Die Bedeutung des „Facebook“-Beschlusses des Bundeskartellamts für den Datenschutz und andere Unternehmen
Von Dr. Sebastian Jungermann
Mit Beschluss vom 07.02.2019 hat das Bundeskartellamt Facebook die Verwendung von Konditionen untersagt, die die Nutzung von Facebook durch in Deutschland ansässige private Nutzer davon abhängig machen, dass nutzer- und gerätebezogene Daten von Facebook, die bei der Nutzung der konzerneigenen Dienste erhoben werden, ohne Einwilligung der Nutzer mit den für Facebook geführten Nutzerkonten verknüpft und verwendet werden können. Dasselbe gilt für solche Konditionen, die ermöglichen, dass Facebook Daten, die bei dem Besuch von Internetseiten oder Apps Dritter über „Facebook Business Tools“ erfasst werden, ohne Einwilligung der Nutzer mit den unter den Facebook-Konten gespeicherten Daten verknüpfen und verwenden kann. Dem Amt zufolge liegt eine datenschutzrechtlich wirksame Einwilligung nur dann vor, wenn die Bereitstellung des Facebook-Dienstes nicht von der Erteilung der Einwilligung abhängig gemacht wird. Der Umgang mit den auf der Plattform Facebook.com selbst gesammelten und verknüpften Daten war nicht Gegenstand des Verfahrens, wohl aber der Umgang mit Daten Dritter, auch der eigenen Facebook-Konzerngesellschaften.
Das Amt hat Facebook folgende Beschränkungen auferlegt:
In Zukunft dürfen die ebenfalls zur Facebook-Gruppe gehörenden Plattformen wie WhatsApp, Instagram, Oculus und Masquerade zwar weiterhin personenbezogene Daten sammeln. Eine Zuordnung dieser Daten zum Facebook-Nutzerkonto ist aber nur noch mit freiwilliger Einwilligung des Nutzers möglich. Wird eine Einwilligung nicht erteilt, müssen diese Daten bei den anderen Diensten verbleiben und dürfen nicht mit Facebook-Daten verbunden und verarbeitet werden (interne Entflechtung).
Die Erhebung und Sammlung von personenbezogenen Daten von Drittwebsites und deren Zuordnung zum Facebook-Nutzerkonto sind zukünftig ebenfalls nur noch dann möglich, wenn der Nutzer freiwillig in die Zuordnung zum Facebook-Nutzerkonto einwilligt.
Facebook wurde verpflichtet, binnen eines Jahres die Einwilligung der Nutzer in Bezug auf die Zusammenführung ihrer Facebook-Nutzerkonten mit den von Facebook über Drittquellen gesammelten Daten einzuholen. Gelingt dies nicht, muss Facebook den Nutzern weiterhin Zugang zu Facebook gewähren, darf die gesammelten Informationen aber nicht mehr zusammenführen, sondern muss die Daten für jeden Dienst getrennt speichern und verarbeiten. Das Bundeskartellamt spricht insoweit von einer „inneren Entflechtung“ Facebooks.
Das Konzernprivileg
Zunächst ist anzumerken, dass der Datenschutz, anders als das Kartellrecht, ein Konzernprivileg nicht kennt. Unternehmen eines Konzerns dürfen Hardcorekartelle schmieden, also Preise absprechen und Märkte aufteilen, da insoweit die wirtschaftliche Einheit maßgeblich ist und Dritte nicht involviert sind. Der Datenschutz knüpft hingegen allein an die juristische Person an, jedes konzernangehörige Unternehmen wird als eigenständige verantwortliche Stelle betrachtet, so dass sie im Verhältnis zueinander grundsätzlich als Dritte anzusehen sind (durch die DSGVO wurden gewisse Erleichterungen für die Unternehmensgruppe eingeführt).
Marktbeherrschende Stellung
Für soziale Netzwerke auf dem deutschen Markt sieht das Amt Facebook als marktbeherrschend an, da andere Dienste wie Snapchat, YouTube oder Twitter, aber auch berufliche Netzwerke wie LinkedIn und Xing, jeweils nur einen Ausschnitt der Leistungen eines sozialen Netzwerks wie Facebook anböten und deshalb nicht in den relevanten Markt einzubeziehen seien. Der Markterfolg eines sozialen Netzwerks korreliere mit einer hohen Nutzungsintensität. Der Marktanteil von Facebook in Deutschland liege mit Blick auf die täglich aktiven Nutzer bei über 95% und mit Bezug auf die monatlich aktiven Nutzer bei über 80%. Selbst unter Einbeziehung anderer Dienste wie Instagram, WhatsApp, Snapchat, YouTube und Twitter läge der Marktanteil von Facebook wohl noch über 40%, so dass selbst dann noch die Annahme von Marktmacht naheläge. Zusätzlich zum Marktanteil berücksichtigt das Amt auch noch die Wirkung direkter Netzwerk- und Lock-in-Effekte, die Gefahr des Marktkippens (Tippings), das Bestehen von Marktzutrittsschranken durch indirekte Netzwerkeffekte, den Zugang zu wettbewerbsrelevanten Daten und den innovationsgetriebenen Wettbewerbsdruck (§ 18 Abs. 3a GWB). Insgesamt geht das Amt von einer Monopolisierungstendenz zugunsten Facebooks aus, was aufgrund der Breitenwirkung von Facebook und mangels tatsächlicher Alternativen plausibel erscheint.
Hintergrund
Dem Facebook-Verfahren war der Versuch mehrerer Datenschutzbehörden und Verbraucherrechtsgruppen vorausgegangen, zivil- und datenschutzrechtlich gegen die Bedingungen von Facebook vorzugehen. Trotz obsiegender Urteile des LG und des KG Berlin im Jahr 2014 blieb dies ohne großen Erfolg, Facebook ignorierte die Urteile mehr oder weniger. Die damals eher zahnlosen Werkzeuge des Datenschutzrechts im Zusammenspiel mit dem allgemeinen Zivilrecht konnten Facebook nicht motivieren, seine Bedingungen entsprechend anzupassen. Aufgrund hitziger Diskussionen entstand zunehmend politischer Druck auf das Kartellamt, seine wettbewerbsrechtlichen Befugnisse energisch gegen Facebook einzusetzen. Dies führte im März 2016 zur Eröffnung und Durchführung des „Facebook“-Verfahrens.
Gestützt auf die BGH-Entscheidungen „VBL-Gegenwert I“ von 2013 (KZR 61/11), „VBL-Gegenwert II“ von 2017 (KZR 47/14) und die „Pechstein“-Entscheidung von 2016 (KZR 6/15), hat das Bundeskartellamt das beanstandete Verhalten gemäß § 19 Abs. 1 GWB untersagt. Das Amt hält Facebooks Datenverarbeitungsregelungen und deren tatsächliche Durchführung für missbräuchlich nach § 19 Abs. 1 GWB, da sie „als Ausfluss von Marktmacht gegen die Wertungen der DSGVO verstoßen“. Darüber hinaus hat das Amt offenbar auch eng mit Datenschutzbehörden zusammengearbeitet.
Stellungnahme
Völlig richtig ist, dass der Missbrauch einer marktbeherrschenden Stellung verboten ist. Auffallend ist hier aber zum einen, dass die Generalklausel des § 19 Abs. 1 GWB herangezogen wurde, nicht der naheliegende Spezialfall des Ausbeutungsmissbrauchs nach § 19 Abs. 2 Satz 2 GWB. Immerhin wurde der Verstoß mit der Ausbeutung der Daten und einer Zwangssituation der Facebook-Nutzer begründet. Allerdings hat auch der BGH auf die Generalklausel abgestellt. Zum anderen verlangt der Spezialtatbestand, dass Bedingungen gefordert werden, „die von denjenigen abweichen, die sich bei wirksamem Wettbewerb mit hoher Wahrscheinlichkeit ergeben würden“. Da auch viele andere und auch nicht marktbeherrschende Unternehmen gegen Datenschutzrecht verstoßen, wollte man diese Frage womöglich nicht weiter vertiefen.
Ferner fragt sich, weshalb die Zusammenarbeit mit den Datenschutzbehörden nicht dergestalt war, dass ein förmlicher Beschluss einer Datenschutzbehörde Grundlage der weitgehenden datenschutzrechtlichen Würdigung war, sondern allein die inzidente Prüfung des Kartellamts. Insbesondere sollte man meinen, dass mit Inkrafttreten der DSGVO und des neuen BDSG seit Mai 2018 die neuen Befugnisse und Sanktionsmöglichkeiten der Datenschutzbehörden eine sachnähere Beurteilung und ein sachnäheres Verfahren zugelassen hätten. Allerdings bestünde womöglich die Gefahr, dass die irische Datenschutzbehörde für Facebook zuständig sein könnte, womit die Feststellung eines Datenschutzverstoßes in weite Ferne rücken könnte. Obwohl die Nutzer Einwilligungen erteilt haben, stellt sich die Frage, warum diese nicht freiwillig erfolgen konnten. Die Frage ist, ob sich ein Verbraucher ohne Facebook-Account tatsächlich in solch großer Not befindet, dass die Freiwilligkeit der aktuellen datenschutzrechtlichen Einwilligung völlig ausgeschlossen ist. Nur wenn ein Facebook-Account für Verbraucher eine tatsächlich dringend notwendige Einrichtung ist (Essential Facility), könnte die Änderung eines Geschäftsmodells erzwungen werden.
Fazit
Das „Facebook“-Verfahren hat nicht nur eine besondere Vorgeschichte und ein politisches „Geschmäckle“, es ist auch schwer vermittelbar. Was das Verfahren für den Datenschutz bedeutet, ist unklar. Es stellt sich die Frage, ob das Kartellamt nun künftig bei jeder Verletzung des Datenschutzrechts oder anderen verbraucherschutzrechtlichen Normen durch ein marktbeherrschendes Unternehmen eingreifen darf. Dem BGH ist in den zitierten Entscheidungen zu entnehmen, dass ein Verstoß gegen außerkartellrechtliche Normen nur dann kartellrechtlich relevant sein kann, wenn er „Ausfluss von Marktmacht“ ist. Mit Blick auf die 2017 neu eingeführte Möglichkeit der Sektoruntersuchung im Verbraucherschutz nach § 32e Abs. 5 GWB stellt sich die Frage, ob und wie das Kartellamt im Anschluss an eine Sektoruntersuchung eingreifen darf, wenn Marktmacht hinzukommt. Andernfalls darf das Amt in verbraucherschutzrechtlichen Sachverhalten aus guten Gründen gerade nicht eingreifend tätig werden, sondern nur untersuchen, auch im Datenschutz.
Weitere Verfahren mit ähnlichen „internen Entflechtungen“ sind aufgrund der inzwischen erweiterten Sanktionsmöglichkeiten der Datenschutzbehörden eher nicht zu befürchten. Fest steht aber auch, dass außerkartellrechtliche Rechtsverstöße durch marktbeherrschende Unternehmen sowohl nach § 19 GWB als auch nach Art. 102 AEUV aufgegriffen werden können. Für die schwierige Frage, wann ein außerkartellrechtlicher Verstoß durch marktbeherrschende Unternehmen auch kartellrechtlich relevant ist, besteht Hoffnung, dass im weiteren Verfahrensverlauf durch die Instanzen weitere erhellende Klarstellungen und Auslegungshilfen erarbeitet werden.
sebastian.jungermann@arnoldporter.com
