Das Geschäftsmodell von Meta und anderen Big- Data- Unternehmen kommt auf den Prüfstand. Nach einem Urteil des Europäischen Gerichtshofs dürfen Verstöße gegen den Datenschutz zur Grundlage kartellrechtlicher Prüfungen gemacht werden.
In einem beispiellosen Pingpong aus Gerichtsentscheidungen über eine Verfügung des Bundeskartellamts (BKartA) hat der Europäische Gerichtshof (EuGH) in der Rechtssache C-252/21 diesem den Rücken gestärkt. Die Ausgangsverfügung des BKartA betrifft den Umgang des sozialen Netzwerks Facebook mit den Daten seiner Nutzerinnen und Nutzer. Laut EuGH darf das BKartA bei Anwendung des Kartellrechts berücksichtigen, ob das Verhalten von Facebook mit den Normen der Datenschutz-Grundverordnung (DS-GVO) vereinbar ist.
Datenerhebung bei Facebook
Die Allgemeinen Nutzungsbedingungen von Facebook beziehungsweise der Betreibergesellschaft Meta sehen vor, dass ein Nutzer mit der Eröffnung eines Kontos in eine umfassende Nutzung seiner Daten einwilligt. Auf dieser Grundlage erhebt Meta Daten bei der Nutzung des sozialen Netzwerks selbst (sogenannte On-Facebook-Daten) sowie Daten über Aktivitäten außerhalb von Facebook (sogenannte Off-Facebook-Daten). Letztere stammen aus der Nutzung anderer Online-Dienste des Meta-Konzerns, wie etwa Instagram oder WhatsApp, sowie von Internetseiten und Apps Dritter. Mit den so erhobenen Daten baut Meta einen umfassenden Datenbestand über jeden einzelnen Nutzer auf. Dies ermöglicht es Meta, in seinen Diensten hochgradig personalisierte Werbung auszuspielen, was eine effektive Zielgruppenansprache und letztlich hohe Werbeeinnahmen verspricht. Dieses Vorgehen ist Grundbestandteil des Geschäftsmodells von Meta – aber auch anderer Big-Data-Unternehmen.
Untersagungsverfügung
Mit Beschluss vom 6. Februar 2019 untersagte das BKartA Meta diese Art der Datenverarbeitung. Meta habe eine beherrschende Stellung auf dem deutschen Markt für soziale Online-Netzwerke. Diese Stellung nutze Meta missbräuchlich aus (§ 19 Gesetz gegen Wettbewerbsbeschränkungen), weil die Nutzer aufgrund der monopolartigen Stellung von Facebook faktisch dazu gezwungen seien, der Datenverarbeitung zuzustimmen. Ferner seien die Konditionen der Datenverarbeitung missbräuchlich, weil sie als Ausfluss von Marktmacht gegen die Wertungen der DS-GVO verstießen. Meta habe kein berechtigtes Interesse an Daten über Aktivitäten der Nutzer außerhalb von Facebook.
Gerichtsverfahren
Gegen den Beschluss legte Meta beim Oberlandesgericht (OLG) Düsseldorf Beschwerde ein und begehrte im Eilverfahren – zunächst erfolgreich – eine aufschiebende Wirkung. Diese Entscheidung wiederum hob der Bundesgerichtshof (BGH) auf, wobei er allein kartellrechtlich argumentierte und – anders als das BKartA – nicht auf einen Verstoß gegen Datenschutzrecht abstellte. Das Verhalten von Meta sei missbräuchlich, weil es die Nutzung des sozialen Netzwerks von der Befugnis abhängig mache, Off-Facebook-Daten mit On-Facebook-Daten zu verknüpfen. Unter den Bedingungen eines funktionierenden Wettbewerbs wäre zu erwarten, dass Nutzerpräferenzen bei der Gestattung des Zugriffs auf Daten durch entsprechende Angebote stärker berücksichtigt würden. Nutzer könnten dann einer weitergehenden Nutzung ihrer Daten entweder zustimmen oder ihr widersprechen. Auf die Rechtmäßigkeit einer Datenverarbeitung im Rahmen der DS-GVO kommt es bei dieser Argumentation nicht mehr an.
Vorlage aus Düsseldorf
Das OLG war mit der Würdigung des BGH offenkundig nicht einverstanden. Zunächst ordnete es in einem sogenannten Hängebeschluss erneut die aufschiebende Wirkung bis zu einer weiteren Entscheidung im Eilverfahren an. Nachdem es auch in diesem zweiten Eilverfahren vom BGH gestoppt worden war, beschloss das OLG in der Hauptsache den EuGH anzurufen. Es stellte Vorlagefragen dazu, ob eine nationale Kartellbehörde das Vorliegen von Verstößen gegen die DS-GVO prüfen dürfe und, wenn ja, wie bestimmte Regelungen der DS-GVO auszulegen seien. Insoweit thematisierten die Düsseldorfer Richter zunächst das Verhältnis von Datenschutz und Kartellrecht. Die DS-GVO sieht vor, dass die Mitgliedstaaten Aufsichtsbehörden einrichten, die für die Überwachung des Datenschutzrechts im Hoheitsgebiet des jeweiligen Mitgliedstaats zuständig sind (Art. 51, 55 DS-GVO). Im Falle einer grenzüberschreitenden Datenverarbeitung gilt im Grundsatz, dass allein diejenige Aufsichtsbehörde zuständig ist, in deren Mitgliedstaat die Haupt- oder einzige Niederlassung des Verantwortlichen liegt (Art. 56 DS-GVO). Für Meta ergibt sich daraus angesichts ihrer Hauptniederlassung in Dublin eine primäre Zuständigkeit der irischen Datenschutzbehörde (Data Protection Commission). Eine Zuständigkeit der Kartellbehörden ist in der DS-GVO nicht vorgesehen. Für die Düsseldorfer Richter war deshalb zweifelhaft, ob das BKartA als nicht irische und datenschutzfremde Behörde überhaupt Verstöße gegen die DS-GVO feststellen durfte.
Nebeneinander von Kartell- und Datenschutzrecht
Der EuGH erteilte der Vorstellung einer alleinigen Prüfzuständigkeit von Datenschutzbehörden für Verstöße gegen die DS-GVO eine klare Absage. Angesichts der erheblichen Bedeutung personenbezogener Daten für die digitale Wirtschaft würde es die tatsächliche wirtschaftliche Entwicklung verkennen und die Wirksamkeit des Wettbewerbsrechts in der EU gefährden, wenn Kartellbehörden bei der Würdigung des Verhaltens eines Unternehmens den Rechtsrahmen der DS-GVO unberücksichtigt lassen müssten. Wenn eine Kartellbehörde eine Datenverarbeitung als wettbewerblich missbräuchlich verbietet und zum Beleg auf die DS-GVO abstellt, tritt sie auch nicht an die Stelle der Datenschutzbehörden. Denn mit einer solchen Entscheidung nehme die Kartellbehörde keine Aufgaben der Datenschutzbehörden wahr oder mache von deren Befugnissen Gebrauch.
Loyale Zusammenarbeit
Um eine kohärente Anwendung der DS-GVO zu gewährleisten und der Gefahr zu begegnen, dass verschiedene Behörden gleiche Rechtsfragen abweichend beurteilen, greift der EuGH auf den Grundsatz der loyalen Zusammenarbeit (Art. 4 Abs. 3 EU-Vertrag) zurück. Die Kartellbehörden seien demnach verpflichtet, sich mit den zuständigen Datenschutzbehörden abzustimmen. Von der früheren Entscheidung einer Datenschutzbehörde dürften Kartellbehörden nicht abweichen, wenngleich sie daraus eigene Schlussfolgerungen unter dem Gesichtspunkt der Anwendung des Wettbewerbsrechts ziehen könnten. Fehle es an einer datenschutzrechtlichen Entscheidung oder habe die Kartellbehörde Zweifel an der Tragweite einer solchen Entscheidung, müsse sie die zuständigen Datenschutzbehörden konsultieren und um deren Mitarbeit bitten. Erheben die Datenschutzbehörden keine Einwände oder antworten sie nicht binnen angemessener Frist, könne die Kartellbehörde ihre eigene Untersuchung ungehindert fortsetzen. Diese Vorgaben hatte das BKartA eingehalten und somit seine Pflicht zur loyalen Zusammenarbeit erfüllt.
Anforderungen an die Datenverarbeitung
Die übrigen vorgelegten Fragen betrafen – trotz ihrer kartellrechtlichen Einbettung – Grundsatzfragen zur DS-GVO, insbesondere zur Verarbeitung sensibler Daten im Rahmen von Art. 9 DS-GVO sowie zu einer etwaigen Rechtfertigung nach Art. 6 DS-GVO. Der EuGH hat hier Leitlinien skizziert, die inhaltlich im Widerspruch zu der Praxis von Meta stehen dürften. Der EuGH stellt Kriterien für die Erforderlichkeit der Rechtmäßigkeit bei der Verarbeitung von Daten (Art. 6 Abs. 1 lit. b DS-GVO) auf und bestätigt die vom BKartA im streitgegenständlichen Beschluss vertretene Auffassung, wonach die praktizierte Verarbeitung in diesem Umfang nicht erforderlich sein dürfte. Ebenso dürfte nach Ansicht des EuGH auch ein berechtigtes Interesse (Art. 6 Abs. 1 lit. f DS-GVO) nicht die gegenläufigen Schutzinteressen der Nutzer überwiegen. Mangels Rechtmäßigkeit der Verarbeitung bedürfe es daher einer Einwilligung (Art. 7 DS-GVO), wobei die marktbeherrschende Stellung des Unternehmens bei der Frage, ob die Einwilligung freiwillig erfolgt, zu berücksichtigen sei.
Weiteres Verfahren
Das OLG Düsseldorf muss nun noch über die Rechtmäßigkeit der Verbotsverfügung des BKartA entscheiden. Angesichts der deutlichen Worte aus Luxemburg lässt sich kaum anzweifeln, dass das BKartA Meta das Zusammenführen von Nutzerdaten aus verschiedenen Quellen untersagen durfte. Alles andere als eine Zurückweisung der Beschwerde von Meta wäre eine große Überraschung. Spannend bleibt, wie das OLG diese Entscheidung begründen wird. Zwei Argumentationswege stehen im Raum. Der datenschutzrechtliche Ansatz, der Gegenstand des Verfahrens vor dem EuGH war, oder der rein kartellrechtliche Ansatz, den der BGH im Eilverfahren aufgezeigt hatte. So oder so wird Meta voraussichtlich – mehr als vier Jahre nach dem Erlass der Verbotsverfügung – seine Praxis der Datenverarbeitung ändern müssen, um nicht nur kartellrechtlichen Vorgaben gerecht zu werden, sondern auch den Vorgaben der DS-GVO, wie sie der EuGH nunmehr spezifiziert hat. Meta hat jüngst – kurz vor dem Urteil des EuGH – in Absprache mit dem BKartA erste Schritte zur Umsetzung unternommen. Ob diese Maßnahmen ausreichen, um allen kartell- und datenschutzrechtlichen Anforderungen zu entsprechen, ist offen.
Fazit und Ausblick
Das Urteil des EuGH hat über den Fall Meta hinaus Bedeutung für die Online-Ökonomie. Die Praxis der Datenverarbeitung durch Big-Data-Unternehmen dürfte in vielen Fällen den im Urteil aufgestellten Anforderungen nicht genügen. Auch Unternehmen ohne eine marktbeherrschende Stellung werden die digitale Souveränität der Nutzer stärker berücksichtigen müssen. Denkbar ist, dass sich die im Internet teilweise, etwa bei Online-Zeitungen, schon anzutreffenden Bezahlmodelle stärker durchsetzen werden, bei denen durch eine Antwort auf die Frage „mit oder ohne Werbung lesen?“ eine Bezahlung entweder mit Daten oder mit Geld gewählt werden kann. Marktmächtige Unternehmen werden hier die Angemessenheit der Gegenleistung beachten müssen – anderenfalls könnten sie sich dem Vorwurf eines missbräuchlichen Verhaltens aussetzen.
MEHR DAZU
DATEV-Datenschutzbeauftragte – Ihr persönlicher Begleiter, www.datev.de/dsb
