Das Bundeskartellamt (BKartA) hat Facebook in einem mit Spannung erwarteten Entscheid einschneidende Beschränkungen hinsichtlich der Verarbeitung von Nutzerdaten auferlegt. Am 7. Februar 2019 hat das BKartA im Rahmen einer Pressemitteilung und einem Hintergrundpapier über den Entscheid berichtet (sowie am 17. Dezember 2017 über das laufende Verfahren im Rahmen eines Hintergrundpapiers). Der Entscheid ist durch die neuartige Kombination datenschutzrechtlicher und kartellrechtlicher Massstäbe für die Datenverarbeitung durch marktbeherrschende Unternehmen in digitalen Märkten bemerkenswert. Das letzte Wort ist allerdings noch nicht gesprochen. Facebook hat bereits angekündigt, den Entscheid beim Oberlandesgericht Düsseldorf anzufechten. Es bleibt abzuwarten, ob die Rechtsmittelinstanzen die extensive Anwendung datenschutzrechtlicher Argumente für die Feststellung eines Missbrauchs einer marktbeherrschenden Stellung gutheissen oder doch noch eine Kurskorrektur vornehmen werden.
Ausgangslage
Gemäss den Geschäftsbedingungen von Facebook können Nutzer das soziale Netzwerk gegenwärtig nur unter der Voraussetzung nutzen, dass Facebook auch ausserhalb der Facebook-Seite Daten über den Nutzer im Internet oder auf Smartphone-Apps sammelt und dem Facebook-Nutzerkonto zuordnet. Konkret räumt sich Facebook das Recht ein, alle auf (i) Facebook selbst, (ii) den konzerneigenen Diensten wie z.B. WhatsApp und Instagram sowie (iii) den auf Drittwebseiten gesammelten Daten mit dem Facebook-Nutzerkonto zusammenzuführen.
Anordnung des BKartA
Das BKartA hat gegenüber Facebook für Deutschland folgende Anordnungen getroffen, ohne jedoch zusätzlich direkte Sanktionen auszusprechen:
Die Entscheidung des Amtes erfasst verschiedene Datenquellen:
- Künftig dürfen die zum Facebook-Konzern gehörenden Dienste wie WhatsApp und Instagram die Daten zwar weiterhin sammeln. Eine Zuordnung der Daten zum Nutzerkonto bei Facebook ist aber nur noch mit freiwilliger Einwilligung des Nutzers möglich. Wenn die Einwilligung nicht erteilt wird, müssen die Daten bei den anderen Diensten verbleiben und dürfen nicht kombiniert mit den Facebook-Daten verarbeitet werden.
- Eine Sammlung und Zuordnung von Daten von Drittwebseiten zum Facebook-Nutzerkonto ist in der Zukunft ebenfalls nur noch dann möglich, wenn der Nutzer freiwillig in die Zuordnung zum Facebook-Nutzerkonto einwilligt.
Fehlt es bei den Daten von den konzerneigenen Diensten und Drittwebsites an der Einwilligung, kann Facebook die Daten nur noch sehr stark eingeschränkt sammeln und dem Nutzerkonto zuordnen. Entsprechende Lösungsvorschläge hierfür muss Facebook erarbeiten und dem Amt vorlegen.
Das BKartA nimmt damit nach den Worten ihres Präsidenten Andreas Mundt eine „innere Entflechtung“ der von Facebook verarbeiteten Daten vor.
Rechtliche Argumentation des BKartA
a) Marktbeherrschung auf dem Markt für soziale Netzwerke
Facebook nimmt gemäss Feststellung des BKartA in Deutschland auf dem Markt für soziale Netzwerke eine marktbeherrschende Stellung ein. Das BKartA grenzt den Markt soweit ersichtlich eng ab, indem es insbesondere Dienste wie LinkedIn und Twitter als nicht dem gleichen Markt angehörend einordnet. Auf dem relevanten Markt hat Facebook demnach einen Marktanteil von über 90%.
Das BKartA betont sodann im Rahmen seiner Prüfung des Missbrauchs einer marktbeherrschenden Stellung nach § 19 GWB die „besonderen kartellrechtlichen Pflichten“ marktbeherrschender Unternehmen, eine Formulierung die auch im Rahmen von Verfahren nach Art. 102 AEUV und nach Art. 7 KG geläufig ist, wird doch in ständiger Praxis auf die besondere Verantwortung marktbeherrschender Unternehmen hingewiesen („special responsibility“, erstmals in EuGH-Entscheid i.S. Michelin aus dem Jahr 1983).
b) Zusammenführen von Daten als Ausbeutungsmissbrauch
Das BKartA führt weiter aus, die Nutzer hätten keine andere Wahl als entweder die umfassende Datennutzung durch Facebook zu akzeptieren oder auf die Nutzung des Netzwerks zu verzichten. Das obligatorische Setzen eines Häkchens für die Zustimmung zu den Nutzungsbedingungen von Facebook sei bei dieser Ausgangslage keine ausreichende Grundlage für eine so extensive Datennutzung. Besonders problematisch ist nach Ansicht des BKartA die unbegrenzte Zusammenführung von Daten der originären Facebook-Website mit Daten aus konzerneigenen Diensten wie Instagram und WhatsApp sowie aus Drittseiten, die mit Schnittstellen (z.B. Like- oder Share-Button) versehen sind. Schon der blosse Aufruf solcher Drittseiten führt zu einem Datenfluss zu Facebook. Den meisten Nutzern sei dies gar nicht bewusst. Facebook erlaube diese umfassende Datenzusammenführung das Erstellen von sehr genauen Nutzerprofilen.
Das BKartA prüft konkret, ob ein Ausbeutungsmissbrauch nach kartellrechtlicher Lesart gemäss § 19 Abs. 2 (2) GWB vorliegt. Marktbeherrschende Unternehmen verhalten sich u.a. dann missbräuchlich, wenn sie die Marktgegenseite – hier die Verbraucher als Facebook-Nutzer – durch überhöhte Preise oder durch unangemessene vertragliche Regelungen und Konditionen ausbeuten (sog. Konditionenmissbrauch). Dies gilt nach Ansicht des BKartA in besonderem Masse
[…] wenn durch die Ausbeutung gleichzeitig auch Wettbewerber behindert werden, die keinen solchen Datenschatz anhäufen können.
c) DSGVO als Massstab für Ausbeutungstatbestand
Interessant und möglicherweise wegweisend ist, dass das BKartA in einem nächsten Schritt die Bestimmungen der DSGVO als Massstab nimmt für die Beurteilung, ob ein kartellrechtlicher Aubeutungsmissbrauch vorliegt. Das Abstützen auf Bestimmungen aus anderen Gesetzen für die Feststellung eines Missbrauchs einer marktbeherrschenden Stellung ist im Grundsatz nicht neu, aber hier erstmalig in Bezug auf die Bestimmungen des Datenschutzes und der DSGVO im Besonderen. Das BKartA betont in seiner Pressemitteilung, dass unter dem deutschen GWB auch grundrechtliche und andere gesetzliche Wertentscheidungen, unter anderem aus dem Zivilrecht, wie z.B. dem AGB-Recht, in die kartellrechtliche Missbrauchskontrolle einfliessen können:
Bei solchen Verfahren steht die Anwendung der Vorschriften der europäischen Missbrauchskontrolle [gemäss Art. 102 AEUV] immer im Raum. Auch nach der entsprechenden Eingriffsnorm des Art. 102 AEUV wäre ein solches Missbrauchsverfahren gegen Facebook grundsätzlich möglich. Allerdings hat sich bisher nur in Deutschland eine höchstrichterliche Rechtsprechung herausgebildet, bei der für die Missbräuchlichkeit des Verhaltens eines Marktbeherrschers auch grundrechtliche oder andere gesetzliche Wertentscheidungen – hier Datenschutz – berücksichtigt werden können. Aufgrund der grenzüberschreitenden Bedeutung des Verfahrens hat sich das Bundeskartellamt allerdings während des Verfahrens eng sowohl mit der Europäischen Kommission, als auch mit anderen ausländischen Wettbewerbsbehörden abgestimmt.
Das BKartA argumentiert weiter, dass Kartellrecht und Datenschutzrecht im Bereich des Konditionenmissbrauchs einen gleichgerichteten Zweck verfolgen, indem es in seinem Hintergrundpapier festhält:
Denn auch das Datenschutzrecht bezweckt den Schutz des Betroffenen vor ungerechtfertigten Datenverarbeitungen seiner personenbezogenen Daten durch die Marktgegenseite.“
Konkret prüft das BKartA, offenbar in engem Austausch mit Datenschutzbehörden (wobei soweit ersichtlich unklar bleibt, mit welchen genau), ob die Datenverarbeitungen durch Facebook nach der DSGVO gerechtfertigt sind. Damit ist eine Prüfung der Rechtmässigkeit der Datenbearbeitung nach Art. 6 DSGVO gemeint, auch wenn das BKartA auf diese Bestimmung in den publizierten Unterlagen nicht direkt Bezug nimmt. Das BKartA kommt dabei zum Schluss, dass
- die Datenverarbeitung weder für die Vertragserfüllung erforderlich sei (vgl. Art. 6 Abs. 1 lit. b DSGVO),
- noch ein überwiegendes berechtigtes Interesse Facebooks an der Datenverarbeitung bestehe (vgl. Art. 6 Abs. 1 lit. f DSGVO), und
- auch keine gültige Einwilligung in die fraglichen Datenverarbeitungen vorliege (vgl. Art. 6 Abs. 1 lit. a DSGVO), da insbesondere keine freiwillige Einwilligung gegeben sei. Eine gültige Einwilligung hätte nur dann bejaht werden können, wenn die Nutzung der originären Facebook-Website nicht von der Erteilung der Einwilligung in die umfassende Datennutzung abhängig gemacht worden wäre.
Das BKartA qualifizierte Facebooks Nutzungsbedingungen und die Art und der Umfang der Datensammlung und –verwertung als datenschutzwidrig und gleichzeitig als kartellrechtswidrigen Ausbeutungsmissbrauch. Es verlangt eine weitreichende „innere Entflechtung“ der von Facebook verarbeiteten Daten (s. oben zu den Anordnungen des BKartA). Sanktionen wurden in diesem Verfahren nicht auferlegt, da das BKartA die Untersuchung im Rahmen eines Verwaltungsverfahrens (und nicht in einem Bussgeldverfahren) durchgeführt hat. Facebook hat wie eingangs erwähnt bereits angekündigt, den Entscheid anzufechten.
Kritische Würdigung und Parallelen zum Schweizer Kartellrecht
Das Pendant zum Konditionenmissbrauch nach deutschem GWB ist im schweizerischen Kartellrecht in Art. 7 Abs. 2 lit. c KG statuiert, wonach die Erzwingung unangemessener Preise oder sonstiger unangemessener Geschäftsbedingungen durch marktbeherrschende Unternehmen als missbräuchliche Verhaltensweise qualifiziert wird. Zum Ausbeutungsmissbrauch besteht in der Schweiz erst eine sehr spärliche Praxis. Die weitaus meisten Fälle betreffen den sog. Verdrängungsmissbrauch, bei welchem es nicht um eine Ausbeutung der Marktgegenseite geht, sondern um die Frage, ob andere Marktteilnehmer missbräuchlich vom Markt verdrängt werden. Dies leuchtet ein, liegt doch der Zweck des schweizerischen Kartellrechts im Schutz des wirksamen Wettbewerbs und nicht im Konsumentenschutz oder Datenschutz. Lauterkeitsrechtliche und datenschutzrechtliche Fragen fallen deshalb grundsätzlich nicht in den Zuständigkeitsbereich der Wettbewerbsbehörden.
Eine ausufernde Prüfung von Datenschutzverstössen durch Wettbewerbsbehörden ist deshalb fragwürdig und öffnet eine Büchse der Pandora: So ist unklar, welcher Massstab angelegt werden soll für die Prüfung, ob ein Verstoss gegen Datenschutzbestimmungen als Missbrauch einer marktbeherrschenden Stellung zu qualifizieren ist. Es kann jedenfalls nicht angehen, jeden Datenschutzverstoss durch ein marktbeherrschendes Unternehmen als Kartellrechtsverstoss zu werten. Beim Ausbeutungsmissbrauch wird in der herrschenden Lehre ein Kausalzusammenhang gefordert zwischen der Erzwingung unangemessener Geschäftsbedingungen (wie hier datenschutzwidriger Nutzungsbedingungen) und der Marktbeherrschung. Ein Ausbeutungsmissbrauch liegt also nur dann vor, wenn ein Unternehmen seine marktbeherrschende Stellung ausnützt, um von seinen Abnehmern geschäftliche Vorteile zu erlangen, die es ohne Marktmacht und bei funktionierendem Wettbewerb nicht hätte durchsetzen können. Massgebend ist somit, wie sich Facebook verhalten hätte, wenn es nicht marktbeherrschend wäre. Wie würden Unternehmen in einem kompetitiven Vergleichsmarkt Nutzerdaten verarbeiten und zusammenführen? Ob sich Unternehmen in einem kompetitiven Vergleichsmarkt anders verhalten hätten, ist fraglich. Offen ist im Moment noch, wie intensiv sich das BKartA mit diesen Punkten auseinandergesetzt hat.
Auch zur konkreten Prüfung der Nutzungsbedingungen durch das BKartA ist bislang nur wenig bekannt. Das BKartA prüft offenbar die Rechtfertigungsgründe, die wir aus Art. 6 DSGVO kennen. Allerdings beurteilt sie diese wohl aus einer kartellrechtlichen Optik und nicht zwingend gleich wie dies eine Datenschutzbehörde tun würde. Interessant wäre insbesondere zu erfahren, welche Rolle die Marktmacht von Facebook für die Beurteilung der Rechtfertigung nach Art. 6 DSGVO hatte. In der datenschutzrechtlichen Literatur wird die Marktposition des Datenverarbeiters und das Machtgefälle zwischen dem für die Datenverarbeitung Verantwortlichen einerseits und dem Datensubjekt andererseits als ein relevanter Faktor eingestuft insbesondere für die Beurteilung der Freiwilligkeit einer Einwilligung im Sinne von Art. 6 Abs. 1 lit. a DSGVO (so insbes. Ingold, Art. 7 DSGVO N 27, in: Sydow [Hg. ], Europäische Datenschutzgrundverordnung, Handkommentar, Baden-Baden 2017; Schultz, Art. 7 DSGVO N 19 f. und 24, in: Gola [Hg.], DS-GVO, Kommentar, München 2017). Insofern liegt der Bewertung des Rechtsgrunds für die Datenverarbeitung nach DSGVO und dem Tatbestand des Ausbeutungsmissbrauchs nach Kartellrecht eine ähnliche Güterabwägung zu Grunde. Die DSGVO zielt ja bekanntlich grossenteils auch genau auf eine Eindämmung der uneingeschränkten und intransparenten Datennutzung durch Technologieriesen. Sie soll Bürgerinnen und Bürgern mehr Kontrolle über ihre Personendaten geben.
Das Zusammenspiel von Datenschutz und Wettbewerbsrecht im Zeitalter von Big Data und Data Mining mit den dafür typischen Machtgefällen und Informationsasymmetrien beschäftigt die europäischen Aufsichtsbehörden seit einigen Jahren. Gestützt auf einen Beschluss des Europäischen Parlaments vom März 2017 wurde insbesondere das Digital Clearinghouse ins Leben gerufen, ein freiwilliges Netzwerk von Datenschutz‑, Konsumentenschutz- und Wettbewerbsbehörden, welches sich in regelmässigen Abständen zu aktuellen Regulierungsfragen trifft. Der Entscheid des BKartA ist ein weiterer Schritt in die Richtung der Konvergenz dieser Rechtsgebiete, wenn auch nur beschränkt auf Deutschland und unter dem Vorbehalt einer allfälligen Kurskorrektur durch die Rechtsmittelinstanzen.