit Urteil vom 30.6.2020 (ON 91) gab das Erstgericht dem 11. und 12. Klagebegehren statt, wies alle übrigen Klagebegehren ab und sprach aus, dass die Kostenentscheidung bis zur rechtskräftigen Erledigung der Streitsache vorbehalten bleibe. Die Erstrichterin traf die auf den Seiten 14 bis 32 sowie (disloziert) 10, 12 und 35 der Urteilsausfertigung ersichtlichen Feststellungen, auf welche zur Vermeidung von Wiederholungen verwiesen wird.

Auf die für das Berufungsverfahren bedeutsamen Teile wird bei der Prüfung der Rechtsmittel zurückzukommen sein. Auf Basis dieser Konstatierungen bejahte das Erstgericht in seiner rechtlichen Beurteilung die Berechtigung des 11. und 12. Begehrens, während die übrigen Begehren nicht stichhältig seien.

Gegen diese Entscheidungen wenden sich die vorliegenden Rechtsmittel der Streitteile.

Die Berufung des Klägers (ON 93, Punkt I., S 4 – 79) zielt darauf ab, die bekämpfte Entscheidung aus den Gründen der Mangelhaftigkeit des Verfahrens, der unrichtigen Tatsachenfeststellungen infolge unrichtiger Beweiswürdigung und der unrichtigen rechtlichen Beurteilung dahin abzuändern, dass seinen Begehren zur Gänze stattgegeben werde; in eventu wird ein Aufhebungsantrag gestellt. Diesem Rechtsmittel ist auch die (vom Berufungsgericht nicht aufgegriffene) Anregung des Klägers zuzuordnen, dem EuGH fünf näher bezeichnete Fragen zur Vorabentscheidung vorzulegen (ON 93, Punkt III., S 81 - 85).

Der Rekurs des Klägers (ON 93, Punkt II., S 79 - 81) wird „aus anwaltlicher Vorsicht und eventualiter zum obigen Berufungsgrund der Mangelhaftigkeit des Verfahrens“ gegen den oben genannten Beschluss vom 11.11.2019 (ON 80) erhoben und zielt darauf ab, diese Entscheidung dahin abzuändern, dass dem zugrunde liegenden Antrag stattgegeben werde.

In der Berufungsbeantwortung der Beklagten (ON 95, S 5 - 92 oben sowie 92 unten - 103), die auch eine Beweisrüge enthält, wird der Antrag gestellt, von der Einleitung eines Vorabentscheidungsverfahrens Abstand zu nehmen und der Berufung des Klägers nicht Folge zu geben.

Die Rekursbeantwortung der Beklagten (ON 95, S 92) zielt darauf ab, den Rekurs des Klägers als unzulässig zurückzuweisen.

In der Berufung der Beklagten (ON 94) wird derAntrag gestellt, das Urteil aus den Gründen der unrichtigen Tatsachenfeststellungen infolge unrichtiger Beweiswürdigung und der unrichtigen rechtlichen Beurteilung dahin abzuändern, dass auch das 11. und das 12. Klagebegehren abgewiesen werden; in eventu wird ein Aufhebungsantrag gestellt.

Die Berufungsbeantwortung des Klägers (ON 96), in der auch ein (vom Berufungsgericht ebenfalls nicht aufgegriffenes) Vorabentscheidungsverfahren angeregt wird, zielt darauf ab, diesem Rechtsmittel nicht Folge zu geben.

Alle drei Rechtsmittel sind unberechtigt.

I.

Zu den Berufungen beider Parteien:

1.

Zur Mängelrüge des Klägers:

Der Kläger macht geltend, das Erstgericht habe sei nen Vorlageantrag mit Beschluss vom 11.11.2019 (ON 80, S 14 ganz unten [zweiter Beschluss]) zu Unrecht abgewiesen. Damit bekämpft der Kläger diesen – gemäß § 319 Abs 2 ZPO nicht abgesondert anfechtbaren – Beschluss gemäß § 462 Abs 2 ZPO zutreffend im Rahmen der Berufung (Sloboda in Fasching/Konecny, Komm IV/1³, § 515 ZPO Rz 13 mwN).

Allerdings hat das Erstgericht diesem Antrag schon allein deshalb zutreffend nicht stattgegeben, weil er den von der hJud vorgeschriebenen Bestimmtheitserfordernissen nicht entspricht (vgl G. Kodek in Fasching/Konecny, Komm III/1³, § 303 ZPO Rz 23/1: Unbestimmtheit eines Antrags auf Vorlage der ‚gesamten Korrespondenz‘).

Darüber hinaus zeigt der Beklagte in seiner Berufung nicht auf, welche konkreten für ihn günstigen Verfahrensergebnisse im Fall einer Stattgebung des Antrags zu erwarten gewesen wären (siehe zu diesem Erfordernis RIS-Justiz RS0043039 [T4]).

Die vorliegende Mängelrüge schlägt daher nicht durch.

2.

Zu den Beweisrügen beider Parteien:

2.1.

Zur Beweisrüge des Klägers:

2.1.1.

(Berufung ON 93, Punkt 5.1 [S 65ff])

Bekämpfte Feststellung:

„Weil der Kläger dem nicht zugestimmt hat (außer Streit) verarbeitet die Beklagte keine personenbezogenen Daten des Klägers, die sie von Partnern über Aktivitäten außerhalb von Facebook-Produkten erhalten hat, zum Zweck der Darstellung personalisierter Werbung für den Kläger.“

(UA S 23, letzter Abs)

Begehrte Ersatzfeststellung:

„Obwohl der Kläger dem nicht zugestimmt hat (außer Streit), verarbeitet die Beklagte personenbezogene Daten des Klägers, die sie von Partnern über Aktivitäten außerhalb von Facebook-Produkten erhalten hat, zum Zweck der Darstellung personalisierter Werbung für den Kläger.“

Die Angaben des Klägers (ON 83, S 48ff) und der Zeugin Cecilia Alvarez (ON 83, S 41f; ergänzt S 46f) widersprechen einander in diesem Bereich. Aus den vom Kläger darüber hinaus ins Treffen geführten Beil ./CE, ./DE, ./DF und ./DI lässt sich nach Auffassung des erkennenden Senats für sich allein nicht mit der im Zivilverfahren gebotenen Gewissheit ableiten, ob das Tool „Custom Audience“ zum Tragen gekommen ist oder nicht. Eine verlässliche Klärung hätte wohl nur durch ein Sachverständigengutachten erfolgen können, das aber von keiner Partei beantragt worden ist. Die Beweisrüge schlägt daher in diesem Punkt nicht durch.

2.1.2.

(Berufung ON 93, Punkt 5.2 [S 68f])

Bekämpfte Feststellung:

„Ob, wann, auf welche Weise, Werbetreibende die ‚Custom Audience‘ oder die anderen Business-Tools nutzten bzw. die aus ./DI ersichtlichen Unternehmen, vom Kläger eine Einwilligung zur Übermittlung der Daten an die Beklagte im Rahmen dieser Tools einholten, ist nicht feststellbar.“

(UA S 24f)

Begehrte Ersatzfeststellung:

„Zahlreiche Werbetreibende, die Daten über den Kläger an die Beklagte weiterleiteten, haben hierfür keine Einwilligung eingeholt.“

Die Berufung wird in diesem Punkt nur auf Beil ./DK gestützt. Der erkennende Senat teilt aber die Beweiswürdigung des Erstgerichts (UA S 36, letzter Abs), wonach dieses Konvolut überhaupt nicht aussagekräftig ist. Neue Aspekte werden dazu in der Berufung nicht ins Treffen geführt. Gegen die hier angefochtene Konstatierung bestehen daher keine Bedenken.

2.1.3.

(Berufung ON 93, Punkt 5.3 [S 69f])

Bekämpfte Feststellungen:

„Abgesehen davon, dass die rechtliche Relevanz für die Klagebegehren nicht erkennbar ist, konnte anhand der vorgelegten Auftragsstudien keine sichere Feststellung zum Stellenwert der Werbung für die Nutzer von Facebook getroffen werden. Es ist davon auszugehen, dass der Großteil der Nutzer personalisierte Werbung der nicht personalisierten Werbung vorzieht und bewusst dafür in Kauf nimmt, die Plattform ‚gratis‘ nutzen zu können, wobei auch dies nicht für entscheidungsrelevant gehalten wird.“

(UA S 35, vorletzter Abs [disloziert])

Begehrte Ersatzfeststellungen:

„Anhand der vorgelegten Auftragsstudien kann festgestellt werden, dass die Werbung für die Nutzer von Facebook einen untergeordneten Stellenwert einnimmt. Es ist davon auszugehen, dass der Großteil der Nutzer nichtpersonalisierte Werbung der personalisierten Werbung vorzieht.“

Der Kläger weist zutreffend darauf hin, dass die von ihm hier beanstandeten dislozierten Feststellungen unzureichend begründet sind, zumal der pauschale Hinweis auf nicht näher präzisierte Auftragsstudien viel zu vage ist und insb auch eine argumentative Auseinandersetzung mit der Studie vom November 2019 (Beil ./CY) fehlt, die diesen Konstatierungen widerspricht. Die hier in Rede stehenden Feststellungen werden daher wegen des vom Kläger implizit relevierten Begründungsmangels (Rechberger/Klicka in Rechberger/Klicka, ZPO5, § 272 ZPO Rz 3 mwN) vom Berufungsgericht nicht übernommen. Auf den Ausgang dieses Berufungsverfahrens hat dies allerdings keine Auswirkungen (siehe unten ad 3.).

2.1.4.

(Berufung ON 93, Punkt 5.4 [S 70ff]

Bekämpfte Feststellung:

„Die Beklagte hat die Gesichtserkennungsvorlagen des Klägers nicht gespeichert und verwendet diese daher auch nicht.“

(UA S 25, letzter Abs)

Soweit der Kläger in diesem Zusammenhang auch Ausführungen auf UA S 33, letzter Abs kritisiert, bekämpft er keine eigenständigen, zusätzlichen Feststellungen, sondern wendet sich in Wahrheit nur gegen die Beweiswürdigung, die der soeben zitierten Konstatierung zugrunde liegt.

Begehrte Ersatzfeststellung:

„Die Beklagte verarbeitet die biometrischen Daten des Klägers, wie insbesondere Daten zur Gesichtserkennung.“

Der Kläger hat ausgesagt, die Beklagte bediene sich auch der Gesichtserkennung (ON 80, S 16, ergänzt S 26; ON 83, S 48). Die Zeugin Cecilia Alvarez hat eine solche Vorgangsweise bestritten (ON 80, S 30f; ON 83, S 32f). Die in der Berufung ins Treffen geführte Beil ./DO erlaubt nach Auffassung des erkennenden Senats keine verlässlichen Schlussfolgerungen; auch hier ist die Einholung eines Sachverständigengutachtens, durch das eine Klärung dieser Problematik vielleicht hätte erfolgen können, nicht beantragt worden. Die Beweisrüge ist daher in diesem Punkt nicht stichhältig.

2.1.5.

(Berufung ON 93, Punkt 5.5 [S 72f])

Der Kläger strebt hier vor der Wortfolge „relevantere Inhalte“ (UA S 12, Abs 3) den Einschub „ihres Erachtens“ an. Indem der Kläger damit eine ergänzende Feststellung fordert, macht er einen – für den Ausgang dieses Berufungsverfahrens allerdings nicht relevanten (siehe unten ad 3.) - Feststellungsmangel (sekundären Verfahrensmangel) iSd § 496 Abs 1 Z 3 ZPO geltend, sodass diese Ausführungen der Rechtsrüge zuzuordnen sind.

2.1.6.

(Berufung ON 93, Punkt 5.6 [S 73f])

Bekämpfte Feststellung:

„Der Kläger hat, nachdem sein Konto zuvor gesperrt worden war, die neuen Nutzungsbedingungen vom 19.04.2018 (./AM = ./41) durch Anklicken (aktiv), in Kenntnis der verlinkten Daten-Richtlinie (./AN = ./43), der Cookie-Richtlinie (./AP = ./44) und der Rechtsgrundlage-Information (./AO = ./45) akzeptiert, damit er Facebook weiter nutzen kann.“

(UA S 14, Abs 2)

Begehrte Ersatzfeststellung:

„Der Kläger hat, nachdem sein Konto zuvor gesperrt worden war, die neuen Nutzungsbedingungen vom 19.04.2018 (./AM = ./41) durch Anklicken (aktiv), in Kenntnis der Verlinkung der Daten-Richtlinie (./AN = ./43), der Cookie-Richtlinie (./AP = ./44) akzeptiert, damit er Facebook weiter nutzen kann. Die Rechtsgrundlage-Information (./AO = ./45) war in der Daten-Richtlinie (./AN = ./43) verlinkt.“

Aus der Aussage des Klägers lässt sich nicht explizit ableiten, ob er den Inhalt der in Rede stehenden Richtlinien gelesen hat oder nicht (ON 80, S 23f). Allerdings ist schon nach allgemeiner Lebenserfahrung (§ 269 ZPO) von einem Durchlesen auszugehen, zumal der Prozess zwischen den Streitteilen am 19.4.2018 bereits anhängig war und der Kläger der Ausgestaltung des Vertragsverhältnisses zwischen den Streitteilen daher zweifellos großes Augenmerk schenkte. Die angefochtene Feststellung stößt deshalb auf keine Bedenken.

2.1.7.

(Berufung ON 93, Punkt 5.7 [S 74f])

Bekämpfte Feststellung:

„Die Personalisierung bzw. das personalisierte Erlebnis unterscheidet Facebook von anderen sozialen Netzwerken.“

Begehrte Ersatzfeststellung:

„Facebook personalisiert seine Inhalte.“

Diese Gegenüberstellung zeigt, dass der Kläger in Wahrheit bloß den ersatzlosen Entfall jenes Feststellungsteils anstrebt, in dem ein Vergleich zwischen Facebook und anderen sozialen Netzwerken angestellt wird. Die Beweisrüge ist daher in diesem Punkt nicht gesetzmäßig ausgeführt (RS0041835 [T3]).

2.1.8.

(Berufung ON 93, Punkt 5.8 [S 75])

Bekämpfte Feststellung:

„Die Suchergebnisse beruhen ausschließlich auf den Aktivitäten eines Nutzers im Rahmen des Facebook-Dienstes.“

(UA S 21, vorletzter Abs)

Begehrte Ersatzfeststellung:

„Die Suchergebnisse beruhen unter anderem auf den Aktivitäten eines Nutzers im Rahmen des Facebook-Dienstes.“

Die Beklagte hat den vom Kläger hier beanstandeten Satz ausdrücklich vorgebracht (ON 77, S 113f [Rz 368]). Zu dieser Behauptung hat der Kläger in der Folge nicht konkret Stellung genommen, obwohl es ihm leicht möglich gewesen wäre (zB ON 78, S 36, Rz 140: konkrete Replik auf ON 77, S 114f, Rz 370, nicht aber auch Rz 368). Das Erstgericht ist daher in diesem Punkt zutreffend von einem schlüssigen Zugeständnis iSd § 267 Abs 1 ZPO ausgegangen (RS0039927), sodass die Beweisrüge in diesem Punkt nicht durchschlägt.

2.1.9.

(Berufung ON 93, Punkt 5.9 [S 76])

Der Kläger wendet sich gegen die in die Feststellungen eingebettete Aussage des Erstgerichts, wonach die Beklagte bei der Verarbeitung der Daten des Klägers nicht gegen ihre Richtlinien, Bedingungen und Informationen verstoße (UA S 32, letzter Abs). Stattdessen strebt er die „Feststellung“ an, dass die Beklagte bei der Verarbeitung der Daten des Klägers mitunter sogar gegen ihre Richtlinien, Bedingungen und Informationen verstoße.

Allerdings handelt es sich bei der beanstandeten Urteilspassage – inhaltlich – um eine der rechtlichen Beurteilung zuzuordnende Einschätzung. Auch die dagegen gerichteten Ausführungen des Klägers sind daher als Teil seiner Rechtsrüge einzustufen.

2.2.

Zur Beweisrüge der Beklagten:

2.2.1.

(Berufung ON 94, Punkt 1.2.1 [S 19ff]

Bekämpfte Feststellungen:

„In diesen Tools sind nicht alle verarbeiteten Daten ersichtlich, sondern nur die, die nach Ansicht der Beklagten für die Nutzer interessant und relevant sind.

[...]

Die Tools wurden erstellt, um den Nutzern Zugang zu aktuellen Daten in einem – nach Einschätzung der Beklagten – vernünftigen Rahmen zu geben.

[...]

Die Beklagte stellt in ihren Tools nur einen Teil der von ihr über den Kläger verarbeiteten Daten zur Verfügung, nämlich nur die, die sie für den Nutzer für interessant und relevant hält.“

(UA S 15, Abs 3; S 31, Abs 2)

Begehrte Ersatzfeststellung:

„Die Beklagte gewährt dem Kläger über ihre OnlineAuskunftstools Zugriff auf seine personenbezogenen Daten.“

Vorauszuschicken ist, dass sich die hier angefochtenen Feststellungen in der gebotenen Gesamtbetrachtung des Urteils eindeutig auf die personenbezogenen Daten des Klägers beziehen (siehe insb UA S 39, letzter Abs).

Die bekämpften Konstatierungen stehen nicht nur mit den Angaben des Klägers in Einklang (ON 80, S 27), sondern lassen auch aus der Aussage der Zeugin Cecilia Alvarez ableiten. Zunächst gab sie nämlich insb an, die einschlägigen Tools ermöglichten „Nutzern Zugang [...] zu aktuellen Daten in einem vernünftigen Rahmen“ (ON 83, S 23 oben). In weiterer Folge führte sie aus: „Wir versuchen natürlich sinnvolle Informationen dem User zu geben und dementsprechend werden die Punkte gehighlighted, die dem User ein sinnvolles Verständnis geben. [...] Dies ist keine Erklärung, die für einen Mathematiker gedacht ist, das ist keine mathematische bis ins letzte gehende Erklärung, sondern wir versuchen die Erklärbarkeit und die Relevanz zusammen zu bringen, um dem Durchschnittsnutzer ein Verständnis zu ermöglichen. Die Angabe aller Daten wäre unsinnig und bedeutungslos.“ (ON 83, S 28 oben). Diese Darstellung legt den vom Erstgericht gezogenen Schluss nahe, dass die von der Beklagten im Wege der Tools erteilten Auskünfte nicht alle personenbezogenen Daten des Auskunftswerbers umfassen, sondern dass die Beklagte eine ihr sinnvoll erscheinende Auswahl trifft. Angesichts dieser zuletzt genannten Aussage einer informierten Zeugin, von der die Erstrichterin einen persönlichen Eindruck gewinnen konnte, fällt die in der Beweiswürdigung darüber hinaus ins Treffen geführte und in der vorliegenden Berufung beanstandete Beil ./AA nicht ins Gewicht. Gleiches gilt für die in der Beweisrüge aufgelisteten Auskunfts-Tools, zumal ihre Existenz keine verlässlichen Rückschlüsse darauf erlaubt, ob sie tatsächlich den Zugriff auf alle verarbeiteten personenbezogenen Daten ermöglichen.

Die hier angefochtenen Feststellungen stoßen deshalb – entgegen dem Berufungsvorbringen – auf keine Bedenken.

2.2.2.

(Berufung ON 94, Punkt 1.2.2 [S 27f]

Bekämpfte Feststellung:

 „In den Tools sind [...] keine Profiling-Daten.“

(UA S 31, Abs 2)

Begehrte Ersatzfeststellung:

„Profiling-Daten sind in den Tools sichtbar.“

Die Beklagte weist zutreffend darauf hin, dass die angefochtene Feststellung zu anderen Konstatierungen in einem Widerspruch steht, aus denen hervorgeht, dass die Beklagte über Profiling-Maßnahmen Auskunft erteilt (UA S 19, Abs 2). Auch der Kläger zieht dies in seiner Berufungsbeantwortung nicht in Zweifel, sondern vertritt den Standpunkt, dass nicht alle Profiling-Daten von der Auskunft umfasst seien (ON 96, S 22f). Diese Widersprüchlichkeit bewirkt einen Feststellungsmangel (RS0042744), der dazu führt, dass alle soeben zitierten Konstatierungen bei der rechtlichen Beurteilung auszublenden sind; auf das Ergebnis des Berufungsverfahrens wirkt sich das allerdings nicht aus (siehe unten ad 3.).

2.2.3.

(Berufung ON 94, Punkt 1.2.3 [S 28f])

Bekämpfte Feststellung:

„Im Oktober 2019 waren in dem Download-Tool jeweils nur die IP-Adresse und der Ort und die Zeit des Hochladens, nicht aber die EFIX-Daten [Anmerkung des Berufungsgerichts: richtig EXIF-Daten] des Fotos wie Aufnahmegerät und Speicherort, ersichtlich.“

(UA S 32, Abs 1)

Begehrte Ersatzfeststellung:

„Es gab keinen Hinweis darauf, dass die Beklagte im Oktober 2019 EXIF-Daten für das Foto in Beilage ./DD hatte und die Beklagte konnte keinen Zugang zu Daten gewähren, über den sie nicht verfügte.“

Diese Gegenüberstellung zeigt, dass die beanstandete Feststellung und die von der Beklagten geforderte Konstatierung zueinander in keinem logischen Widerspruch stehen. Denn die bekämpfte Feststellung bringt ohnehin nicht zum Ausdruck, dass die Beklagte EXIF-Daten trotz ihrer Verfügbarkeit nicht im Download-Tool bereitstelle. Die Beklagte strebt daher hier in Wahrheit eine ergänzende Feststellung an und macht damit – inhaltlich – einen der Rechtsrüge zuzuordnenden Feststellungsmangel (sekundären Verfahrensmangel) iSd § 496 Abs 1 Z 3 ZPO geltend; auch hier fehlt allerdings eine Relevanz für den Ausgang des Berufungsverfahrens (siehe unten ad 3.).

2.2.4.

(Berufung ON 94, Punkt 1.2.4 [S 29f])

Bekämpfte Feststellung:

„Ob alle Daten des Klägers, die die Beklagte im Zuge dieses Produkts verarbeitet hatte, unwiederbringlich gelöscht wurden, ist nicht feststellbar.“

(UA S 26 oben)

Begehrte Ersatzfeststellung:

„Das Produkt Partnerkategorien wurde in der EU im Mai 2018 eingestellt, und die mit den Partnerkategorien verbundenen personenbezogenen Daten wurden vor dem Datum des Auskunftsbegehrens des Klägers gelöscht.“

Das Erstgericht begründet die hier angefochtene Non-liquet-Feststellung in seiner Beweiswürdigung damit, dass die Zeugin Cecilia Alvarez in diesem Punkt zu vage Angaben gemacht habe (UA S 36, Abs 2). Tatsächlich ist die Aussage dieser Zeugin insoweit mit Unsicherheiten behaftet, als sie sich auf Löschvorgänge bezieht (ON 80, S 29 Mitte: „Ich habe dazu keine gegenteiligen Informationen.“; S 31 unten: „Ich bin kein Techniker.“). Da sich die Erstrichterin von der Zeugin darüber hinaus auch einen persönlichen Eindruck verschaffen konnte, stößt die beanstandete Feststellung auf keine Bedenken.

2.2.5.

(Berufung ON 94, Punkt 1.2.5 [S 30f])

Bekämpfte Feststellung:

„In dem Tool ‚Aktivitäten außerhalb von Facebook‘ sieht man die Unternehmen, die Daten geschickt haben, aber nicht welche Daten die Unternehmen geschickt haben und man sieht die Rohdaten nicht.“

(UA S 31, Abs 3)

Begehrte Ersatzfeststellung:

„Die Beklagte stellt Nutzern eine Zusammenfassung der Daten zur Verfügung, die sie von Webseiten und Apps Dritter erhält, basierend auf den Aktivitäten der Nutzer außerhalb des Facebook-Dienstes.“

Das Erstgericht stützt die angefochtene Feststellung auf die Aussage des Klägers (ON 83, S 50 unten). Dagegen wird in der Berufung nur ein Auszug aus einer Urkunde ins Treffen geführt (Beil ./94, S 172 – 178). Diese Passagen sind aber nicht geeignet, die Angaben des Klägers zu widerlegen, zumal sie nicht zweifelsfrei erkennen lassen, ob die Auskunft tatsächlich auch die von der bekämpften Konstatierung umfassten Aspekte vollständig umfasst. Der Beweisrüge kann daher in diesem Punkt kein Erfolg beschieden sein.

2.2.6.

(Berufungsbeantwortung ON 95, Punkt VI. [S 86f])

Bekämpfte Feststellungen:

„Der Kläger erhielt regelmäßig Werbung, die auf homosexuelle Personen abzielte und Einladungen zu entsprechenden Veranstaltungen, obwohl er sich davor für die konkrete Veranstaltung nicht interessiert hatte und den Veranstaltungsort nicht kannte. Diese Werbung bzw. diese Einladungen orientierten sich nicht unmittelbar an der sexuellen Orientierung des Klägers oder seiner ‚Freunde‘, sondern an der Analyse deren Interessen.“

(UA S 27, vorletzter Abs)

Begehrte Ersatzfeststellungen:

„Der Kläger behauptete, er habe Einladungen zu Facebook ‚Veranstaltungen‘ erhalten, die auf homosexuelle Personen abzielte, obwohl er sich davor für die konkrete Veranstaltung nicht interessiert hatte und den Veranstaltungsort nicht kannte. Diese Einladungen orientierten sich nicht unmittelbar an der sexuellen Orientierung des Klägers, sondern könnten ihm vielmehr auf der Grundlage verschiedener für die Personalisierung des Dienstes relevanter Faktoren vorgeschlagen worden sein, wie z.B. ein Interesse der Freunde des Klägers an der Veranstaltung, die Interessen des Klägers an ‚Tanz‘ oder ‚Techno‘ und/oder ob der Kläger (oder seine Freunde) an ähnlichen ‚Tanz‘- oder ‚Techno‘-Veranstaltungen teilgenommen hatten.“

Zwischen den eingangs zitierten Feststellungen und den von der Beklagten angestrebten Konstatierungen besteht aber in Wahrheit kein logischer Widerspruch. Hervorzuheben ist insbesondere, dass sowohl das Erstgericht als auch die Beklagte eine Relevanz der homosexuellen Orientierung des Klägers verneint und die Interessen der Freunde des Klägers als entscheidenden Faktor betrachtet, wobei zwischen den Begriffen „Werbung“ und „Einladung“ in diesem Zusammenhang kein relevanter Unterschied besteht. Die Beweisrüge geht daher in diesem Punkt ins Leere.

3.

Zu den Rechtsrügen beider Parteien:

3.1.

Zur Rechtsrüge des Klägers:

3.1.1.

Zu den Klagebegehren 1, 2, 3, 4 und 4.1:

Ein Hauptstreitpunkt ist in diesem Prozess die datenschutzrechtliche Rollenverteilung zwischen den

Streitteilen.

Der Kläger vertritt den Standpunkt, er sei Verantwortlicher iSd Art 4 Z 7 DSGVO hinsichtlich der zu seinen persönlichen Zwecken betriebenen Datenanwendungen; in diesem Bereich sei der Kläger auch Betroffener. Hingegen genieße die Beklagte die Verantwortlichenstellung (nur) in Ansehung der darüber hinausgehenden, weiteren Datenanwendungen. Der Kläger habe ein rechtliches Interesse an der Feststellung dieser Aufgabenverteilung (Begehren 1 und 2). Im Verantwortlichenbereich des Klägers sei die Beklagte Auftragsverarbeiterin. Sie dürfe daher in dieser Funktion keine Datenanwendungen ohne oder entgegen der Weisung des Klägers vornehmen (Begehren 3). Zwischen dem Kläger (in seiner Funktion als Verantwortlicher) und der Beklagten (in ihrer Stellung als Auftragsverarbeiter) sei bisher kein den Anforderungen des Art 28 Abs 3 DSGVO entsprechender Vertrag geschlossen worden. Der Kläger habe Anspruch auf den Abschluss einer solchen Vereinbarung (Begehren 4), in eventu auf die Feststellung, dass ein solcher Vertrag derzeit nicht existiere (Begehren 4.1).

Die Beklagte erwidert, sie sei im Verhältnis zum Kläger der alleinige Verantwortliche. Dem Kläger fehle für die Begehren 1 und 2 ein Feststellungsinteresse. Auch die Begehren 3, 4 und 4.1. seien unberechtigt, weil sie von der unzutreffenden Prämisse einer Verantwortlichenstellung des Klägers ausgingen.

Der EuGH hat bereits klargestellt, dass der bloße Umstand der Nutzung eines sozialen Netzwerks wie Facebook für sich genommen einen Facebook-Nutzer nicht für die von diesem Netzwerk vorgenommene Verarbeitung personenbezogener Daten mitverantwortlich macht. Anders ist jedoch der Betreiber einer auf Facebook eingerichteten Fanpage zu beurteilen, zumal die Einrichtung einer solchen Seite Facebook die Möglichkeit gibt, auf dem Computer oder jedem anderen Gerät der Person, die die Fanpage besucht hat, Cookies zu platzieren, unabhängig davon, ob diese Person über ein Facebook-Konto verfügt. Der Betreiber einer solchen Fanpage trägt daher zur Verarbeitung der personenbezogenen Daten der Besucher seiner Seite bei und genießt somit in Ansehung dieser Daten Verantwortlichenstellung (EuGH C-210/16, Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein, insb Rz 35, 36 und 41 sowie Spruchpunkt 1). Gleiches gilt für den Betreiber einer Facebook-Seite, der einen „Gefällt mir“-Button in diese Seite einbindet. Da Facebook durch ein solches „Social Plugin“ personenbezogene Daten jedes Dritten erlangt, der diese Seite bloß aufruft, ist (auch) der Betreiber einer derartigen Seite hinsichtlich dieser Daten als für die Datenverarbeitung Verantwortlicher einzustufen (EuGH C-40/17, Fashion ID GmbH & Co KG, Rz 64 – 85 [insb Rz 75, 78, 81, 83 und 84] sowie Spruchpunkt 2).

Aus dieser Judikatur lässt sich unmissverständlich ableiten, dass ein Facebook-Nutzer nur in Ansehung der personenbezogenen Daten Dritter unter bestimmten Voraussetzungen als Mitverantwortlicher iSd Art 4 Z 7 DSGVO eingestuft werden kann. Hingegen ist er in Ansehung seiner eigenen personenbezogenen Daten – nur – Betroffener. In beiden Konstellationen bleibt Facebook Mitverantwortlicher bzw. einziger Verantwortlicher.

Mit seinem Begehren 1 strebt der Kläger die Feststellung seiner Verantwortlichenstellung in einem Bereich an, in dem er Betroffener ist, also in Ansehung eigener personenbezogener Daten. Dieses Begehren ist daher schon allein aus den soeben angestellten Erwägungen unberechtigt.

Mit seinem Begehren 2 bezweckt der Kläger die Feststellung, die Beklagte sei Verantwortlicher in dem nicht bereits vom Begehren 1 umfassten Bereich. Ein von § 228 ZPO gefordertes rechtliches Interesse des Klägers ist aber hier nicht erkennbar, zumal die Beklagte ihre Verantwortlichenstellung ohnehin nie bestritten hat.

Auch die Begehren 3, 4 und 4.1 schlagen nicht durch, weil sie auf der unzutreffenden Prämisse der Berechtigung des Begehrens 1 basieren.

3.1.2.

Zu den Klagebegehren 5, 5.1 und 7:

Der Kläger strebt die Feststellung an, dass näher bezeichnete Zustimmungserklärungen des Klägers nicht als wirksame Einwilligung iSd Art 6 Abs 1 und 7 DSGVO einzustufen seien (Begehren 5, in eventu 5.1) und dass keine wirksame Einwilligung des Klägers zu näher konkretisierten, von der Beklagten durchgeführten Datenverarbeitungen vorliege (Begehren 7).

Die Beklagte beantragt die Abweisung dieser Begehren, weil die vom Kläger beanstandeten Datenverarbeitungen rechtmäßig erfolgten der Kläger auch kein Feststellungsinteresse habe.

Eine Rechtshandlung kann nach gefestigter höchstgerichtlicher Judikatur nicht Gegenstand eines Feststellungsbegehrens gemäß § 228 ZPO sein, weil es sich dabei nicht um ein Recht oder Rechtsverhältnis, sondern nur um eine Vorfrage für dessen Bestand handelt (RS0038804). Die Feststellung der Unwirksamkeit einer Erklärung kann daher nicht verlangt werden (RS0039087; insb auch RS0039036 zur Kündigung eines Arbeitsverhältnisses und RS0038933 zur Kündigung eines Mietvertrags).

Die hier in Rede stehenden Begehren sind daher schon allein deshalb zutreffend abgewiesen worden, weil sie nicht die Anforderungen des § 228 ZPO erfüllen.

3.1.3.

Zu den Klagebegehren 6, 8, 9 und 10:

Der Kläger vertritt im Wesentlichen den Standpunkt, er habe den von diesen Begehren umfassten Maßnahmen der Beklagten nicht wirksam zugestimmt. Auch auf andere Rechtfertigungsgründe könne sich die Beklagte nicht mit Erfolg berufen.

Die Beklagte erwidert im Wesentlichen, diese Daten- verarbeitungen seien durch Art 6 Abs 1 lit b DSGVO gerechtfertigt.

Eine Datenverarbeitung ist ua dann rechtmäßig, wenn sie gemäß Art 6 Abs 1 lit b DSGVO für die Erfüllung eines Vertrags, dessen Partei die betroffene Person ist, erforderlich ist. In welchem Umfang eine Verarbeitung als erforderlich anzusehen ist, ergibt sich anhand einer Einzelfallbeurteilung aus dem aus dem Vertragsinhalt hervorgehenden Vertragszweck und dem was zur Erfüllung der Vertragspflichten oder der Wahrnehmung von Rechten geboten ist (Kastelitz/Hötzendorfer/Tschohl in Knyrim, DatKomm Art 6 DSGVO Rz 36 mwN).

Dem zwischen den Streitteilen geschlossenen Vertrag lagen in dem für dieses Berufungsverfahren relevanten Zeitraum zunächst die vom Kläger akzeptierten Nutzungsbedingungen der Beklagten vom 19.4.2018 (Beil ./AM) zugrunde (UA S 14, Abs 2). Ihr Punkt 4. enthält unter anderem die nachstehende Passage:

„4. Zusätzliche Bestimmungen

1. Aktualisierung unserer Nutzungsbedingungen

[...]

Sofern gesetzlich nicht etwas anderes vorgeschrieben ist, werden wir dich mindestens 30 Tage im Voraus benachrichtigen (z.B. per E-Mail oder über unsere Produkte), bevor wir Änderungen zu diesen Nutzungsbedingungen vornehmen. Du erhältst dann die Möglichkeit zu deren Überprüfung, bevor sie in Kraft treten. Sobald jedwede aktualisierten Nutzungsbedingungen in Kraft treten, bist du an diese gebunden, wenn du unsere Produkte weiterhin nutzt.

[...].“

In der Folge nutzte der Kläger Facebook auch in Kenntnis der am 31.7.2019 aktualisierten Nutzungsbedingungen (Beil ./CA) weiter (UA S 14 unten), die sich von den ursprünglichen Bedingungen (Beil ./AM) inhaltlich nur geringfügig unterscheiden. Sie lauten auszugsweise folgendermaßen:

„Nutzungsbedingungen

Willkommen bei Facebook!

[...]

Wir berechnen dir nichts für die Nutzung von Facebook oder der anderen Produkte und Dienste, für die diese Nutzungsbedingungen gelten. Stattdessen bezahlen uns Unternehmen und Organisationen dafür, dass wir dir Werbeanzeigen für ihre Produkte und Dienstleistungen zeigen. Durch die Nutzung unserer Produkte erklärst du dich damit einverstanden, dass wir dir Werbeanzeigen zeigen dürfen, die nach unserer Ansicht relevant für dich sind und deinen Interessen entsprechen. Wir nutzen deine personenbezogenen Daten, um festzulegen, welche Werbeanzeigen wir dir zeigen.

Wir verkaufen deine personenbezogenen Daten nicht an Werbetreibende und wir geben Informationen, die dich unmittelbar identifizieren (z.B. deinen Namen, deine E-Mail-Adresse oder andere Kontaktinformationen), nur mit deiner ausdrücklichen Zustimmung an Werbekunden weiter. Dagegen können uns Werbekunden beispielsweise mitteilen, welche Zielgruppe ihre Werbeanzeigen sehen soll. Wir zeigen diese Anzeigen dann jenen Personen, die möglicherweise daran interessiert sind.

[...]

1. Von uns angebotene Dienste

Unsere Mission ist es, Personen die Möglichkeit zu geben, Gemeinschaften zu bilden, und die Welt näher zusammenzubringen. Um diese Mission voranzutreiben, stellen wir dir die nachfolgend beschriebenen Produkte und Dienste bereit:

• Wir stellen dir ein personalisiertes Erlebnis bereit: [...] Um dein Erlebnis zu personalisieren, nutzen wir die uns zur Verfügung stehenden Daten – beispielsweise über von dir hergestellte Verbindungen, Optionen und Einstellungen, die du wählst, und was du auf unseren Produkten sowie außerhalb dieser tust.
• Wir verbinden dich mit Personen und Organisationen, die dir wichtig sind: Wir helfen dir dabei, Personen, Gruppen, Unternehmen, Organisationen usw., die dir wichtig sind, auf den von dir genutzten Facebook-Produkten zu finden und dich mit ihnen zu verbinden. Wir nutzen die uns zur Verfügung stehenden Daten, um dir und anderen Vorschläge zu unterbreiten – zum Beispiel für den Beitritt zu Gruppen, die Teilnahme an Veranstaltungen, das Abonnieren von oder Senden von Nachrichten an Seiten, das Ansehen von Shows sowie Personen, die du möglicherweise als Freund/in hinzufügen möchtest.

[...]

• Wir helfen dir dabei, Inhalte, Produkte und Dienste zu entdecken, die dich interessieren könnten: Wir zeigen dir Werbeanzeigen, Angebote und sonstige gesponserte Inhalte, um dir dabei zu helfen, Inhalte, Produkte und Dienste zu entdecken, die von den vielen Unternehmen und Organisationen angeboten werden, die Facebook und andere Facebook-Produkte nutzen.

[...]

2. Wie unsere Dienste finanziert werden

Anstatt dafür zu zahlen, Facebook sowie die anderen von uns angebotenen Produkte und Dienste zu nutzen, erklärst du dich durch Nutzung der Facebook-Produkte, für die diese Nutzungsbedingungen gelten, einverstanden, dass wir dir Werbeanzeigen zeigen dürfen, für deren Hervorhebung innerhalb und außerhalb der Produkte der Facebook-Unternehmen wir von Unternehmen und Organisationen bezahlt werden. Wir verwenden deine personenbezogenen Daten, wie z.B. Informationen über deine Aktivitäten und Interessen, um dir Werbeinhalte zu zeigen, die relevanter für dich sind.

Der Schutz der Privatsphäre und der Daten von Personen war zentraler Bestandteil bei der Gestaltung unseres Werbesystems. Das heißt, dass wir dir relevante und hilfreiche Werbeanzeigen zeigen können, ohne dass Werbetreibende erfahren, wer du bist. Wie verkaufen deine personenbezogenen Daten nicht. Wir geben Werbetreibenden die Möglichkeit, uns beispielsweise mitzuteilen, was ihr Geschäftsziel ist und welche Art von Zielgruppe ihre Werbeanzeige sehen soll (z. B. Personen im Alter von 18 und 35 Jahren, die sich für Radfahren interessieren). Daraufhin zeigen wir deren Werbeanzeige Personen, die daran interessiert sein könnten.

[...].

4. Streitfälle

[...]

Wenn Du ein Verbraucher bist und deinen ständigen Wohnsitz in einem Mitgliedstaat der Europäischen Union hast, gelten die Gesetze dieses Mitgliedstaats für jeglichen Anspruch, Klagsgegenstand oder Streitfall, den du uns gegenüber hast und der sich aus diesen Nutzungsbedingungen oder aus den Facebook-Produkten oder im Zusammenhang damit ergibt (‚Anspruch‘).“

[...].“

Der zwischen den Streitteilen geschlossene Vertrag ist gemäß Art 6 Abs 1 Rom I-VO nach österreichischem Recht zu beurteilen, zumal unter Punkt 4. der Nutzungsbedingungen keine – gemäß Art 6 Abs 2 Rom I-VO unter bestimmten Voraussetzungen zulässige – abweichende Rechtswahl getroffen wurde.

Es handelt sich um ein in der österreichischen Rechtsordnung nicht ausdrücklich geregeltes, also atypisches Schuldverhältnis (dazu allgemein zB Bollenberger/P. Bydlinski in KBB, ABGB6, § 859 ABGB Rz 15 mwN). Sein Inhalt besteht im Wesentlichen darin, dass die Beklagte dem Facebook-Nutzer eine „personalisierte“, also auf seine Interessen und Einstellungen individuell zugeschnittene Plattform eröffnet, auf der er mit anderen Facebook-Nutzern kommunizieren kann. Zwar schuldet der Facebook-Nutzer für den Zutritt zu diesem Forum kein Geld, doch duldet er, dass die Beklagte alle ihr zur Verfügung stehenden personenbezogenen Daten des Nutzers verwertet. Die Verarbeitung dieser Daten dient dazu, dem Nutzer personalisierte Werbung zu senden. Zu diesem Zweck gibt die Beklagte die Daten ihrer Nutzer ohne deren ausdrückliche Zustimmung nicht an Dritte weiter, sondern sendet die Werbung im Auftrag von Werbekunden an bestimmte, gegenüber den Werbetreibenden anonym bleibende Zielgruppen, die sie aus den Daten herausfiltert. Durch den Verkauf dieser Werbeanzeigen erzielt die Beklagte Einkünfte.

Das Wesen dieses Facebook-Geschäftsmodells und die damit verknüpften Vertragszwecke (aus der Warte des Facebook-Nutzers vor allem: Erlangung des Zutritts zu einer – auch durch maßgeschneiderte Werbung – personalisierten Kommunikationsplattform, ohne dafür Geld zahlen zu müssen; aus Sicht der Beklagten insbesondere: Erzielung von Einnahmen durch personalisierte Werbung, ermöglicht durch die personenbezogenen Daten der Facebook-Nutzer) wird in den Bedingungen in einer Weise erläutert, die für jeden auch nur durchschnittlich aufmerksamen Leser leicht verständlich ist. Dieses Modell ist auch weder sittenwidrig iSd § 879 Abs 1 ABGB noch ungewöhnlich iSd § 864a ABGB. Insbesondere ist es legitim, dass ein marktwirtschaftlich operierendes Unternehmen, das für bestimmte Dienstleistungen kein Geld verrechnet, im Rahmen der Gesetze auf anders geartete Finanzierungsquellen zurückgreift.

Schließlich werden die Vertragszwecke auch nicht durch ein dem Transparenzgebot des § 864a ABGB zuwiderlaufendes Erscheinungsbild der Nutzungsbedingungen verschleiert, sondern im Gesamtgefüge dieses Regelwerks deutlich veranschaulicht. Die in Rede stehenden Nutzungsbedingungen sind daher uneingeschränkt wirksam vereinbart worden.

Die Verarbeitung der personenbezogenen Nutzerdaten ist eine tragende Säule des zwischen den Streitteilen geschlossenen Vertrags. Denn nur diese Datenverwertung ermöglicht maßgeschneiderte Werbung, die das von der Beklagten geschuldete „personalisierte Erlebnis“ in wesentlichem Maße prägt und der Beklagten zugleich die für den Aufrechterhaltung der Plattform und die Erzielung eines Gewinns notwendigen Einkünfte verschafft. Diese Datenverarbeitung ist daher für die Vertragserfüllung „erforderlich“ iSd Art 6 Abs 1 lit b DSGVO.

Die in der Berufung thematisierten Vorgaben des Art 5 Abs 1 lit b, c und e DSGVO entziehen sich in diesem Verfahren einer näheren Prüfung, weil die Klagebegehren nicht auf eine Durchsetzung dieser Vorgaben ausgerichtet sind.

Auch die Argumentation des Klägers, der Beklagten falle eine Verletzung des Art 9 Abs 1 DSGVO zur Last, schlägt schon allein deshalb fehl, weil sich die Klagebegehren nicht einmal implizit auf diese Bestimmung beziehen.

Aus dem in der Berufung zitierten Urteil des EuGH C-673/17, Planet49 GmbH, lässt sich für den Prozessstandpunkt des Klägers nichts gewinnen, weil der Rechtfertigungstatbestand des Art 6 Abs 1 lit b DSGVO in dieser Entscheidung nicht zu prüfen war, offenbar weil sich die Beklagte im dort zugrunde liegenden Verfahren nicht darauf berufen hatte (siehe insb Rz 13 dieses Urteils, wo im Zuge der Auflistung der relevanten Rechtsnormen nur Art 6 Abs 1 lit a – nicht aber auch lit b - DSGVO zitiert wird). Vielmehr umfasst der hier in Rede stehende Rechtfertigungstatbestand – lege non distinguente – auch personenbezogene Daten, die durch Cookies, Social Plugins, Cookies und vergleichbare Instrumente gewonnen werden.

Aus dem bisher Gesagten folgt, dass sich die Beklagte mit Erfolg auf Art 6 Abs 1 lit b DSGVO berufen kann.

Die Klagebegehren 6, 8, 9 und 10, welche zu Unrecht auf die Untersagung der Verarbeitung personenbezogener Daten des Klägers abzielen, sind deshalb nicht zielführend.

3.2.

Zur Rechtsrüge der Beklagten:

3.2.1.

Zum Klagebegehren 11:

Der Kläger bringt dazu im Wesentlichen vor, er habe zuletzt 2019 ein auf Art 15 DSGVO gestütztes Auskunftsersuchen an die Beklagte gerichtet, das nicht gesetzeskonform beantwortet worden sei. Er habe deshalb Anspruch auf Erteilung einer dem Art 15 DSGVO entsprechenden Auskunft.

Die Beklagte erwidert, sie habe ihre Auskunftspflicht ordnungsgemäß erfüllt.

Laut den Feststellungen richtete der Kläger zuletzt 2019 ein auf Art 15 DSGVO gestütztes Auskunftsbegehren an die Beklagte, mit dem er auf einschlägige Online-Tools verwiesen wurde (UA S 30f iVm Beil ./DG). Allerdings stellt die Beklagte darin nur einen Teil der von ihr über den Kläger verarbeiteten (gemeint: personenbezogenen) Daten zur Verfügung (UA S 15, Abs 3 und S 31, Abs 2; siehe zu diesen Feststellungen, insb auch zu ihrer Auslegung oben ad 2.2.1.).

Gemäß diesen Konstatierungen, von denen sich die Rechtsrüge der Beklagten (in nicht gesetzeskonformer Weise: RS0041585) über weite Strecken entfernt, hat die Beklagte ihre in Art 15 Abs 1 DSGVO wurzelnde Auskunftspflicht verletzt. Der Kläger hat deshalb gemäß Art 15 Abs 1 zweiter Halbsatz DSGVO – nach wie vor – Anspruch auf Auskunft über seine von der Beklagten verarbeiteten personenbezogenen Daten sowie über die Verarbeitungszwecke (Abs 1 lit a leg cit), über die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden (Abs 1 lit b leg cit), sowie über die Herkunft der Daten, wenn sie nicht beim Kläger erhoben worden sind (Abs 1 lit g leg cit). Der dem Klagebegehren 11 stattgebende Spruchpunkt I. ist deshalb mit der Maßgabe zu bestätigen, dass eine von diesem Begehren geringfügig abweichende Formulierung gewählt wird, die sich enger am Verordnungswortlaut orientiert. Diese Neufassung hält sich in dem durch § 405 ZPO gesteckten Rahmen (siehe zur Zulässigkeit RS0039357 ua); insb haben die im Klagebegehren 11 enthaltenen und nun eliminierten vagen Worte bzw. Wortfolgen „genauen“ „wann immer möglich“ und „gegebenen falls“ kein exequierbares Substrat.

3.2.2.

Zum Klagebegehren 12:

Der Kläger behauptet, die Unsicherheit über die Verarbeitung seiner Daten habe emotionales Ungemach verursacht, weshalb ihm auch ein immaterieller Schadenersatz von EUR 500 zustehe (insb ON 78, S 38 [Rz 149] iVm ON 80, S 3).

Die Beklagte entgegnet, der Kläger habe zu seinem Schadenersatzbegehren keine schlüssigen Behauptungen aufgestellt.

Gemäß Art 82 Abs 1 DSGVO hat jede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden erwachsen ist, Anspruch auf Schadenersatz gegen den Verantwortlichen oder den Auftragsverarbeiter.

In casu hat der Kläger – wie soeben dargelegt – einen immateriellen Schaden behauptet, der durch die Verletzung der Auskunftspflicht verursacht worden sei. Dieses Ungemach spiegelt sich auch in den (insofern unbekämpften Feststellungen) wider (UA S 32, Abs 3). Da die geforderten EUR 500 mit dem geringen Ausmaß dieses Unwohlseins harmonieren, erweist sich der vom Erstgericht vorgenommene Zuspruch als berechtigt.

3.3.

Auch die Rechtsrügen der Streitteile schlagen daher nicht durch, sodass den Berufungen insgesamt kein Erfolg beschieden sein kann.

4.

Der zweitinstanzliche Kostenvorbehalt beruht auf § 52 Abs 3 Satz 1 ZPO.

5.

Ein Bewertungsausspruch hat zu entfallen (RS0042418 [insb T18].

6.

Die ordentliche Revision ist gemäß § 502 Abs 1 ZPO zulässig, weil die im gegenständlichen Prozess zu lösenden Rechtsfragen auch für viele andere, gleichartige Vertragsverhältnisse bedeutsam sein konnen, die die Beklagte mit Facebook-Nutzern in Österreich geschlossen hat (vgl RS0121516 zur Wertung im insoweit ähnlich gelagerten Verbandsprozess). Insbesondere gilt dies für die folgende Rechtsfrage:

Kann sich die Beklagte mit Erfolg auf den Rechtfertigungstatbestand des Art. 6 Abs. 1 lit. b DSGVO berufen, wenn sie personenbezogene Daten ihrer Vertragspartner (Facebook-Nutzer) verarbeitet, um aus der dadurch möglichen personalisierten Werbung Einkünfte zu erzielen?

II.

Zum Rekurs des Klägers:

Der Beklagte hat den Beschluss vom 11.11.2019 (ON 80, S 14 ganz unten [zweiter Beschluss]) mit seiner Mängelrüge erfolglos bekämpft (siehe oben ad I.1.) und ficht diese Entscheidung in eventu auch mit dem vorliegenden Rekurs an, was nach einem Teil der Rechtsprechung zulässig ist (Sloboda in Fasching/Konecny, Komm IV/1,  § 515 ZPO Rz 12 mwN).

Auch dieser Rekurs dringt aber schon allein deshalb nicht durch, weil der zugrunde liegende Antrag des Klägers zu unbestimmt ist (siehe oben as I.1.).

Gesonderte Rekursbeantwortungskosten wurden nicht verzeichnet.

Der Revisionsrekurs ist gemäß § 528 Abs 2 Z 2 ZPO jedenfalls unzulässig.

Oberlandesgericht Wien

1011 Wien, Schmerlingplatz 11

Abt. 11, am 7. Dezember 2020