Facebook vs. Bundeskartellamt: Eine datenschutzrechtliche Analyse

Wie angekündigt und auf unserem Blog bereits thematisiert, hat das Bundeskartellamt (BKartA) Anfang Februar 2019 dem sozialen Netzwerk Facebook die Zusammenführung von Nutzerdaten aus verschiedenen Quellen untersagt. Die datenschutzrechtlichen Details dieser Entscheidung will dieser Artikel analysieren.

Woran stößt sich das Bundeskartellamt?

Facebook sammelt Nutzerdaten nicht nur durch das soziale Netzwerk selbst, sondern auch über seine anderen Dienste, vor allem Instagram und Whatsapp. Darüber hinaus werden Daten durch Webseiten und Apps von Drittanbietern gesammelt, wenn diese die von Facebook bereitgestellten Schnittstellen nutzen (Like-Button, Facebook-Login, Trackingtools wie Facebook Custom Audience etc). All diese Daten werden von Facebook zusammengeführt und weiterverarbeitet. In dieser gegenwärtigen Situation sieht das BKartA einen

„Konditionenmissbrauch gemäß § 19 Abs. 1 GWB wegen unangemessener Datenverarbeitung“.

Die Wettbewerbsbehörde ist der Auffassung, dass die von Facebook eingeforderten

„Konditionen weder nach datenschutzrechtlichen Wertungen gerechtfertigt noch nach kartellrechtlichen Maßstäben angemessen“

sei. Facebook darf die Daten seiner Nutzer zwar über seine eigenen Dienste weiterhin sammeln. Für die Zusammenführung unter dem Facebook-Nutzerkonto ist jedoch zukünftig die freiwillige Einwilligung der Nutzer erforderlich. Freiwillig meint dabei, dass die Nutzung der Facebook-Dienste nicht von der Erteilung dieser Einwilligung abhängig gemacht werden darf. Ebenso soll künftig eine Einwilligung erforderlich sein, wenn Daten über Drittanbieterseiten gesammelt werden.

Wird keine Einwilligung erteilt, darf Facebook die Daten nicht mehr wie bisher in umfangreicher Weise zusammenführen, sondern nur noch in stark eingeschränkter Form. Die Datenverarbeitung muss grundsätzlich intern getrennt werden, wenn keine Einwilligung der Nutzer vorliegt. Das BKartA verpflichtet Facebook damit, seine Datenverarbeitungs- und Nutzungskonditionen entsprechend anzupassen und die Datenverarbeitung außerhalb des sozialen Netzwerks ohne Einwilligung erheblich einzuschränken. Als Mittel hierfür kommen nach Auffassung der Behörde

„Beschränkungen der Datenmenge, der Verwendungszwecke, Art der Datenverarbeitung, zusätzliche Steuerungsmöglichkeiten der Nutzer, Anonymisierung, Verarbeitung nur auf Weisung der Drittanbieter, Haltefristen u.v.m.“

in Betracht. Es ist insoweit Facebooks Aufgabe, Lösungsmöglichkeiten anzubieten, welche das BKartA sodann überprüfen werde.

Ob die Maßnahmen umgesetzt werden, ist fraglich. Facebook hat gegen die Entscheidung bereits Beschwerde vor dem OLG Düsseldorf eingelegt.

Was hat das mit der DSGVO zu tun?

Das Bundeskartellamt stützt sein Einschreiten auf einen Verstoß Facebooks gegen datenschutzrechtliche Vorschriften bei gleichzeitiger marktbeherrschender Stellung. Entscheidet sich der Nutzer für die Anmeldung auf Facebook, dem faktisch populärsten, größten und mit ca. 1,5 Milliarden Nutzern täglich am weitesten verbreiteten sozialen Netzwerk der Gegenwart, begebe er sich der Kontrolle über seine persönlichen Daten. Diese würden von Facebook verarbeitet, um daraus unmittelbare wirtschaftliche Vorteile zu erzielen, wobei dies in einer umfassenden, für den Betroffenen nicht mehr nachvollziehbaren Art und Weise geschehe. In diesem weitreichenden Spielraum bei der Verarbeitung personenbezogener Daten sieht das Bundeskartellamt einen „Konditionenmissbrauch“.

Dabei legt es Rechtsprechung des Bundesgerichtshofs zugrunde, wonach Unangemessenheit von Konditionen auch anhand zivilrechtlicher Wertungen oder anhand einer grundrechtlichen Interessenabwägung überprüft werden könne. Auf diese Weise gelingt es dem Bundeskartellamt, eine Verknüpfung zum Datenschutzrecht herzustellen, welches

„den Schutz des Betroffenen vor ungerechtfertigten Datenverarbeitungen seiner personenbezogenen Daten durch die Marktgegenseite“

bezwecke und gewährleisten solle,

„dass ein Nutzer selbstbestimmt und freiwillig über den Umgang mit seinen personenbezogenen Daten entscheiden kann“.

Unter Anwendung dieses Maßstabs stellt das Bundeskartellamt sodann fest, dass Facebook sich auf keine wirksame Rechtsgrundlage für eine derart weitreichende Datenverarbeitung stützen könne.

Rechtliche Einordnung

Facebook beruft sich für die Rechtmäßigkeit der Verarbeitung personenbezogener Daten auf die Erforderlichkeit der Datenverarbeitung für die Erbringung des Dienstes (Art. 6 Abs. 1 lit. b DSGVO) und zur Erfüllung berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO).  Dabei ist offenkundig sehr fraglich, ob eine derart große Menge an Daten erforderlich ist, um den Dienst zu betreiben. Andere Netzwerke wie studiVZ haben vorgemacht, wie ein solcher Dienst funktionieren kann, ohne Daten aus anderen Quellen zusammenzuführen.

Ebenso erscheint zweifelhaft, ob Facebook die Datenverarbeitung auf ein berechtigtes Interesse stützen kann. Zwar sind wirtschaftliche Erwägungen grundsätzlich als berechtigte (Unternehmens-)Interessen berücksichtigungsfähig und auch das Bundeskartellamt erkennt an, dass Daten das wirtschaftliche Gut sind, mit dem Facebook dem Grunde nach sein Geld verdienen darf. Erforderlich ist aber zudem, dass die berechtigten Interessen der Betroffenen (Nutzer) nicht überwiegen, welche bekanntlich auch an den Erwartungen zu messen sind, die vernünftigerweise an die Datenverarbeitung eines sozialen Netzwerks gestellt werden dürfen. Facebooks Beschwerdebegründung dürfte daher vor allem hinsichtlich der Ausführungen zum berechtigten Interesse interessant werden.

Jedenfalls aber führt die Erhebung, Auswertung und Speicherung personenbezogener Daten in dem vom Facebook betriebenen Umfang zu einer umfassenden Profilbildung. Für diese ist auch nach Auffassung der Aufsichtsbehörden die Einwilligung des Betroffenen erforderlich (Orientierungshilfe, Ziffer 1.3.1).

Hierin liegt im Übrigen auch die Besonderheit des vorliegenden Falles. Das Bundeskartellamt, dessen Aufgabe der Schutz des Wettbewerbs in Deutschland ist, hat hier eine datenschutzrechtliche Bewertung vorgenommen und aufgrund eines Verstoßes gegen die DSGVO auf ein verbotenes Verhalten von marktbeherrschenden Unternehmen erkannt. Diese Vorgehensweise fand nicht nur Zustimmung.

Vorsichtiger Ausblick

Im Ergebnis überzeugt die Entscheidung. Die Auffassung, die zukünftige Datenverarbeitung unter Einwilligungsvorbehalt zu stellen, weil sie einer Profilbildung gleichkommt, ist gut vertretbar. Wird die Verfügung des Bundeskartellamts rechtskräftig, könnte dies zu einem Umdenken in Facebooks Geschäftsprozessen führen. Denkbar wäre aber auch, dass Facebook die Nutzung seine Dienste künftig von der Erteilung einer Einwilligung in die Datenverarbeitung abhängig macht. Daraus ergäbe sich die spannende Folgefrage, inwieweit man angesichts der aufgezeigten Marktmacht Facebooks dann noch von Freiwilligkeit bei der Abgabe der Einwilligung sprechen kann (vgl. Erwägungsgrund 43 Satz 2:

„Die Einwilligung gilt nicht als freiwillig erteilt, (…) wenn die Erfüllung eines Vertrags, einschließlich der Erbringung einer Dienstleistung, von der Einwilligung abhängig ist, obwohl diese Einwilligung für die Erfüllung nicht erforderlich ist.“