Anfang 2019 untersagte das Bundeskartellamt dem Meta-Konzern (ehemals Facebook), Daten, die bei einer von der Facebook-Plattform unabhängigen Internetnutzung erfasst werden, ohne weitere Einwilligung der privaten Nutzer zu verarbeiten. Hintergrund war die Verwendung von personenbezogenen Daten aus der Nutzung anderer konzerneigener Dienste wie Instagram und anderen Internetaktivitäten der Nutzer außerhalb von facebook.com. Das Bundeskartellamt sah darin einen Missbrauch von Facebooks marktbeherrschender Stellung auf dem nationalen Markt und untersagte entsprechende Nutzungsbedingungen und Datenverarbeitung.
Hiergegen wehrte sich der Meta-Konzern und legte Beschwerde beim OLG Düsseldorf ein. Das OLG Düsseldorf legte dem EuGH im Laufe des Verfahrens diverse Fragen vor, um zu klären, wie bestimmte Vorschriften der Datenschutzgrundverordnung (DSGVO) auszulegen sind.
Das Gerichtsurteil in Kürze: Wichtige Aspekte
Bundeskartellamt darf DSGVO prüfen
Der EuGH hat zunächst klargestellt, dass nationale Wettbewerbsbehörden im Rahmen ihrer Untersuchung zu einem möglichen Missbrauch einer beherrschenden Stellung durch Unternehmen auch prüfen können, ob die Datenverarbeitung mit den Anforderungen der Datenschutz-Grundverordnung (DSGVO) vereinbar ist. D.h. dass das deutsche Bundeskartellamt grundsätzlich prüfen darf, ob ein Unternehmen gegen die Datenschutz-Grundverordnung (DSGVO) verstößt, um den Missbrauch einer beherrschenden Stellung festzustellen. Ein DSGVO-Verstoß kann als Indiz für einen solchen Missbrauch dienen, wie vom EuGH klargestellt wurde.
Die Aufsichtsbehörden und die Kartellbehörden verfolgen unterschiedliche Ziele: Die Aufsichtsbehörden überwachen und setzen die DSGVO durch, während die Kartellbehörden den Markt und die Verbraucher schützen und missbräuchliche Unternehmensstellungen prüfen. Es kann notwendig sein, das Verhalten von Unternehmen auch im Hinblick auf die DSGVO zu überprüfen, da der Zugang zu personenbezogenen Daten ein wichtiger Faktor im Wettbewerb der digitalen Wirtschaft ist.
Allerdings unterstrich der EuGH die Bedeutung der Kohärenz und der loyalen Zusammenarbeit zwischen den Wettbewerbs- und Datenschutzbehörden. Die nationalen Wettbewerbsbehörden sind demnach dazu verpflichtet, sich mit den Datenschutzbehörden abzustimmen und zusammenzuarbeiten.
Sensible Daten in sozialen Medien: Öffentlich oder nicht?
Besonders hervorgehoben wurde auch, dass die von Meta vorgenommene Datenverarbeitung auch sensible Kategorien von Daten betreffen kann. Der bloße Umstand, dass Nutzer Websites oder Apps aufrufen und Daten eingeben, bedeutet nicht zwangsläufig, dass sie ihre Daten öffentlich zugänglich machen im Sinne des Art. 9 Abs. 2 e) DSGVO. Etwas anderes gilt nur dann, wenn die Nutzer:innen zum Ausdruck gebracht haben, dass sie die Verwendung dieser Daten zu bestimmten Zwecken verstanden haben und der Verwendung dieser Daten durch den Online-Betreiber zustimmen. Es bedarf also einer expliziten Entscheidung des oder der Nutzer:in, um die Daten für eine unbegrenzte Anzahl von Personen öffentlich zugänglich zu machen.
Rechtsgrundlagen für die Verarbeitung personenbezogener Daten in sozialen Online-Netzwerken
Der EuGH untersuchte zudem die Zulässigkeit der Datenverarbeitung im Allgemeinen und prüfte, ob sie unter die in der DSGVO genannten Rechtfertigungsgründe fällt. Dabei stellte das Gericht klar, dass die Verarbeitung nur dann als erforderlich für die Vertragserfüllung betrachtet werden kann, wenn sie objektiv unerlässlich ist, um den Hauptzweck des Vertrages zu erfüllen. Die Personalisierung von Inhalten erfüllt diese Kriterien laut EuGH nicht zwangsläufig.
Der EuGH stützte seine Entscheidung auf den 47. Erwägungsgrund der DSGVO. Dieser Erwägungsgrund betont, dass bei der Verarbeitung personenbezogener Daten der Erwartungshorizont der betroffenen Person von entscheidender Bedeutung ist. Mit anderen Worten: Es muss berücksichtigt werden, was eine vernünftige Person in der jeweiligen Situation erwarten würde. In diesem Zusammenhang bedeutet dies, dass die Entscheidung, ob die Verwendung personalisierter Werbung ohne Einwilligung gerechtfertigt ist, von der vernünftigen Erwartung der Nutzer:innen in Bezug auf die Nutzung ihrer Daten abhängt.
Das Urteil des EuGH setzt somit klare Grenzen für die Verwendung von personenbezogenen Daten für Werbezwecke. Es betont die Bedeutung der Einwilligung und des Schutzes der Privatsphäre von Nutzer:innen in sozialen Netzwerken: Unternehmen wie Meta müssen sicherstellen, dass sie die Zustimmung ihrer Nutzer:innen einholen, bevor sie deren Daten für personalisierte Werbung nutzen können, um rechtliche Konsequenzen zu vermeiden. Dies stärkt die Rechte der Nutzer:innen und unterstreicht den hohen Stellenwert des Datenschutzes in der digitalen Welt.
Einwilligung bei marktbeherrschenden Unternehmen überhaupt möglich?
Der EuGH betonte überdies, dass Nutzer:innen eines sozialen Online-Netzwerks wie Meta nicht automatisch davon ausgehen müssen, dass ihre Daten ohne ihre Einwilligung für personalisierte Werbung genutzt werden. Eine solche datenschutzrechtliche Einwilligung wird jedoch nicht grundsätzlich ausgeschlossen, wenn der Betreiber des Netzwerks eine beherrschende Stellung auf dem Markt innehat. Es sei jedoch wichtig zu berücksichtigen, dass eine solche Stellung die Wahlfreiheit der Nutzer:in beeinträchtigen und ein Ungleichgewicht zwischen Nutzer:in und Verantwortlichem schaffen kann, was bei der Beurteilung der Freiwilligkeit der Einwilligung relevant ist.
Abschließende Betrachtung
Das EuGH-Urteil hat zunächst die Position des Bundeskartellamts gestärkt, indem es ihm erlaubt, die DSGVO zu prüfen, um einen Missbrauch der marktbeherrschenden Stellung durch Unternehmen wie dem Meta-Konzern festzustellen. Dennoch soll die Wettbewerbsbehörde nicht die Aufsichtsbehörde ersetzen und Verstöße gegen die DSGVO nur in diesem Kontext untersuchen. Eine Zusammenarbeit mit der Aufsichtsbehörde ist erforderlich, und die Wettbewerbsbehörde darf nicht von deren Entscheidungen abweichen, wenn das Verhalten bereits Gegenstand einer Entscheidung war.
Das Urteil enthält außerdem Leitlinien, die für alle Unternehmen relevant sind und möglicherweise die datenschutzrechtlichen Spielräume für große datenverarbeitende Unternehmen wie Google einschränken. Es klärt beispielsweise, dass Direktmarketing und Produktverbesserung legitime Gründe für die Datenverarbeitung darstellen können, aber die Voraussetzungen der einschlägigen Normen ernsthaft erfüllt werden müssen. Eine „Sperrwirkung der DSGVO gegenüber dem Wettbewerbsrecht“ wurde klar abgelehnt.
Dennoch hat das Urteil des EuGH noch keine abschließende Beurteilung bezüglich der Rechtmäßigkeit der Verfügung des Bundeskartellamtes zur Folge gehabt. Die endgültige Entscheidung liegt jetzt erneut beim OLG Düsseldorf.
Generell bleibt es spannend zu sehen, wie sich die umstrittene Praxis der Datenverarbeitung im Online-Bereich entwickeln wird. Dies wird sowohl auf Grundlage des EuGH-Urteils als auch der bevorstehenden Entscheidung des OLG Düsseldorf geschehen.
