Gründe

Zu den Vorlagefragen

Zur ersten und zur siebten Frage

36Mit seiner ersten und seiner siebten Frage, die zusammen zu behandeln sind, möchte das vorlegende Gericht im Wesentlichen wissen, ob die Art. 51 ff. DSGVO dahin auszulegen sind, dass eine mitgliedstaatliche Wettbewerbsbehörde im Rahmen der Prüfung, ob ein Missbrauch einer beherrschenden Stellung durch ein Unternehmen im Sinne von Art. 102 AEUV vorliegt, feststellen kann, dass die Allgemeinen Nutzungsbedingungen dieses Unternehmens, soweit sie sich auf die Verarbeitung personenbezogener Daten beziehen, und die Durchführung dieser Nutzungsbedingungen nicht mit der DSGVO vereinbar sind, und wenn ja, ob Art. 4 Abs. 3 EUV dahin auszulegen ist, dass eine solche inzidente Feststellung der Wettbewerbsbehörde auch dann möglich ist, wenn diese Nutzungsbedingungen gleichzeitig einem Untersuchungsverfahren durch die gemäß Art. 56 Abs. 1 DSGVO zuständige federführende Aufsichtsbehörde unterliegen.

37Zur Beantwortung dieser Frage ist zunächst darauf hinzuweisen, dass nach Art. 55 Abs. 1 DSGVO jede Aufsichtsbehörde grundsätzlich für die Erfüllung der ihr mit dieser Verordnung übertragenen Aufgaben und die Ausübung der ihr mit der Verordnung übertragenen Befugnisse im Hoheitsgebiet ihres eigenen Mitgliedstaats zuständig ist (Urteil vom 15. Juni 2021, Facebook Ireland u. a., C-645/19, EU:C:2021:483, Rn. 47 und die dort angeführte Rechtsprechung).

38Zu den Aufgaben der Aufsichtsbehörden gehört es nach Art. 51 Abs. 1 und Art. 57 Abs. 1 Buchst. a DSGVO, die Anwendung der DSGVO zu überwachen und durchzusetzen, um die Grundrechte und Grundfreiheiten natürlicher Personen bei der Verarbeitung ihrer personenbezogenen Daten zu schützen und den freien Verkehr solcher Daten in der Union zu erleichtern. Außerdem arbeiten die Aufsichtsbehörden gemäß Art. 51 Abs. 2 und Art. 57 Abs. 1 Buchst. g DSGVO zusammen, auch durch Informationsaustausch, und leisten sich gegenseitig Amtshilfe, um die einheitliche Anwendung und Durchsetzung der Verordnung zu gewährleisten.

39Zur Erfüllung dieser Aufgaben verleiht Art. 58 DSGVO den Aufsichtsbehörden in Abs. 1 Untersuchungsbefugnisse, in Abs. 2 Abhilfebefugnisse und in Abs. 5 die Befugnis, Verstöße gegen die DSGVO den Justizbehörden zur Kenntnis zu bringen und gegebenenfalls die Einleitung eines gerichtlichen Verfahrens zu betreiben, um die Bestimmungen dieser Verordnung durchzusetzen.

40Unbeschadet der in Art. 55 Abs. 1 DSGVO genannten Zuständigkeitsregel sieht Art. 56 Abs. 1 dieser Verordnung für grenzüberschreitende Verarbeitungen im Sinne von Art. 4 Nr. 23 DSGVO ein „Verfahren der Zusammenarbeit und Kohärenz“ vor, das auf einer Aufteilung der Zuständigkeiten zwischen einer „federführenden Aufsichtsbehörde“ und den anderen betroffenen Aufsichtsbehörden sowie auf einer Zusammenarbeit zwischen all diesen Behörden gemäß dem in Art. 60 dieser Verordnung vorgesehenen Verfahren der Zusammenarbeit beruht.

41Darüber hinaus verpflichtet Art. 61 Abs. 1 DSGVO die Aufsichtsbehörden u. a. dazu, einander maßgebliche Informationen zu übermitteln und Amtshilfe zu gewähren, um die Verordnung in der gesamten Union einheitlich durchzuführen und anzuwenden. Hierzu ist das in den Art. 64 und 65 DSGVO geregelte Kohärenzverfahren vorgesehen, wie in Art. 63 der Verordnung klargestellt wird (Urteil vom 15. Juni 2021, Facebook Ireland u. a., C-645/19, EU:C:2021:483, Rn. 52 und die dort angeführte Rechtsprechung).

42Die in der DSGVO enthaltenen Vorschriften über die Zusammenarbeit richten sich allerdings nicht an die nationalen Wettbewerbsbehörden, sondern regeln die Zusammenarbeit zwischen den betreffenden nationalen Aufsichtsbehörden und der federführenden Aufsichtsbehörde sowie gegebenenfalls die Zusammenarbeit dieser Behörden mit dem Europäischen Datenschutzausschuss und der Kommission.

43Weder die DSGVO noch ein anderes Instrument des Unionsrechts sehen spezifische Regeln für die Zusammenarbeit zwischen einer nationalen Wettbewerbsbehörde und den betroffenen nationalen Aufsichtsbehörden oder der federführenden Aufsichtsbehörde vor. Außerdem verbietet keine Bestimmung der DSGVO den nationalen Wettbewerbsbehörden, im Rahmen der Wahrnehmung ihrer Pflichten festzustellen, dass eine Datenverarbeitung, die von einem Unternehmen in beherrschender Stellung vorgenommen wird und möglicherweise einen Missbrauch dieser Stellung darstellt, nicht mit dieser Verordnung vereinbar ist.

44Insoweit ist erstens klarzustellen, dass die Aufsichtsbehörden einerseits und die nationalen Wettbewerbsbehörden andererseits unterschiedliche Pflichten wahrnehmen und jeweils eigene Ziele und Aufgaben verfolgen.

45Zum einen besteht nämlich, wie in Rn. 38 des vorliegenden Urteils ausgeführt, nach Art. 51 Abs. 1 und 2 sowie Art. 57 Abs. 1 Buchst. a und g DSGVO die Hauptaufgabe der Aufsichtsbehörde darin, die Anwendung dieser Verordnung zu überwachen und durchzusetzen und gleichzeitig zu ihrer einheitlichen Anwendung in der Union beizutragen, und zwar mit dem Ziel, die Grundrechte und Grundfreiheiten natürlicher Personen bei der Verarbeitung ihrer personenbezogenen Daten zu schützen und den freien Verkehr solcher Daten in der Union zu erleichtern. Zu diesem Zweck verfügt die Aufsichtsbehörde, wie in Rn. 39 des vorliegenden Urteils ausgeführt, über die verschiedenen Befugnisse, die ihr nach Art. 58 DSGVO übertragen sind.

46Zum anderen sind die nationalen Wettbewerbsbehörden nach Art. 5 der Verordnung Nr. 1/2003 u. a. für den Erlass von Entscheidungen zuständig, mit denen der Missbrauch einer beherrschenden Stellung durch ein Unternehmen im Sinne von Art. 102 AEUV festgestellt wird, wobei das Ziel der letztgenannten Vorschrift darin besteht, ein System zu errichten, das den Wettbewerb innerhalb des Binnenmarkts vor Verfälschungen schützt, auch unter Berücksichtigung der Folgen eines solchen Missbrauchs für die Verbraucher im Binnenmarkt.

47Wie der Generalanwalt in Nr. 23 seiner Schlussanträge im Wesentlichen ausgeführt hat, muss eine Wettbewerbsbehörde beim Erlass einer solchen Entscheidung anhand aller besonderen Umstände des Einzelfalls beurteilen, ob das Verhalten des Unternehmens in beherrschender Stellung die Aufrechterhaltung des auf dem Markt bestehenden Grades an Wettbewerb oder die Entwicklung des Wettbewerbs durch den Einsatz von Mitteln behindert, die von den Mitteln eines normalen Produkt- oder Dienstleistungswettbewerbs abweichen (vgl. in diesem Sinne Urteil vom 25. März 2021, Deutsche Telekom/Kommission, C-152/19 P, EU:C:2021:238, Rn. 41 und 42). Insoweit kann die Vereinbarkeit oder Unvereinbarkeit eines solchen Verhaltens mit den Bestimmungen der DSGVO gegebenenfalls – als Teil der relevanten Umstände des Einzelfalls – ein wichtiges Indiz sein, um festzustellen, ob dieses Verhalten den Einsatz von Mitteln eines normalen Wettbewerbs darstellt, und um die Folgen einer bestimmten Praxis auf dem Markt oder für die Verbraucher zu beurteilen.

48Folglich kann es sich für die Wettbewerbsbehörde des betreffenden Mitgliedstaats im Rahmen der Prüfung, ob ein Unternehmen auf einem bestimmten Markt eine beherrschende Stellung missbraucht, als notwendig erweisen, auch zu prüfen, ob das Verhalten dieses Unternehmens mit anderen als den wettbewerbsrechtlichen Vorschriften, etwa mit den Vorschriften der DSGVO über den Schutz personenbezogener Daten, vereinbar ist.

49In Anbetracht der unterschiedlichen Ziele, die zum einen mit den Wettbewerbsregeln, insbesondere mit Art. 102 AEUV, und zum anderen mit den Vorschriften der DSGVO über den Schutz personenbezogener Daten verfolgt werden, ist indessen festzustellen, dass eine nationale Wettbewerbsbehörde, wenn sie im Rahmen der Feststellung des Missbrauchs einer beherrschenden Stellung einen Verstoß gegen die DSGVO feststellt, nicht an die Stelle der Aufsichtsbehörden tritt. Insbesondere überwacht eine solche nationale Wettbewerbsbehörde weder die Anwendung dieser Verordnung, noch setzt sie diese Anwendung mit dem in Art. 51 Abs. 1 DSGVO genannten Ziel durch, nämlich um die Grundrechte und Grundfreiheiten natürlicher Personen bei der Verarbeitung zu schützen und den freien Verkehr personenbezogener Daten in der Union zu erleichtern. Außerdem nimmt eine solche Behörde dadurch, dass sie die Unvereinbarkeit einer Datenverarbeitung mit der DSGVO allein zum Zweck der Feststellung des Missbrauchs einer beherrschenden Stellung feststellt und Maßnahmen zur Abstellung dieses Missbrauchs auf der Basis einer sich aus dem Wettbewerbsrecht ergebenden Rechtsgrundlage auferlegt, keine der in Art. 57 DSGVO genannten Aufgaben wahr und macht auch nicht von den Befugnissen Gebrauch, die nach Art. 58 DSGVO der Aufsichtsbehörde vorbehalten sind.

50Im Übrigen ist festzustellen, dass der Zugang zu personenbezogenen Daten sowie deren Verwertung im Rahmen der digitalen Wirtschaft von erheblicher Bedeutung sind. Diese Bedeutung wird im Ausgangsrechtsstreit durch das vom sozialen Netzwerk Facebook verfolgte Geschäftsmodell veranschaulicht, das, wie in Rn. 27 des vorliegenden Urteils dargelegt, vorsieht, dass durch die Kommerzialisierung von Werbenachrichten, die anhand von Nutzerprofilen (die ihrerseits auf von Meta Platforms Ireland erhobenen personenbezogenen Daten basieren) personalisiert werden, Einnahmen generiert werden.

51Wie u. a. die Kommission hervorgehoben hat, sind der Zugang zu personenbezogenen Daten und die Möglichkeit ihrer Verarbeitung zu einem bedeutenden Parameter des Wettbewerbs zwischen Unternehmen der digitalen Wirtschaft geworden. Daher würde der Ausschluss der Vorschriften über den Schutz personenbezogener Daten aus dem rechtlichen Rahmen, den die Wettbewerbsbehörden bei der Prüfung des Missbrauchs einer beherrschenden Stellung zu berücksichtigen haben, die tatsächliche wirtschaftliche Entwicklung verkennen und die Wirksamkeit des Wettbewerbsrechts in der Union gefährden.

52Zweitens ist jedoch darauf hinzuweisen, dass in dem Fall, dass eine nationale Wettbewerbsbehörde es im Rahmen einer Entscheidung über den Missbrauch einer beherrschenden Stellung für erforderlich hält, darüber zu befinden, ob eine Verarbeitung personenbezogener Daten durch das betreffende Unternehmen mit der DSGVO vereinbar ist, diese Behörde und die betreffende Aufsichtsbehörde oder gegebenenfalls die zuständige federführende Aufsichtsbehörde im Sinne dieser Verordnung zusammenarbeiten müssen, um eine kohärente Anwendung der Verordnung zu gewährleisten.

53Denn auch wenn, wie in den Rn. 42 und 43 des vorliegenden Urteils festgestellt, weder die DSGVO noch andere Instrumente des Unionsrechts insoweit spezielle Regeln vorsehen, sind dennoch, wie der Generalanwalt in Nr. 28 seiner Schlussanträge im Wesentlichen ausgeführt hat, alle beteiligten nationalen Behörden bei der Anwendung der DSGVO an den in Art. 4 Abs. 3 EUV verankerten Grundsatz der loyalen Zusammenarbeit gebunden. Gemäß ständiger Rechtsprechung müssen sich die Mitgliedstaaten, einschließlich ihrer Verwaltungsbehörden, nach diesem Grundsatz in den vom Unionsrecht erfassten Bereichen bei der Erfüllung der Aufgaben, die sich aus den Verträgen ergeben, gegenseitig achten und unterstützen, alle geeigneten Maßnahmen zur Erfüllung der Verpflichtungen ergreifen, die sich u. a. aus den Rechtsakten der Unionsorgane ergeben, sowie alle Maßnahmen unterlassen, die die Verwirklichung der Ziele der Union gefährden könnten (vgl. in diesem Sinne Urteile vom 7. November 2013, UPC Nederland, C-518/11, EU:C:2013:709, Rn. 59, sowie vom 1. August 2022, Sea Watch, C-14/21 und C-15/21, EU:C:2022:604, Rn. 156).

54Unter Berücksichtigung dieses Grundsatzes sind die nationalen Wettbewerbsbehörden, wenn sie in Ausübung ihrer Zuständigkeiten zu prüfen haben, ob ein Verhalten eines Unternehmens mit den Bestimmungen der DSGVO vereinbar ist, somit verpflichtet, sich abzustimmen und loyal mit den betreffenden nationalen Aufsichtsbehörden bzw. der federführenden Aufsichtsbehörde zusammenzuarbeiten. In diesem Kontext müssen alle diese Behörden ihre jeweiligen Befugnisse und Zuständigkeiten dergestalt einhalten, dass die Verpflichtungen aus der DSGVO und die Ziele dieser Verordnung beachtet werden und ihre praktische Wirksamkeit gewahrt wird.

55Wenn eine Wettbewerbsbehörde das Verhalten eines Unternehmens anhand der DSGVO prüft, kann dies nämlich die Gefahr von Divergenzen zwischen dieser Behörde und den Aufsichtsbehörden in Bezug auf die Auslegung dieser Verordnung mit sich bringen.

56Hält es eine nationale Wettbewerbsbehörde im Rahmen der Prüfung, ob ein Unternehmen eine beherrschende Stellung im Sinne von Art. 102 AEUV missbraucht, für erforderlich, die Vereinbarkeit eines Verhaltens dieses Unternehmens mit den Bestimmungen der DSGVO zu prüfen, so muss sie daher ermitteln, ob dieses oder ein ähnliches Verhalten bereits Gegenstand einer Entscheidung durch die zuständige nationale Aufsichtsbehörde oder die federführende Aufsichtsbehörde oder auch durch den Gerichtshof war. Ist dies der Fall, darf die nationale Wettbewerbsbehörde davon nicht abweichen, wobei es ihr aber freisteht, daraus eigene Schlussfolgerungen unter dem Gesichtspunkt der Anwendung des Wettbewerbsrechts zu ziehen.

57Wenn sie Zweifel hinsichtlich der Tragweite der von der zuständigen nationalen Aufsichtsbehörde bzw. der federführenden Aufsichtsbehörde vorgenommenen Beurteilung hat, wenn das in Rede stehende Verhalten oder ein ähnliches Verhalten gleichzeitig Gegenstand einer Prüfung durch diese Behörden ist oder wenn sie bei Nichtvorliegen einer Untersuchung dieser Behörden der Auffassung ist, dass das Verhalten eines Unternehmens nicht mit den Bestimmungen der DSGVO vereinbar ist, muss die nationale Wettbewerbsbehörde diese Behörden konsultieren und um deren Mitarbeit bitten, um ihre Zweifel auszuräumen oder zu klären, ob sie eine Entscheidung der betreffenden Aufsichtsbehörde abwarten muss, bevor sie mit ihrer eigenen Beurteilung beginnt.

58Wird die Aufsichtsbehörde von einer nationalen Wettbewerbsbehörde eingeschaltet, muss sie auf dieses Ersuchen um Auskunft oder Zusammenarbeit innerhalb einer angemessenen Frist antworten, indem sie der Wettbewerbsbehörde die ihr vorliegenden Informationen übermittelt, mit denen die Zweifel dieser Behörde hinsichtlich der Tragweite der von der Aufsichtsbehörde vorgenommenen Beurteilung ausgeräumt werden können, oder gegebenenfalls die nationale Wettbewerbsbehörde darüber in Kenntnis setzt, ob sie beabsichtigt, das Verfahren der Zusammenarbeit mit den anderen betroffenen Aufsichtsbehörden oder der federführenden Aufsichtsbehörde gemäß den Art. 60 ff. DSGVO in Gang zu setzen, um zu einer Entscheidung zu gelangen, mit der festgestellt wird, ob das fragliche Verhalten mit dieser Verordnung im Einklang steht oder nicht.

59Antwortet die ersuchte Aufsichtsbehörde nicht innerhalb einer angemessenen Frist, so kann die nationale Wettbewerbsbehörde ihre eigene Untersuchung fortsetzen. Das Gleiche gilt, wenn die zuständige nationale Aufsichtsbehörde und die federführende Aufsichtsbehörde keine Einwände dagegen erheben, dass eine solche Untersuchung fortgesetzt wird, ohne dass eine Entscheidung ihrerseits abgewartet wird.

60Im vorliegenden Fall geht aus den dem Gerichtshof zur Verfügung stehenden Akten hervor, dass das Bundeskartellamt im Oktober und im November 2018, d. h. vor Erlass des Beschlusses vom 6. Februar 2019, mit dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) (Deutschland), dem für Facebook Deutschland zuständigen Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit (Deutschland) sowie mit der Data Protection Commission (DPC) (Datenschutzbehörde, Irland) Kontakt aufgenommen hat, um diese Behörden über sein Tätigwerden zu informieren. Außerdem hat das Bundeskartellamt offenbar die Bestätigung erhalten, dass diese Behörden damals keine Ermittlungen zu einem ähnlichen Sachverhalt wie dem im Ausgangsverfahren in Rede stehenden durchführten, und diese Behörden haben gegen das Tätigwerden des Bundeskartellamts keine Einwände erhoben. Im Übrigen hat das Bundeskartellamt in den Rn. 555 und 556 seines Beschlusses vom 6. Februar 2019 ausdrücklich auf diese Zusammenarbeit Bezug genommen.

61Unter diesen Umständen scheint das Bundeskartellamt – vorbehaltlich der vom vorlegenden Gericht vorzunehmenden Überprüfungen – seine Pflicht zur loyalen Zusammenarbeit mit den betreffenden nationalen Aufsichtsbehörden und der federführenden Aufsichtsbehörde erfüllt zu haben.

62Nach alledem ist auf die erste und die siebte Frage zu antworten, dass die Art. 51 ff. DSGVO sowie Art. 4 Abs. 3 EUV dahin auszulegen sind, dass eine mitgliedstaatliche Wettbewerbsbehörde im Rahmen der Prüfung, ob ein Missbrauch einer beherrschenden Stellung durch ein Unternehmen im Sinne von Art. 102 AEUV vorliegt, vorbehaltlich der Erfüllung ihrer Pflicht zur loyalen Zusammenarbeit mit den Aufsichtsbehörden feststellen kann, dass die Allgemeinen Nutzungsbedingungen dieses Unternehmens, soweit sie sich auf die Verarbeitung personenbezogener Daten beziehen, und die Durchführung dieser Nutzungsbedingungen nicht mit der DSGVO vereinbar sind, wenn diese Feststellung erforderlich ist, um das Vorliegen eines solchen Missbrauchs zu belegen.

63Angesichts dieser Pflicht zur loyalen Zusammenarbeit darf die nationale Wettbewerbsbehörde von einer Entscheidung der zuständigen nationalen Aufsichtsbehörde oder der zuständigen federführenden Aufsichtsbehörde in Bezug auf diese Allgemeinen Nutzungsbedingungen oder ähnliche allgemeine Bedingungen nicht abweichen. Wenn sie Zweifel hinsichtlich der Tragweite einer solchen Entscheidung hat, wenn die fraglichen Bedingungen oder ähnliche Bedingungen gleichzeitig Gegenstand einer Prüfung durch diese Behörden sind oder wenn sie bei Nichtvorliegen einer Untersuchung oder Entscheidung dieser Behörden der Auffassung ist, dass die fraglichen Bedingungen nicht mit der DSGVO vereinbar sind, muss die Wettbewerbsbehörde diese Aufsichtsbehörden konsultieren und um deren Mitarbeit bitten, um ihre Zweifel auszuräumen oder zu klären, ob sie eine Entscheidung der Aufsichtsbehörden abwarten muss, bevor sie mit ihrer eigenen Beurteilung beginnt. Wird von den Aufsichtsbehörden innerhalb einer angemessenen Frist kein Einwand erhoben oder keine Antwort erteilt, so kann die nationale Wettbewerbsbehörde ihre eigene Untersuchung fortsetzen.

Zur z weite n Frage

64Mit seiner Frage 2 Buchst. a möchte das vorlegende Gericht im Wesentlichen wissen, ob Art. 9 Abs. 1 DSGVO dahin auszulegen ist, dass in dem Fall, dass ein Nutzer eines sozialen Online-Netzwerks Websites oder Apps, die einen Bezug zu einer oder mehreren der in dieser Bestimmung genannten Kategorien aufweisen, aufruft und dort gegebenenfalls Daten eingibt, indem er sich registriert oder Online-Bestellungen aufgibt, die Verarbeitung personenbezogener Daten durch den Betreiber dieses sozialen Online-Netzwerks, die darin besteht, dass dieser Betreiber die aus dem Aufruf dieser Websites und Apps stammenden Daten sowie die vom Nutzer eingegebenen Daten über integrierte Schnittstellen, Cookies oder ähnliche Speichertechnologien erhebt, die Gesamtheit dieser Daten mit dem jeweiligen Nutzerkonto des sozialen Netzwerks verknüpft und diese Daten verwendet, als eine „Verarbeitung besonderer Kategorien personenbezogener Daten“ im Sinne dieser Bestimmung anzusehen ist, die vorbehaltlich der in Art. 9 Abs. 2 DSGVO vorgesehenen Ausnahmen grundsätzlich untersagt ist.

65Für den Fall, dass dies zu bejahen ist, möchte das vorlegende Gericht mit seiner Frage 2 Buchst. b im Wesentlichen wissen, ob Art. 9 Abs. 2 Buchst. e DSGVO dahin auszulegen ist, dass dann, wenn ein Nutzer eines sozialen Online-Netzwerks Websites oder Apps aufruft, die mit den in Art. 9 Abs. 1 DSGVO genannten Kategorien in Verbindung stehen, Daten auf diesen Websites oder in diesen Apps eingibt oder darin eingebundene Schaltflächen betätigt – wie etwa „Gefällt mir“ oder „Teilen“ oder Schaltflächen, die es dem Nutzer ermöglichen, sich auf diesen Websites oder in diesen Apps unter Verwendung der Anmeldedaten, die mit seinem Konto als Nutzer des sozialen Online-Netzwerks, seiner Telefonnummer oder seiner E-Mail-Adresse verknüpft sind, zu identifizieren –, die Daten, die der Betreiber dieses sozialen Online-Netzwerks dabei über Cookies oder ähnliche Speichertechnologien erhebt, als von diesem Nutzer offensichtlich öffentlich gemacht im Sinne der erstgenannten Bestimmung gelten.

Zu Frage 2 Buchst. a

66Im 51. Erwägungsgrund der DSGVO heißt es, dass personenbezogene Daten, die ihrem Wesen nach hinsichtlich der Grundrechte und Grundfreiheiten besonders sensibel sind, einen besonderen Schutz verdienen, da im Zusammenhang mit ihrer Verarbeitung erhebliche Risiken für die Grundrechte und Grundfreiheiten auftreten können. Ferner wird in diesem Erwägungsgrund ausgeführt, dass derartige personenbezogene Daten nicht verarbeitet werden sollten, es sei denn, die Verarbeitung ist in den in dieser Verordnung dargelegten besonderen Fällen zulässig.

67In diesem Zusammenhang stellt Art. 9 Abs. 1 DSGVO den Grundsatz auf, dass die Verarbeitung der in dieser Vorschrift genannten besonderen Kategorien personenbezogener Daten untersagt ist. Dabei handelt es sich u. a. um Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen oder religiöse Überzeugungen hervorgehen, sowie um Gesundheitsdaten und Daten zum Sexualleben oder zur sexuellen Orientierung einer natürlichen Person.

68Für die Zwecke der Anwendung von Art. 9 Abs. 1 DSGVO ist im Fall einer Verarbeitung personenbezogener Daten durch den Betreiber eines sozialen Online-Netzwerks zu prüfen, ob diese Daten die Offenlegung von Informationen ermöglichen, die unter eine der in dieser Bestimmung genannten Kategorien fallen, unabhängig davon, ob diese Informationen einen Nutzer dieses Netzwerks oder eine andere natürliche Person betreffen. Ist dies der Fall, ist eine solche Verarbeitung personenbezogener Daten vorbehaltlich der in Art. 9 Abs. 2 DSGVO vorgesehenen Ausnahmen untersagt.

69Wie der Generalanwalt in den Nrn. 40 und 41 seiner Schlussanträge im Wesentlichen ausgeführt hat, gilt dieses in Art. 9 Abs. 1 DSGVO vorgesehene grundsätzliche Verbot unabhängig davon, ob die durch die fragliche Verarbeitung offengelegte Information richtig ist oder nicht und ob der Verantwortliche mit dem Ziel handelt, Informationen zu erhalten, die unter eine der in dieser Bestimmung genannten besonderen Kategorien fallen.

70In Anbetracht der erheblichen Risiken für die Grundfreiheiten und Grundrechte der betroffenen Personen, die sich aus jeder Verarbeitung personenbezogener Daten ergeben, die unter eine der in Art. 9 Abs. 1 DSGVO genannten Kategorien fallen, zielt diese Vorschrift nämlich darauf ab, solche Datenverarbeitungen unabhängig von ihrem erklärten Zweck zu verbieten.

71Im vorliegenden Fall besteht die im Ausgangsverfahren in Rede stehende Verarbeitung durch Meta Platforms Ireland erstens in der Erhebung personenbezogener Daten der Nutzer des sozialen Netzwerks Facebook, wenn diese Nutzer Websites oder Apps – einschließlich solcher, die Informationen offenbaren können, die unter eine oder mehrere der in Art. 9 Abs. 1 DSGVO genannten Kategorien fallen – aufrufen und dort gegebenenfalls Informationen eingeben, indem sie sich registrieren oder Online-Bestellungen aufgeben, zweitens in der Verknüpfung dieser Daten mit dem jeweiligen Nutzerkonto des sozialen Netzwerks und drittens in der Verwendung dieser Daten.

72Insoweit wird es Sache des vorlegenden Gerichts sein, festzustellen, ob die so erhobenen Daten allein oder durch ihre Verknüpfung mit den Facebook-Konten der betreffenden Nutzer tatsächlich die Offenlegung solcher Informationen ermöglichen, unabhängig davon, ob diese Informationen einen Nutzer dieses Netzwerks oder eine andere natürliche Person betreffen. In Anbetracht der Fragen des vorlegenden Gerichts ist jedoch darauf hinzuweisen, dass – vorbehaltlich der von ihm vorzunehmenden Überprüfungen – in bestimmten Fällen wohl schon die Verarbeitung der Daten über den Aufruf der fraglichen Websites oder Apps solche Informationen offenbaren kann, ohne dass die Nutzer dort Informationen eingeben müssten, indem sie sich registrieren oder Online-Bestellungen aufgeben.

73Nach alledem ist auf Frage 2 Buchst. a zu antworten, dass Art. 9 Abs. 1 DSGVO dahin auszulegen ist, dass in dem Fall, dass ein Nutzer eines sozialen Online-Netzwerks Websites oder Apps mit Bezug zu einer oder mehreren der in dieser Bestimmung genannten Kategorien aufruft und dort gegebenenfalls Daten eingibt, indem er sich registriert oder Online-Bestellungen aufgibt, die Verarbeitung personenbezogener Daten durch den Betreiber dieses sozialen Online-Netzwerks, die darin besteht, dass dieser Betreiber die aus dem Aufruf dieser Websites und Apps stammenden Daten sowie die vom Nutzer eingegebenen Daten über integrierte Schnittstellen, Cookies oder ähnliche Speichertechnologien erhebt, die Gesamtheit dieser Daten mit dem jeweiligen Nutzerkonto des sozialen Netzwerks verknüpft und diese Daten verwendet, als eine „Verarbeitung besonderer Kategorien personenbezogener Daten“ im Sinne dieser Bestimmung anzusehen ist, die vorbehaltlich der in Art. 9 Abs. 2 DSGVO vorgesehenen Ausnahmen grundsätzlich untersagt ist, wenn diese Datenverarbeitung die Offenlegung von Informationen ermöglicht, die in eine dieser Kategorien fallen, unabhängig davon, ob diese Informationen einen Nutzer dieses Netzwerks oder eine andere natürliche Person betreffen.

Zu Frage 2 Buchst. b

74Zur Frage 2 Buchst. b (wie in Rn. 65 des vorliegenden Urteils umformuliert), die sich auf die in Art. 9 Abs. 2 Buchst. e DSGVO vorgesehene Ausnahme bezieht, ist darauf hinzuweisen, dass nach dieser Bestimmung das in Art. 9 Abs. 1 DSGVO aufgestellte grundsätzliche Verbot jeder Verarbeitung besonderer Kategorien personenbezogener Daten nicht gilt, wenn sich die Verarbeitung auf personenbezogene Daten bezieht, die „die betroffene Person offensichtlich öffentlich gemacht hat“.

75Diese Ausnahme gilt wohlgemerkt nur für Daten, die „die betroffene Person“ offensichtlich öffentlich gemacht hat. Sie gilt also nicht für Daten, die andere Personen betreffen als diejenige, die diese Daten öffentlich gemacht hat.

76Zudem ist Art. 9 Abs. 2 DSGVO, da er eine Ausnahme vom Grundsatz des Verbots der Verarbeitung besonderer Kategorien personenbezogener Daten vorsieht, eng auszulegen (vgl. in diesem Sinne Urteile vom 17. September 2014, Baltic Agro, C-3/13, EU:C:2014:2227, Rn. 24 und die dort angeführte Rechtsprechung, sowie vom 6. Juni 2019, Weil, C-361/18, EU:C:2019:473, Rn. 43 und die dort angeführte Rechtsprechung).

77Folglich ist für die Zwecke der Anwendung der in Art. 9 Abs. 2 Buchst. e DSGVO vorgesehenen Ausnahme zu prüfen, ob die betroffene Person die Absicht hatte, die fraglichen personenbezogenen Daten ausdrücklich und durch eine eindeutige bestätigende Handlung der breiten Öffentlichkeit zugänglich zu machen.

78Insoweit ist zum einen hinsichtlich des Aufrufs von Websites oder Apps mit Bezug zu einer oder mehreren der in Art. 9 Abs. 1 DSGVO genannten Kategorien festzustellen, dass der betreffende Nutzer mit diesem Aufruf keineswegs beabsichtigt, die Tatsache, dass er diese Websites oder Apps aufgerufen hat, und die diesen Aufruf betreffenden Daten, die seiner Person zugeordnet werden können, öffentlich zu machen. Er kann allenfalls damit rechnen, dass der Betreiber der Website bzw. der App Zugang zu diesen Daten hat und sie gegebenenfalls, sofern der Nutzer ausdrücklich einwilligt, an bestimmte Dritte, nicht aber an die breite Öffentlichkeit, weiterleitet.

79Somit kann aus dem bloßen Aufruf solcher Websites oder Apps durch einen Nutzer nicht abgeleitet werden, dass diese personenbezogenen Daten von diesem Nutzer im Sinne von Art. 9 Abs. 2 Buchst. e DSGVO offensichtlich öffentlich gemacht worden wären.

80Zum anderen ist in Bezug auf die Handlungen, die darin bestehen, Daten auf diesen Websites oder in diesen Apps einzugeben und darin eingebundene Schaltflächen zu betätigen – wie etwa „Gefällt mir“ oder „Teilen“ oder Schaltflächen, die es dem Nutzer ermöglichen, sich auf einer Website oder in einer App unter Verwendung der Anmeldedaten, die mit seinem Facebook-Nutzerkonto, seiner Telefonnummer oder seiner E-Mail-Adresse verknüpft sind, zu identifizieren –, darauf hinzuweisen, dass mit diesen Handlungen eine Interaktion zwischen dem Nutzer und der betreffenden Website oder App und gegebenenfalls der Website des sozialen Online-Netzwerks einhergeht, wobei die Öffentlichkeit dieser Interaktion unterschiedliche Formen annehmen kann, da der Nutzer insoweit individuelle Einstellungen vornehmen kann.

81Vor diesem Hintergrund wird das vorlegende Gericht zu prüfen haben, ob die betreffenden Nutzer die Möglichkeit haben, mit Hilfe von in Kenntnis der Sachlage vorgenommenen Einstellungen zu entscheiden, ob sie die auf den fraglichen Websites bzw. in den fraglichen Apps eingegebenen Daten sowie die Daten, die sich aus der Betätigung der in diese Websites oder Apps eingebundenen Schaltflächen ergeben, der breiten Öffentlichkeit oder vielmehr einem mehr oder weniger begrenzten Kreis ausgewählter Personen zugänglich machen.

82Haben die betreffenden Nutzer tatsächlich eine solche Wahl, so kann, wenn sie Daten aus freien Stücken auf einer Website oder in einer App eingeben oder darin eingebundene Schaltflächen betätigen, nur dann davon ausgegangen werden, dass sie im Sinne von Art. 9 Abs. 2 Buchst. e DSGVO Daten, die sie betreffen, offensichtlich öffentlich machen, wenn sie – was das vorlegende Gericht zu prüfen haben wird – durch in voller Kenntnis der Sachlage vorgenommene individuelle Einstellungen klar ihre Entscheidung zum Ausdruck gebracht haben, dass diese Daten einer unbegrenzten Zahl von Personen zugänglich gemacht werden sollen.

83Werden solche individuellen Einstellungen nicht angeboten, ist hingegen in Anbetracht der Ausführungen in Rn. 77 des vorliegenden Urteils davon auszugehen, dass Nutzer, wenn sie Daten freiwillig auf einer Website oder in einer App eingeben oder darin eingebundene Schaltflächen betätigen, diese Daten nur dann offensichtlich öffentlich gemacht haben, wenn sie auf der Grundlage einer auf dieser Website bzw. in dieser App erteilten expliziten Information vor einer solchen Eingabe bzw. Betätigung ausdrücklich darin eingewilligt haben, dass die Daten von jeder Person, die Zugang zu dieser Website bzw. App hat, eingesehen werden können.

84Nach alledem ist auf Frage 2 Buchst. b zu antworten, dass Art. 9 Abs. 2 Buchst. e DSGVO dahin auszulegen ist, dass ein Nutzer eines sozialen Online-Netzwerks, wenn er Websites oder Apps mit Bezug zu einer oder mehreren der in Art. 9 Abs. 1 DSGVO genannten Kategorien aufruft, die diesen Aufruf betreffenden Daten, die der Betreiber dieses sozialen Online-Netzwerks über Cookies oder ähnliche Speichertechnologien erhebt, nicht im Sinne der erstgenannten Bestimmung offensichtlich öffentlich macht.

85Gibt ein solcher Nutzer Daten auf solchen Websites oder in solchen Apps ein oder betätigt er darin eingebundene Schaltflächen – wie etwa „Gefällt mir“ oder „Teilen“ oder Schaltflächen, die es dem Nutzer ermöglichen, sich auf diesen Websites oder in diesen Apps unter Verwendung der Anmeldedaten, die mit seinem Konto als Nutzer des sozialen Netzwerks, seiner Telefonnummer oder seiner E-Mail-Adresse verknüpft sind, zu identifizieren –, so macht er die eingegebenen oder sich aus der Betätigung dieser Schaltflächen ergebenden Daten nur dann im Sinne von Art. 9 Abs. 2 Buchst. e DSGVO offensichtlich öffentlich, wenn er zuvor, gegebenenfalls durch in voller Kenntnis der Sachlage vorgenommene individuelle Einstellungen, explizit seine Entscheidung zum Ausdruck gebracht hat, die ihn betreffenden Daten einer unbegrenzten Zahl von Personen öffentlich zugänglich zu machen.

Zu den Fragen 3 bis 5

86Mit seiner dritten und seiner vierten Frage, die zusammen zu prüfen sind, möchte das vorlegende Gericht im Wesentlichen wissen, ob und unter welchen Voraussetzungen Art. 6 Abs. 1 Unterabs. 1 Buchst. b und f DSGVO dahin auszulegen ist, dass die Verarbeitung personenbezogener Daten durch den Betreiber eines sozialen Online-Netzwerks, die darin besteht, dass Daten der Nutzer eines solchen Netzwerks, die aus anderen Diensten des Konzerns, zu dem dieser Betreiber gehört, stammen oder sich aus dem Aufruf dritter Websites oder Apps durch diese Nutzer ergeben, erhoben, mit dem jeweiligen Nutzerkonto des sozialen Netzwerks verknüpft und verwendet werden, als im Sinne von Buchst. b für die Erfüllung eines Vertrags, dessen Vertragsparteien die betroffenen Personen sind, erforderlich oder im Sinne von Buchst. f zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich angesehen werden kann. Das vorlegende Gericht fragt sich insbesondere, ob in dieser Hinsicht bestimmte Interessen, die es ausdrücklich anführt, ein „berechtigtes Interesse“ im Sinne der letztgenannten Bestimmung darstellen.

87Mit seiner fünften Frage möchte das vorlegende Gericht im Wesentlichen wissen, ob Art. 6 Abs. 1 Unterabs. 1 Buchst. c bis e DSGVO dahin auszulegen ist, dass eine solche Verarbeitung personenbezogener Daten als im Sinne von Buchst. c zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt, als im Sinne von Buchst. d erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen, oder als im Sinne von Buchst. e für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde, angesehen werden kann, sofern diese Verarbeitung zur Beantwortung einer rechtsgültigen Anfrage für bestimmte Daten (Buchst. c), zur Bekämpfung schädlichen Verhaltens und zur Förderung der Sicherheit (Buchst. d) oder zur Forschung zum Wohle der Gesellschaft und zur Förderung von Schutz, Integrität und Sicherheit (Buchst. e) erfolgt.

Vorbemerkungen

88Vorab ist erstens darauf hinzuweisen, dass die Fragen 3 bis 5 deshalb gestellt werden, weil nach den Feststellungen des Bundeskartellamts in seinem Beschluss vom 6. Februar 2019 nicht davon ausgegangen werden kann, dass die Nutzer des sozialen Netzwerks Facebook in die Verarbeitung ihrer im Ausgangsverfahren in Rede stehenden Daten im Sinne von Art. 6 Abs. 1 Unterabs. 1 Buchst. a und Art. 9 Abs. 2 Buchst. a DSGVO eingewilligt haben. Vor diesem Hintergrund hält das vorlegende Gericht, wenngleich es den Gerichtshof mit seiner sechsten Frage zu dieser Prämisse befragt, die Prüfung für notwendig, ob diese Verarbeitung einer der übrigen, in Art. 6 Abs. 1 Unterabs. 1 Buchst. b bis f DSGVO genannten Rechtmäßigkeitsvoraussetzungen entspricht.

89In diesem Zusammenhang ist darauf hinzuweisen, dass die in den Fragen 3 bis 5 angeführten Vorgänge der Erhebung, Verknüpfung und Verwendung von Daten sowohl sensible Daten im Sinne von Art. 9 Abs. 1 DSGVO als auch nicht sensible Daten umfassen können. Wenn ein Datensatz, der sowohl sensible als auch nicht sensible Daten enthält, Gegenstand solcher Vorgänge ist und insbesondere als Ganzes erhoben wird, ohne dass die Daten zum Zeitpunkt dieser Erhebung voneinander getrennt werden können, ist die Verarbeitung dieses Datensatzes aber als im Sinne von Art. 9 Abs. 1 DSGVO untersagt anzusehen, sofern sie mindestens ein sensibles Datum umfasst und keine der in Art. 9 Abs. 2 DSGVO genannten Ausnahmen greift.

90Zweitens ist zur Beantwortung der Fragen 3 bis 5 darauf hinzuweisen, dass Art. 6 Abs. 1 Unterabs. 1 DSGVO eine erschöpfende und abschließende Liste der Fälle enthält, in denen eine Verarbeitung personenbezogener Daten als rechtmäßig angesehen werden kann. Daher muss eine Verarbeitung unter einen der in dieser Bestimmung vorgesehenen Fälle subsumierbar sein, um als rechtmäßig angesehen werden zu können (Urteil vom 22. Juni 2021, Latvijas Republikas Saeima [Strafpunkte], C-439/19, EU:C:2021:504, Rn. 99 und die dort angeführte Rechtsprechung).

91Nach Art. 6 Abs. 1 Unterabs. 1 Buchst. a DSGVO ist die Verarbeitung personenbezogener Daten rechtmäßig, wenn und soweit die betroffene Person ihre Einwilligung dazu für einen oder mehrere bestimmte Zwecke gegeben hat.

92Liegt keine solche Einwilligung vor oder wurde die Einwilligung nicht freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich im Sinne von Art. 4 Nr. 11 DSGVO erteilt, ist eine solche Verarbeitung gleichwohl gerechtfertigt, wenn sie eine der in Art. 6 Abs. 1 Unterabs. 1 Buchst. b bis f genannten Voraussetzungen in Bezug auf die Erforderlichkeit erfüllt.

93In diesem Zusammenhang sind die in Art. 6 Abs. 1 Unterabs. 1 Buchst. b bis f DSGVO vorgesehenen Rechtfertigungsgründe eng auszulegen, da sie dazu führen können, dass eine Verarbeitung personenbezogener Daten trotz fehlender Einwilligung der betroffenen Person rechtmäßig ist (vgl. in diesem Sinne Urteil vom 24. Februar 2022, Valsts ieņēmumu dienests [Verarbeitung personenbezogener Daten für steuerliche Zwecke], C-175/20, EU:C:2022:124, Rn. 73 und die dort angeführte Rechtsprechung).

94Außerdem braucht nach der Rechtsprechung des Gerichtshofs, wenn festgestellt werden kann, dass eine Verarbeitung personenbezogener Daten aus einem der in Art. 6 Abs. 1 Unterabs. 1 Buchst. b bis f DSGVO vorgesehenen Gründe erforderlich ist, nicht geprüft zu werden, ob diese Verarbeitung auch unter einen anderen dieser Gründe fällt (vgl. in diesem Sinne Urteil vom 1. August 2022, Vyriausioji tarnybinės etikos komisija, C-184/20, EU:C:2022:601, Rn. 71).

95Schließlich ist klarzustellen, dass nach Art. 5 DSGVO der Verantwortliche die Beweislast dafür trägt, dass die Daten u. a. für festgelegte, eindeutige und legitime Zwecke erhoben und auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden. Außerdem obliegt es nach Art. 13 Abs. 1 Buchst. c dieser Verordnung, wenn personenbezogene Daten bei der betroffenen Person erhoben werden, dem Verantwortlichen, diese Person über die Zwecke, für die diese Daten verarbeitet werden sollen, sowie über die Rechtsgrundlage für die Verarbeitung zu informieren.

96Es ist zwar Sache des vorlegenden Gerichts, festzustellen, ob die verschiedenen Elemente der im Ausgangsverfahren in Rede stehenden Verarbeitung durch eines der in Art. 6 Abs. 1 Unterabs. 1 Buchst. b bis f DSGVO genannten Erfordernisse gerechtfertigt sind, doch kann der Gerichtshof ihm sachdienliche Hinweise für die Entscheidung des bei ihm anhängigen Rechtsstreits geben.

Zu den Fragen 3 und 4

97Als Erstes ist zu Art. 6 Abs. 1 Unterabs. 1 Buchst. b DSGVO festzustellen, dass eine Verarbeitung personenbezogener Daten danach rechtmäßig ist, wenn sie „für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich [ist], die auf Anfrage der betroffenen Person erfolgen“.

98Damit eine Verarbeitung personenbezogener Daten als für die Erfüllung eines Vertrags erforderlich im Sinne dieser Bestimmung angesehen werden kann, muss sie objektiv unerlässlich sein, um einen Zweck zu verwirklichen, der notwendiger Bestandteil der für die betroffene Person bestimmten Vertragsleistung ist. Der Verantwortliche muss somit nachweisen können, inwiefern der Hauptgegenstand des Vertrags ohne die betreffende Verarbeitung nicht erfüllt werden könnte.

99Der etwaige Umstand, dass eine solche Verarbeitung im Vertrag erwähnt wird oder für dessen Erfüllung lediglich von Nutzen ist, ist insoweit für sich genommen unerheblich. Entscheidend für die Anwendung des in Art. 6 Abs. 1 Unterabs. 1 Buchst. b DSGVO genannten Rechtfertigungsgrundes ist nämlich, dass die Verarbeitung personenbezogener Daten durch den Verantwortlichen für die ordnungsgemäße Erfüllung des zwischen ihm und der betroffenen Person geschlossenen Vertrags wesentlich ist und dass daher keine praktikablen und weniger einschneidenden Alternativen bestehen.

100Wie der Generalanwalt in Nr. 54 seiner Schlussanträge ausgeführt hat, ist im Fall eines Vertrags, der mehrere Dienstleistungen oder mehrere eigenständige Elemente einer Dienstleistung umfasst, die unabhängig voneinander erbracht werden können, die Anwendbarkeit von Art. 6 Abs. 1 Unterabs. 1 Buchst. b DSGVO für jede dieser Dienstleistungen gesondert zu beurteilen.

101Im vorliegenden Fall nennt das vorlegende Gericht im Rahmen der Rechtfertigungsgründe, die in den Anwendungsbereich dieser Vorschrift fallen könnten, als Gesichtspunkte, die die angemessene Erfüllung des zwischen Meta Platforms Ireland und ihren Nutzern geschlossenen Vertrags gewährleisten sollen, die Personalisierung der Inhalte sowie die durchgängige und nahtlose Nutzung der Dienste des Meta-Konzerns.

102Was erstens die auf die Personalisierung der Inhalte gestützte Rechtfertigung betrifft, so ist eine solche Personalisierung für den Nutzer zwar insofern von Nutzen, als sie es u. a. ermöglicht, dass ihm ein Inhalt angezeigt wird, der weitgehend seinen Interessen entspricht. Gleichwohl erscheint die Personalisierung der Inhalte – vorbehaltlich der Überprüfung durch das vorlegende Gericht – nicht erforderlich, um dem Nutzer die Dienste des sozialen Online-Netzwerks anzubieten. Diese Dienste können gegebenenfalls in Form einer gleichwertigen Alternative an ihn erbracht werden, die nicht mit einer solchen Personalisierung verbunden ist, so dass diese nicht objektiv unerlässlich ist, um einen Zweck zu verwirklichen, der notwendiger Bestandteil der Dienste ist.

103Was zweitens die Rechtfertigung mit der durchgängigen und nahtlosen Nutzung der Dienste des Meta-Konzerns anbelangt, so geht aus den dem Gerichtshof vorliegenden Akten hervor, dass keine Verpflichtung besteht, sich für die verschiedenen vom Meta-Konzern angebotenen Dienste anzumelden, um im sozialen Netzwerk Facebook ein Nutzerkonto einrichten zu können. Die verschiedenen von diesem Konzern angebotenen Produkte und Dienste können vielmehr unabhängig voneinander genutzt werden, und die Nutzung jedes Produkts oder Dienstes beruht jeweils auf dem Abschluss eines gesonderten Nutzungsvertrags.

104Vorbehaltlich der Überprüfung durch das vorlegende Gericht scheint daher eine Verarbeitung personenbezogener Daten, die aus anderen Diensten des Meta-Konzerns als dem des sozialen Online-Netzwerks stammen, nicht erforderlich zu sein, um die Erbringung des letztgenannten Dienstes zu ermöglichen.

105Als Zweites ist zu Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO festzustellen, dass eine Verarbeitung personenbezogener Daten danach rechtmäßig ist, wenn sie „zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich [ist], sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt“.

106Wie der Gerichtshof bereits entschieden hat, sind Verarbeitungen personenbezogener Daten nach dieser Bestimmung unter drei kumulativen Voraussetzungen rechtmäßig: Erstens muss von dem für die Verarbeitung Verantwortlichen oder von einem Dritten ein berechtigtes Interesse wahrgenommen werden, zweitens muss die Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses erforderlich sein und drittens dürfen die Interessen oder Grundrechte und Grundfreiheiten der Person, deren Daten geschützt werden sollen, gegenüber dem berechtigten Interesse des Verantwortlichen oder eines Dritten nicht überwiegen (Urteil vom 17. Juni 2021, M.I.C.M., C-597/19, EU:C:2021:492, Rn. 106 und die dort angeführte Rechtsprechung).

107Was erstens die Voraussetzung der Wahrnehmung eines berechtigten Interesses betrifft, ist darauf hinzuweisen, dass es nach Art. 13 Abs. 1 Buchst. d DSGVO dem Verantwortlichen obliegt, einer betroffenen Person zu dem Zeitpunkt, zu dem personenbezogene Daten bei ihr erhoben werden, die verfolgten berechtigten Interessen mitzuteilen, wenn diese Verarbeitung auf Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO beruht.

108Was zweitens die Voraussetzung der Erforderlichkeit der Verarbeitung personenbezogener Daten zur Verwirklichung des wahrgenommenen berechtigten Interesses betrifft, so verlangt diese vom vorlegenden Gericht, zu prüfen, ob das berechtigte Interesse an der Verarbeitung der Daten nicht in zumutbarer Weise ebenso wirksam mit anderen Mitteln erreicht werden kann, die weniger stark in die Grundrechte und Grundfreiheiten der betroffenen Personen, insbesondere die durch die Art. 7 und 8 der Charta garantierten Rechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten, eingreifen (vgl. in diesem Sinne Urteil vom 22. Juni 2021, Latvijas Republikas Saeima [Strafpunkte], C-439/19, EU:C:2021:504, Rn. 110 und die dort angeführte Rechtsprechung).

109In diesem Zusammenhang ist auch darauf hinzuweisen, dass die Voraussetzung der Erforderlichkeit der Datenverarbeitung gemeinsam mit dem sogenannten Grundsatz der „Datenminimierung“ zu prüfen ist, der in Art. 5 Abs. 1 Buchst. c DSGVO verankert ist und verlangt, dass personenbezogene Daten „dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt“ sind (vgl. in diesem Sinne Urteil vom 11. Dezember 2019, Asociația de Proprietari bloc M5A-ScaraA, C-708/18, EU:C:2019:1064, Rn. 48).

110Was drittens die Voraussetzung betrifft, dass die Interessen oder Grundfreiheiten und Grundrechte der Person, deren Daten geschützt werden sollen, gegenüber dem berechtigten Interesse des Verantwortlichen oder eines Dritten nicht überwiegen, so hat der Gerichtshof bereits entschieden, dass diese Voraussetzung eine Abwägung der jeweiligen einander gegenüberstehenden Rechte und Interessen gebietet, die grundsätzlich von den konkreten Umständen des Einzelfalls abhängt, und dass es daher Sache des vorlegenden Gerichts ist, diese Abwägung unter Berücksichtigung dieser spezifischen Umstände vorzunehmen (Urteil vom 17. Juni 2021, M.I.C.M., C-597/19, EU:C:2021:492, Rn. 111 und die dort angeführte Rechtsprechung).

111Insoweit ergibt sich bereits aus dem Wortlaut von Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO, dass im Rahmen einer solchen Abwägung besonderes Augenmerk auf den Fall zu richten ist, dass es sich bei der betroffenen Person um ein Kind handelt. Nach dem 38. Erwägungsgrund dieser Verordnung verdienen Kinder nämlich bei der Verarbeitung ihrer personenbezogenen Daten besonderen Schutz, da sie sich der betreffenden Risiken, Folgen und Garantien sowie ihrer Rechte im Zusammenhang mit einer solchen Verarbeitung personenbezogener Daten möglicherweise weniger bewusst sind. Daher muss ein solcher besonderer Schutz insbesondere dann gelten, wenn personenbezogene Daten von Kindern für Werbezwecke, zur Erstellung von Persönlichkeits- oder Nutzerprofilen oder zum Zweck des Anbietens von Diensten, die sich unmittelbar an Kinder richten, verarbeitet werden.

112Außerdem können, wie sich aus dem 47. Erwägungsgrund der DSGVO ergibt, die Interessen und Grundrechte der betroffenen Person das Interesse des Verantwortlichen insbesondere dann überwiegen, wenn personenbezogene Daten in Situationen verarbeitet werden, in denen eine betroffene Person vernünftigerweise nicht mit einer solchen Verarbeitung rechnet.

113Im vorliegenden Fall verweist das vorlegende Gericht im Rahmen der Rechtfertigungsgründe, die in den Anwendungsbereich von Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO fallen könnten, auf die Personalisierung der Werbung, die Netzwerksicherheit, die Produktverbesserung, die Information von Strafverfolgungs- und Strafvollstreckungsbehörden, die etwaige Minderjährigkeit des Nutzers, Forschung und Innovation für soziale Zwecke sowie das an Werbekunden und sonstige Geschäftspartner gerichtete Angebot von Dienstleistungen für die Marketing-Kommunikation mit dem Nutzer und von Analyseinstrumenten, die es ihnen ermöglichen, ihre Leistungen zu bewerten.

114Hierzu ist zunächst festzustellen, dass das Vorabentscheidungsersuchen keine Erläuterungen enthält, anhand deren sich nachvollziehen ließe, inwiefern Forschung und Innovation für soziale Zwecke oder die etwaige Minderjährigkeit des Nutzers als berechtigte Interessen im Sinne von Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO die Erhebung und Verwertung der fraglichen Daten rechtfertigen könnten. Folglich kann der Gerichtshof darüber nicht befinden.

115Was erstens die Personalisierung der Werbung betrifft, ist darauf hinzuweisen, dass nach dem 47. Erwägungsgrund der DSGVO die Verarbeitung personenbezogener Daten zum Zweck der Direktwerbung als eine einem berechtigten Interesse des Verantwortlichen dienende Verarbeitung betrachtet werden kann.

116Darüber hinaus muss eine solche Verarbeitung aber auch zur Verwirklichung dieses Interesses erforderlich sein, und die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person dürfen gegenüber diesem Interesse nicht überwiegen. Bei der entsprechenden Abwägung der jeweiligen einander gegenüberstehenden Rechte und Interessen, d. h. derjenigen des Verantwortlichen einerseits und der betroffenen Person andererseits, sind, wie in Rn. 112 des vorliegenden Urteils dargelegt, insbesondere die vernünftigen Erwartungen der betroffenen Person sowie der Umfang der fraglichen Verarbeitung und deren Auswirkungen auf diese Person zu berücksichtigen.

117Insoweit ist darauf hinzuweisen, dass, auch wenn die Dienste eines sozialen Online-Netzwerks wie Facebook unentgeltlich sind, der Nutzer dieses Netzwerks vernünftigerweise nicht damit rechnen kann, dass der Betreiber dieses sozialen Netzwerks seine personenbezogenen Daten ohne seine Einwilligung zum Zweck der Personalisierung der Werbung verarbeitet. Unter diesen Umständen ist davon auszugehen, dass die Interessen und Grundrechte eines solchen Nutzers gegenüber dem Interesse dieses Betreibers an einer solchen Personalisierung der Werbung, mit der er seine Tätigkeit finanziert, überwiegen, so dass die von ihm zu solchen Zwecken vorgenommene Verarbeitung nicht unter Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO fallen kann.

118Im Übrigen ist die im Ausgangsverfahren in Rede stehende Verarbeitung besonders umfassend, da sie potenziell unbegrenzte Daten betrifft und erhebliche Auswirkungen auf den Nutzer hat, dessen Online-Aktivitäten zum großen Teil, wenn nicht sogar fast vollständig, von Meta Platforms Ireland aufgezeichnet werden, was bei ihm das Gefühl auslösen kann, dass sein Privatleben kontinuierlich überwacht wird.

119Zweitens stellt das Ziel der Gewährleistung der Netzsicherheit, wie aus dem 49. Erwägungsgrund der DSGVO hervorgeht, ein berechtigtes Interesse von Meta Platforms Ireland dar, das geeignet ist, die im Ausgangsverfahren in Rede stehende Verarbeitung zu rechtfertigen.

120Hinsichtlich der Erforderlichkeit der Verarbeitung zur Verwirklichung dieses berechtigten Interesses wird das vorlegende Gericht jedoch zu prüfen haben, ob und inwieweit sich die Verarbeitung personenbezogener Daten, die aus Quellen außerhalb des sozialen Netzwerks Facebook erhoben wurden, tatsächlich als erforderlich erweist, um zu gewährleisten, dass die innere Sicherheit dieses Netzwerks nicht beeinträchtigt wird.

121In diesem Zusammenhang wird es, wie in den Rn. 108 und 109 des vorliegenden Urteils ausgeführt, auch zu prüfen haben, ob zum einen das berechtigte Interesse an der Verarbeitung der Daten nicht in zumutbarer Weise ebenso wirksam mit anderen Mitteln erreicht werden kann, die weniger stark in die Grundrechte und Grundfreiheiten der betroffenen Personen, insbesondere die durch die Art. 7 und 8 der Charta garantierten Rechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten, eingreifen, und zum anderen, ob der in Art. 5 Abs. 1 Buchst. c DSGVO verankerte Grundsatz der „Datenminimierung“ gewahrt wird.

122Was drittens das Ziel der Produktverbesserung betrifft, so kann nicht von vornherein ausgeschlossen werden, dass das Interesse des Verantwortlichen, sein Produkt oder seine Dienstleistung zu verbessern, um es bzw. sie leistungsstärker und damit attraktiver zu machen, ein berechtigtes Interesse darstellen kann, mit dem sich eine Verarbeitung personenbezogener Daten rechtfertigen lässt, und dass eine solche Verarbeitung zur Verfolgung dieses Interesses erforderlich sein kann.

123Bei der im Ausgangsverfahren in Rede stehenden Datenverarbeitung erscheint es – vorbehaltlich der vom vorlegenden Gericht insoweit vorzunehmenden abschließenden Beurteilung – in Anbetracht des Umfangs dieser Verarbeitung, ihrer erheblichen Auswirkungen auf den Nutzer sowie des Umstands, dass der Nutzer vernünftigerweise nicht damit rechnen kann, dass die Daten von Meta Platforms Ireland verarbeitet werden, allerdings zweifelhaft, ob das Ziel der Produktverbesserung Vorrang vor den Interessen und Grundrechten des Nutzers haben kann, zumal wenn es sich bei diesem um ein Kind handelt.

124Viertens ist zu dem vom vorlegenden Gericht angeführten Ziel der Information von Strafverfolgungs- und Strafvollstreckungsbehörden, um Straftaten zu verhindern, aufzudecken und zu verfolgen, festzustellen, dass dieses Ziel grundsätzlich kein berechtigtes Interesse des Verantwortlichen im Sinne von Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO darstellen kann. Ein privater Wirtschaftsteilnehmer wie Meta Platforms Ireland kann sich nämlich nicht auf ein solches berechtigtes Interesse berufen, das mit seiner wirtschaftlichen und kommerziellen Tätigkeit nichts zu tun hat. Dagegen kann das fragliche Ziel die von einem solchen Wirtschaftsteilnehmer vorgenommene Verarbeitung rechtfertigen, wenn diese zur Erfüllung einer rechtlichen Verpflichtung, der dieser Wirtschaftsteilnehmer unterliegt, objektiv erforderlich ist.

125Nach alledem ist auf die dritte und die vierte Frage zu antworten, dass Art. 6 Abs. 1 Unterabs. 1 Buchst. b DSGVO dahin auszulegen ist, dass die Verarbeitung personenbezogener Daten durch den Betreiber eines sozialen Online-Netzwerks, die darin besteht, dass Daten der Nutzer eines solchen Netzwerks, die aus anderen Diensten des Konzerns, zu dem dieser Betreiber gehört, stammen oder sich aus dem Aufruf dritter Websites oder Apps durch diese Nutzer ergeben, erhoben, mit dem jeweiligen Nutzerkonto des sozialen Netzwerks verknüpft und verwendet werden, nur dann als im Sinne dieser Vorschrift für die Erfüllung eines Vertrags, dessen Vertragsparteien die betroffenen Personen sind, erforderlich angesehen werden kann, wenn diese Verarbeitung objektiv unerlässlich ist, um einen Zweck zu verwirklichen, der notwendiger Bestandteil der für diese Nutzer bestimmten Vertragsleistung ist, so dass der Hauptgegenstand des Vertrags ohne diese Verarbeitung nicht erfüllt werden könnte.

126Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO ist dahin auszulegen, dass eine solche Verarbeitung nur dann als zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich im Sinne dieser Vorschrift angesehen werden kann, wenn der fragliche Betreiber den Nutzern, bei denen die Daten erhoben wurden, ein mit der Datenverarbeitung verfolgtes berechtigtes Interesse mitgeteilt hat, wenn diese Verarbeitung innerhalb der Grenzen dessen erfolgt, was zur Verwirklichung dieses berechtigten Interesses unbedingt notwendig ist und wenn sich aus einer Abwägung der einander gegenüberstehenden Interessen unter Würdigung aller relevanten Umstände ergibt, dass die Interessen oder Grundrechte und Grundfreiheiten dieser Nutzer gegenüber dem berechtigten Interesse des Verantwortlichen oder eines Dritten nicht überwiegen.

Zur fünften Frage

127Erstens ist, soweit sich diese Frage auf Art. 6 Abs. 1 Unterabs. 1 Buchst. c und e DSGVO bezieht, darauf hinzuweisen, dass nach Buchst. c eine Verarbeitung personenbezogener Daten rechtmäßig ist, wenn sie zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, der der Verantwortliche unterliegt. Ferner ist nach Buchst. e auch eine Verarbeitung rechtmäßig, die für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde.

128Art. 6 Abs. 3 DSGVO stellt in Bezug auf diese beiden Fälle der Rechtmäßigkeit klar, dass die Verarbeitung auf dem Unionsrecht oder dem Recht der Mitgliedstaaten beruhen muss, dem der Verantwortliche unterliegt, und dass die betreffende Rechtsgrundlage ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen muss.

129Im vorliegenden Fall möchte das vorlegende Gericht wissen, ob eine Verarbeitung personenbezogener Daten wie die im Ausgangsverfahren in Rede stehende als nach Art. 6 Abs. 1 Unterabs. 1 Buchst. c DSGVO gerechtfertigt angesehen werden kann, wenn sie darauf abzielt, „eine rechtsgültige Anfrage für bestimmte Daten zu beantworten“, und nach Art. 6 Abs. 1 Unterabs. 1 Buchst. e DSGVO gerechtfertigt sein kann, wenn sie die „Forschung zum Wohle der Gesellschaft“ zum Gegenstand hat und die „Förderung von Schutz, Integrität und Sicherheit“ bezweckt.

130Es ist jedoch festzustellen, dass das vorlegende Gericht dem Gerichtshof keine Angaben unterbreitet hat, die es ihm ermöglichen würden, sich hierzu konkret zu äußern.

131Es ist daher Sache des vorlegenden Gerichts, anhand der in Rn. 128 des vorliegenden Urteils genannten Voraussetzungen zu prüfen, ob die fragliche Verarbeitung als durch die angeführten Zwecke gerechtfertigt angesehen werden kann.

132In Anbetracht der Ausführungen in Rn. 124 des vorliegenden Urteils wird das vorlegende Gericht für die Zwecke der Anwendung von Art. 6 Abs. 1 Unterabs. 1 Buchst. c DSGVO insbesondere zu prüfen haben, ob Meta Platforms Ireland gesetzlich verpflichtet ist, personenbezogene Daten präventiv zu erheben und zu speichern, um jegliche Anfrage einer nationalen Behörde, die darauf abzielt, bestimmte Daten über ihre Nutzer zu erlangen, beantworten zu können.

133Desgleichen wird das vorlegende Gericht nach Maßgabe von Art. 6 Abs. 1 Unterabs. 1 Buchst. e DSGVO zu beurteilen haben, ob Meta Platforms Ireland mit einer Aufgabe betraut ist, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, etwa im Hinblick auf die Forschung zum Wohle der Gesellschaft oder die Förderung von Schutz, Integrität und Sicherheit, wobei es angesichts der Art und des im Wesentlichen wirtschaftlichen und kommerziellen Charakters der Tätigkeit dieses privaten Wirtschaftsteilnehmers allerdings wenig wahrscheinlich erscheint, dass ihm eine solche Aufgabe übertragen worden ist.

134Außerdem wird das vorlegende Gericht gegebenenfalls zu prüfen haben, ob die von Meta Platforms Ireland vorgenommene Datenverarbeitung unter Berücksichtigung ihres Umfangs und ihrer erheblichen Auswirkungen auf die Nutzer des sozialen Netzwerks Facebook in den Grenzen des unbedingt Notwendigen erfolgt.

135Was zweitens Art. 6 Abs. 1 Unterabs. 1 Buchst. d DSGVO betrifft, so sieht diese Bestimmung vor, dass die Verarbeitung personenbezogener Daten rechtmäßig ist, wenn sie erforderlich ist, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen.

136Wie aus dem 46. Erwägungsgrund der DSGVO hervorgeht, bezieht sich diese Vorschrift speziell auf den Fall, dass die Verarbeitung personenbezogener Daten erforderlich ist, um ein lebenswichtiges Interesse der betroffenen Person oder einer anderen natürlichen Person zu schützen; beispielhaft genannt werden humanitäre Zwecke wie die Überwachung von Epidemien und deren Ausbreitung sowie humanitäre Notfälle wie Naturkatastrophen oder vom Menschen verursachte Katastrophen.

137Aus diesen Beispielen sowie aus der gebotenen engen Auslegung von Art. 6 Abs. 1 Unterabs. 1 Buchst. d DSGVO folgt, dass der Betreiber eines sozialen Online-Netzwerks, dessen Tätigkeit im Wesentlichen wirtschaftlicher und kommerzieller Natur ist, in Anbetracht der Art der von ihm erbrachten Dienste nicht den Schutz eines lebenswichtigen Interesses seiner Nutzer oder einer anderen Person geltend machen kann, um die Rechtmäßigkeit einer Datenverarbeitung wie der im Ausgangsverfahren in Rede stehenden pauschal in abstrakter und präventiver Weise zu rechtfertigen.

138Nach alledem ist auf die fünfte Frage zu antworten, dass Art. 6 Abs. 1 Unterabs. 1 Buchst. c DSGVO dahin auszulegen ist, dass die Verarbeitung personenbezogener Daten durch den Betreiber eines sozialen Online-Netzwerks, die darin besteht, dass Daten der Nutzer eines solchen Netzwerks, die aus anderen Diensten des Konzerns, zu dem dieser Betreiber gehört, stammen oder sich aus dem Aufruf dritter Websites oder Apps durch diese Nutzer ergeben, erhoben, mit dem jeweiligen Nutzerkonto des sozialen Netzwerks verknüpft und verwendet werden, nach dieser Vorschrift gerechtfertigt ist, wenn sie zur Erfüllung einer rechtlichen Verpflichtung, der der Verantwortliche gemäß einer Vorschrift des Unionsrechts oder des Rechts des betreffenden Mitgliedstaats unterliegt, tatsächlich erforderlich ist, diese Rechtsgrundlage ein im öffentlichen Interesse liegendes Ziel verfolgt und in einem angemessenen Verhältnis zu dem verfolgten legitimen Ziel steht und diese Verarbeitung innerhalb der Grenzen des unbedingt Notwendigen erfolgt.

139Art. 6 Abs. 1 Unterabs. 1 Buchst. d und e DSGVO ist dahin auszulegen, dass eine solche Verarbeitung personenbezogener Daten grundsätzlich – vorbehaltlich einer Überprüfung durch das vorlegende Gericht – nicht als im Sinne von Buchst. d erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen, oder als im Sinne von Buchst. e für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde, angesehen werden kann.

Zu r sechsten Frage

140Mit seiner sechsten Frage möchte das vorlegende Gericht im Wesentlichen wissen, ob Art. 6 Abs. 1 Unterabs. 1 Buchst. a und Art. 9 Abs. 2 Buchst. a DSGVO dahin auszulegen sind, dass eine Einwilligung, die der Nutzer eines sozialen Online-Netzwerks dem Betreiber eines solchen Netzwerks erteilt hat, als eine Einwilligung angesehen werden kann, die die in Art. 4 Nr. 11 dieser Verordnung vorgesehenen Gültigkeitsvoraussetzungen – insbesondere diejenige der freiwilligen Erteilung der Einwilligung – erfüllt, wenn dieser Betreiber auf dem Markt für soziale Online-Netzwerke eine beherrschende Stellung einnimmt.

141Art. 6 Abs. 1 Unterabs. 1 Buchst. a und Art. 9 Abs. 2 Buchst. a DSGVO verlangen die Einwilligung der betroffenen Person im Hinblick auf die Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke bzw. die Verarbeitung besonderer Kategorien von Daten gemäß Art. 9 Abs. 1 DSGVO.

142Nach Art. 4 Nr. 11 DSGVO bezeichnet der Ausdruck „Einwilligung“ „jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist“.

143Mit Blick auf die Zweifel des vorlegenden Gerichts ist erstens darauf hinzuweisen, dass nach dem 42. Erwägungsgrund der DSGVO die Einwilligung nicht als freiwillig erteilt angesehen werden kann, wenn die betroffene Person nicht über eine echte Wahlfreiheit verfügt oder nicht in der Lage ist, ihre Einwilligung zu verweigern oder zu widerrufen, ohne Nachteile zu erleiden.

144Zweitens heißt es im 43. Erwägungsgrund dieser Verordnung, dass, um sicherzustellen, dass die Einwilligung freiwillig erfolgt ist, diese keine gültige Rechtsgrundlage für die Verarbeitung personenbezogener Daten darstellen sollte, wenn zwischen der betroffenen Person und dem Verantwortlichen ein klares Ungleichgewicht besteht. In diesem Erwägungsgrund wird auch klargestellt, dass die Einwilligung als nicht freiwillig erteilt gilt, wenn in Bezug auf verschiedene Vorgänge der Verarbeitung personenbezogener Daten nicht gesondert eine Einwilligung erteilt werden kann, obwohl dies im Einzelfall angebracht ist.

145Drittens sieht Art. 7 Abs. 4 DSGVO vor, dass bei der Beurteilung, ob die Einwilligung freiwillig erteilt wurde, in größtmöglichem Umfang dem Umstand Rechnung getragen werden muss, ob u. a. die Erfüllung eines Vertrags, einschließlich der Erbringung einer Dienstleistung, von der Einwilligung zu einer Verarbeitung von personenbezogenen Daten abhängig ist, die für die Erfüllung des Vertrags nicht erforderlich ist.

146Auf der Grundlage dieser Erwägungen ist die sechste Frage zu beantworten.

147Insoweit ist festzustellen, dass der Umstand, dass der Betreiber eines sozialen Online-Netzwerks als für die Verarbeitung Verantwortlicher eine beherrschende Stellung auf dem Markt für soziale Netzwerke einnimmt, zwar für sich genommen nicht ausschließt, dass die Nutzer dieses sozialen Netzwerks im Sinne von Art. 4 Nr. 11 DSGVO wirksam in die Verarbeitung ihrer personenbezogenen Daten durch diesen Betreiber einwilligen können.

148Gleichwohl muss, wie der Generalanwalt in Nr. 75 seiner Schlussanträge im Wesentlichen ausgeführt hat, ein solcher Umstand bei der Beurteilung der Wirksamkeit, insbesondere der Freiwilligkeit, der Einwilligung des Nutzers dieses Netzwerks berücksichtigt werden, da er geeignet ist, die Wahlfreiheit des Nutzers zu beeinträchtigen, der möglicherweise, wie es im 42. Erwägungsgrund der DSGVO heißt, nicht in der Lage ist, seine Einwilligung zu verweigern oder zu widerrufen, ohne Nachteile zu erleiden.

149Außerdem kann aufgrund einer solchen beherrschenden Stellung zwischen der betroffenen Person und dem Verantwortlichen ein klares Ungleichgewicht im Sinne des 43. Erwägungsgrundes der DSGVO bestehen, wodurch es u. a. leichter wird, Bedingungen durchzusetzen, die für die Erfüllung des Vertrags nicht unbedingt erforderlich sind, was gemäß Art. 7 Abs. 4 DSGVO zu berücksichtigen ist. In diesem Zusammenhang ist daran zu erinnern, dass, wie in den Rn. 102 bis 104 des vorliegenden Urteils festgestellt worden ist, vorbehaltlich der vom vorlegenden Gericht vorzunehmenden Überprüfungen nicht ersichtlich ist, dass die im Ausgangsverfahren in Rede stehende Verarbeitung für die Erfüllung des Vertrags zwischen Meta Platforms Ireland und den Nutzern des sozialen Netzwerks Facebook unbedingt erforderlich wäre.

150Daher müssen diese Nutzer die Freiheit haben, im Zuge des Vertragsabschlusses die Einwilligung in bestimmte Datenverarbeitungsvorgänge, die für die Erfüllung des Vertrags nicht erforderlich sind, einzeln zu verweigern, ohne dazu gezwungen zu sein, auf die Nutzung des vom Betreiber des sozialen Online-Netzwerks angebotenen Dienstes vollständig zu verzichten, was bedingt, dass ihnen, gegebenenfalls gegen ein angemessenes Entgelt, eine gleichwertige Alternative angeboten wird, die nicht mit solchen Datenverarbeitungsvorgängen einhergeht.

151Außerdem ist es in Anbetracht des Umfangs der fraglichen Datenverarbeitung und ihrer erheblichen Auswirkungen auf die Nutzer dieses Netzwerks sowie angesichts des Umstands, dass diese Nutzer vernünftigerweise nicht damit rechnen können, dass andere Daten als die, die ihr Verhalten innerhalb des sozialen Netzwerks betreffen, von dessen Betreiber verarbeitet werden, im Sinne des 43. Erwägungsgrundes der DSGVO angebracht, dass eine Einwilligung gesondert für die Verarbeitung der letztgenannten Daten einerseits und die Off-Facebook-Daten andererseits erteilt werden kann. Es ist Sache des vorlegenden Gerichts, zu prüfen, ob eine solche Möglichkeit besteht; sollte dies nicht der Fall sein, müsste die Einwilligung der Nutzer in die Verarbeitung der Off-Facebook-Daten als nicht freiwillig erteilt gelten.

152Schließlich ist darauf hinzuweisen, dass nach Art. 7 Abs. 1 DSGVO in Fällen, in denen die Verarbeitung auf einer Einwilligung beruht, der Verantwortliche die Beweislast dafür trägt, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat.

153Anhand dieser Kriterien und einer eingehenden Prüfung aller Umstände des Einzelfalls wird das vorlegende Gericht zu ermitteln haben, ob die Nutzer des sozialen Netzwerks Facebook wirksam, insbesondere freiwillig, in die im Ausgangsverfahren in Rede stehende Verarbeitung eingewilligt haben.

154Nach alledem ist auf die sechste Frage zu antworten, dass Art. 6 Abs. 1 Unterabs. 1 Buchst. a und Art. 9 Abs. 2 Buchst. a DSGVO dahin auszulegen sind, dass der Umstand, dass der Betreiber eines sozialen Online-Netzwerks eine beherrschende Stellung auf dem Markt für soziale Online-Netzwerke einnimmt, für sich genommen nicht ausschließt, dass die Nutzer eines solchen Netzwerks im Sinne von Art. 4 Nr. 11 DSGVO wirksam in die Verarbeitung ihrer personenbezogenen Daten durch diesen Betreiber einwilligen können. Gleichwohl ist dieser Umstand ein wichtiger Aspekt für die Prüfung, ob die Einwilligung tatsächlich wirksam, insbesondere freiwillig, erteilt wurde, wofür der betreffende Betreiber die Beweislast trägt.

Kosten

155Für die Beteiligten des Ausgangsverfahrens ist das Verfahren Teil des beim vorlegenden Gericht anhängigen Verfahrens; die Kostenentscheidung ist daher Sache dieses Gerichts. Die Auslagen anderer Beteiligter für die Abgabe von Erklärungen vor dem Gerichtshof sind nicht erstattungsfähig.

Aus diesen Gründen hat der Gerichtshof (Große Kammer) für Recht erkannt:

1. Die Art. 51 ff. der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) sowie Art. 4 Abs. 3 EUV

sind dahin auszulegen, dass

eine mitgliedstaatliche Wettbewerbsbehörde im Rahmen der Prüfung, ob ein Missbrauch einer beherrschenden Stellung durch ein Unternehmen im Sinne von Art. 102 AEUV vorliegt, vorbehaltlich der Erfüllung ihrer Pflicht zur loyalen Zusammenarbeit mit den Aufsichtsbehörden feststellen kann, dass die Allgemeinen Nutzungsbedingungen dieses Unternehmens, soweit sie sich auf die Verarbeitung personenbezogener Daten beziehen, und die Durchführung dieser Nutzungsbedingungen nicht mit der Verordnung 2016/679 vereinbar sind, wenn diese Feststellung erforderlich ist, um das Vorliegen eines solchen Missbrauchs zu belegen.

Angesichts dieser Pflicht zur loyalen Zusammenarbeit darf die nationale Wettbewerbsbehörde von einer Entscheidung der zuständigen nationalen Aufsichtsbehörde oder der zuständigen federführenden Aufsichtsbehörde in Bezug auf diese Allgemeinen Nutzungsbedingungen oder ähnliche allgemeine Bedingungen nicht abweichen. Wenn sie Zweifel hinsichtlich der Tragweite einer solchen Entscheidung hat, wenn die fraglichen Bedingungen oder ähnliche Bedingungen gleichzeitig Gegenstand einer Prüfung durch diese Behörden sind oder wenn sie bei Nichtvorliegen einer Untersuchung oder Entscheidung dieser Behörden der Auffassung ist, dass die fraglichen Bedingungen nicht mit der Verordnung 2016/679 vereinbar sind, muss die Wettbewerbsbehörde diese Aufsichtsbehörden konsultieren und um deren Mitarbeit bitten, um ihre Zweifel auszuräumen oder zu klären, ob sie eine Entscheidung der Aufsichtsbehörden abwarten muss, bevor sie mit ihrer eigenen Beurteilung beginnt. Wird von den Aufsichtsbehörden innerhalb einer angemessenen Frist kein Einwand erhoben oder keine Antwort erteilt, so kann die nationale Wettbewerbsbehörde ihre eigene Untersuchung fortsetzen.

2. Art. 9 Abs. 1 der Verordnung 2016/679

ist dahin auszulegen, dass

in dem Fall, dass ein Nutzer eines sozialen Online-Netzwerks Websites oder Apps mit Bezug zu einer oder mehreren der in dieser Bestimmung genannten Kategorien aufruft und dort gegebenenfalls Daten eingibt, indem er sich registriert oder Online-Bestellungen aufgibt, die Verarbeitung personenbezogener Daten durch den Betreiber dieses sozialen Online-Netzwerks, die darin besteht, dass dieser Betreiber die aus dem Aufruf dieser Websites und Apps stammenden Daten sowie die vom Nutzer eingegebenen Daten über integrierte Schnittstellen, Cookies oder ähnliche Speichertechnologien erhebt, die Gesamtheit dieser Daten mit dem jeweiligen Nutzerkonto des sozialen Netzwerks verknüpft und diese Daten verwendet, als eine „Verarbeitung besonderer Kategorien personenbezogener Daten“ im Sinne dieser Bestimmung anzusehen ist, die vorbehaltlich der in Art. 9 Abs. 2 der Verordnung 2016/679 vorgesehenen Ausnahmen grundsätzlich untersagt ist, wenn diese Datenverarbeitung die Offenlegung von Informationen ermöglicht, die in eine dieser Kategorien fallen, unabhängig davon, ob diese Informationen einen Nutzer dieses Netzwerks oder eine andere natürliche Person betreffen.

3. Art. 9 Abs. 2 Buchst. e der Verordnung 2016/679

ist dahin auszulegen, dass

ein Nutzer eines sozialen Online-Netzwerks, wenn er Websites oder Apps mit Bezug zu einer oder mehreren der in Art. 9 Abs. 1 dieser Verordnung genannten Kategorien aufruft, die diesen Aufruf betreffenden Daten, die der Betreiber dieses sozialen Online-Netzwerks über Cookies oder ähnliche Speichertechnologien erhebt, nicht im Sinne der erstgenannten Bestimmung offensichtlich öffentlich macht.

Gibt ein solcher Nutzer Daten auf solchen Websites oder in solchen Apps ein oder betätigt er darin eingebundene Schaltflächen – wie etwa „Gefällt mir“ oder „Teilen“ oder Schaltflächen, die es dem Nutzer ermöglichen, sich auf diesen Websites oder in diesen Apps unter Verwendung der Anmeldedaten, die mit seinem Konto als Nutzer des sozialen Netzwerks, seiner Telefonnummer oder seiner E-Mail-Adresse verknüpft sind, zu identifizieren –, so macht er die eingegebenen oder sich aus der Betätigung dieser Schaltflächen ergebenden Daten nur dann im Sinne von Art. 9 Abs. 2 Buchst. e der Verordnung 2016/679 offensichtlich öffentlich, wenn er zuvor, gegebenenfalls durch in voller Kenntnis der Sachlage vorgenommene individuelle Einstellungen, explizit seine Entscheidung zum Ausdruck gebracht hat, die ihn betreffenden Daten einer unbegrenzten Zahl von Personen öffentlich zugänglich zu machen.

4. Art. 6 Abs. 1 Unterabs. 1 Buchst. b der Verordnung 2016/679

ist dahin auszulegen, dass

die Verarbeitung personenbezogener Daten durch den Betreiber eines sozialen Online-Netzwerks, die darin besteht, dass Daten der Nutzer eines solchen Netzwerks, die aus anderen Diensten des Konzerns, zu dem dieser Betreiber gehört, stammen oder sich aus dem Aufruf dritter Websites oder Apps durch diese Nutzer ergeben, erhoben, mit dem jeweiligen Nutzerkonto des sozialen Netzwerks verknüpft und verwendet werden, nur dann als im Sinne dieser Vorschrift für die Erfüllung eines Vertrags, dessen Vertragsparteien die betroffenen Personen sind, erforderlich angesehen werden kann, wenn diese Verarbeitung objektiv unerlässlich ist, um einen Zweck zu verwirklichen, der notwendiger Bestandteil der für diese Nutzer bestimmten Vertragsleistung ist, so dass der Hauptgegenstand des Vertrags ohne diese Verarbeitung nicht erfüllt werden könnte.

5. Art. 6 Abs. 1 Unterabs. 1 Buchst. f der Verordnung 2016/679

ist dahin auszulegen, dass

die Verarbeitung personenbezogener Daten durch den Betreiber eines sozialen Online-Netzwerks, die darin besteht, dass Daten der Nutzer eines solchen Netzwerks, die aus anderen Diensten des Konzerns, zu dem dieser Betreiber gehört, stammen oder sich aus dem Aufruf dritter Websites oder Apps durch diese Nutzer ergeben, erhoben, mit dem jeweiligen Nutzerkonto des sozialen Netzwerks verknüpft und verwendet werden, nur dann als zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich im Sinne dieser Vorschrift angesehen werden kann, wenn der fragliche Betreiber den Nutzern, bei denen die Daten erhoben wurden, ein mit der Datenverarbeitung verfolgtes berechtigtes Interesse mitgeteilt hat, wenn diese Verarbeitung innerhalb der Grenzen dessen erfolgt, was zur Verwirklichung dieses berechtigten Interesses absolut notwendig ist und wenn sich aus einer Abwägung der einander gegenüberstehenden Interessen unter Würdigung aller relevanten Umstände ergibt, dass die Interessen oder Grundrechte und Grundfreiheiten dieser Nutzer gegenüber dem berechtigten Interesse des Verantwortlichen oder eines Dritten nicht überwiegen.

6. Art. 6 Abs. 1 Unterabs. 1 Buchst. c der Verordnung 2016/679

ist dahin auszulegen, dass

die Verarbeitung personenbezogener Daten durch den Betreiber eines sozialen Online-Netzwerks, die darin besteht, dass Daten der Nutzer eines solchen Netzwerks, die aus anderen Diensten des Konzerns, zu dem dieser Betreiber gehört, stammen oder sich aus dem Aufruf dritter Websites oder Apps durch diese Nutzer ergeben, erhoben, mit dem jeweiligen Nutzerkonto des sozialen Netzwerks verknüpft und verwendet werden, nach dieser Vorschrift gerechtfertigt ist, wenn sie zur Erfüllung einer rechtlichen Verpflichtung, der der Verantwortliche gemäß einer Vorschrift des Unionsrechts oder des Rechts des betreffenden Mitgliedstaats unterliegt, tatsächlich erforderlich ist, diese Rechtsgrundlage ein im öffentlichen Interesse liegendes Ziel verfolgt und in einem angemessenen Verhältnis zu dem verfolgten legitimen Ziel steht und diese Verarbeitung in den Grenzen des absolut Notwendigen erfolgt.

7. Art. 6 Abs. 1 Unterabs. 1 Buchst. d und e der Verordnung 2016/679

ist dahin auszulegen, dass

die Verarbeitung personenbezogener Daten durch den Betreiber eines sozialen Online-Netzwerks, die darin besteht, dass Daten der Nutzer eines solchen Netzwerks, die aus anderen Diensten des Konzerns, zu dem dieser Betreiber gehört, stammen oder sich aus dem Aufruf dritter Websites oder Apps durch diese Nutzer ergeben, erhoben, mit dem jeweiligen Nutzerkonto des sozialen Netzwerks verknüpft und verwendet werden, grundsätzlich – vorbehaltlich einer Überprüfung durch das vorlegende Gericht – nicht als im Sinne von Buchst. d erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen, oder als im Sinne von Buchst. e für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde, angesehen werden kann.

8. Art. 6 Abs. 1 Unterabs. 1 Buchst. a und Art. 9 Abs. 2 Buchst. a der Verordnung 2016/679

sind dahin auszulegen, dass

der Umstand, dass der Betreiber eines sozialen Online-Netzwerks eine beherrschende Stellung auf dem Markt für soziale Online-Netzwerke einnimmt, für sich genommen nicht ausschließt, dass die Nutzer eines solchen Netzwerks im Sinne von Art. 4 Nr. 11 dieser Verordnung wirksam in die Verarbeitung ihrer personenbezogenen Daten durch diesen Betreiber einwilligen können. Gleichwohl ist dieser Umstand ein wichtiger Aspekt für die Prüfung, ob die Einwilligung tatsächlich wirksam, insbesondere freiwillig, erteilt wurde, wofür der betreffende Betreiber die Beweislast trägt.