Bundeskartellamt: Datenverarbeitung durch Facebook verstösst gegen Kartellrecht

Umstrittene Zusammenführung konzerninterner und -externer Daten

Nachdem das BKartA seine Auffassung bereits vor gut einem Jahr angedeutet hat (vgl. MLL-News vom 7. Januar 2018), ist es nun Tatsache: Nach Auffassung der obersten Wettbewerbshüter Deutschlands hat Facebook seine marktbeherrschende Stellung zur Erlangung von unangemessenen Geschäftsbedingungen missbraucht. Konkret ging es dabei um die langjährige Praxis von Facebook, Daten über die Nutzer des sozialen Netzwerks facebook.com auch auf weiteren konzerninternen sowie –externen Plattformen, Apps oder Webseiten zu sammeln und diese Daten dem Facebook Nutzerkonto zuzuordnen. Die Datenerfassung während der Nutzung von Webseiten und Apps Dritter wird dadurch ermöglicht, dass diese Anbieter Schnittstellen (application programming interface, kurz: API) wie den „Like-Button“, „Facebook-Logins“ oder den Analysedienst „Facebook Analytics“ in ihr Angebot integrieren (vgl. MLL-News vom 7. Januar 2018). Teilweise werden über diese API bereits im Zeitpunkt des Zugriffs auf das Drittangebot Daten (insb. sog. Log-Dateien, inkl. IP-Adresse) an Facebook übermittelt.

In der Facebook-Datenrichtlinie werden die Nutzer über diese Vorgänge (mittlerweile) zwar in groben Zügen informiert. Datenschutzrechtlich umstritten – und nach Auffassung des BKartA ein Missbrauch seiner marktbeherrschenden Stellung – ist jedoch die Bedingung, dass Nutzer bei der Eröffnung eines Accounts ihre Zustimmung zu dieser Form der Datenverarbeitung erteilen müssen, um das soziale Netzwerk überhaupt nutzen zu können.

Zuständigkeit der Kartellbehörde bei Datenschutzverstössen?

Mit dem Entscheid betritt das BKartA Neuland und adressiert erstmals die Datenverarbeitung eines marktbeherrschenden Unternehmens unter dem Aspekt des kartellrechtlichen Konditionenmissbrauchs. In Bezug auf die Kompetenz des BKartA, seinem Entscheid datenschutzrechtliche Wertungen zugrunde zu legen, führt die Behörde aus, dass der Zugang zu und der Umgang mit personenbezogenen Daten gerade in der Internetökonomie ein wesentlicher Faktor für die Stellung eines Unternehmens im Wettbewerb sei und insofern nicht nur Datenschutzbehörden, sondern auch Kartellbehörden auf den Plan gerufen werden.

Zudem würden auch die Bestimmungen in der DSGVO in Bezug auf die federführende Datenschutzbehörde die Anwendung der speziellen wettbewerblichen Missbrauchsaufsicht nicht ausschliessen. Eine konsistente Auslegung des Datenschutzrechts werde nicht gefährdet, wenn auch andere Behörden auf das materielle Datenschutzrecht zurückgreifen. Es sei auch nicht ersichtlich, dass eine Behörde an der Berücksichtigung und Auslegung des Datenschutzrechts über die Missbrauchsaufsicht gehindert werden soll, zumal das Datenschutzrecht auch durch Verbraucherverbände auf dem Zivilrechtsweg oder Wettbewerber über vermittelnde Normen aus dem UWG, AGB-Recht oder dem vorliegend angewendeten Gesetz gegen Wettbewerbsbeschränkungen durchgesetzt werden könne (siehe S. 10 f. des Fallberichts).

Enge Abgrenzung des relevanten Marktes

Um die marktbeherrschende Stellung von Facebook festzustellen, grenzte das BKartA zunächst den relevanten Markt ab, auf dem Facebook tätig ist. Nach Auffassung des BKartA sind Berufsnetzwerke wie Linkedin und Xing in sachlicher Hinsicht nicht miteinzubeziehen. Gleiches gilt für Messaging-Dienste wie WhatsApp und Snapchat oder andere soziale Medien wie Youtube oder Twitter.

Vielmehr umfasse der relevante Markt lediglich soziale Netzwerke „zu privaten Zwecken“, sodass neben einigen kleineren deutschen Anbietern namentlich Google+ zum selben Markt gezählt wurden. Andere soziale Netzwerke – sofern sie nicht wie WhatsApp und Instagram ohnehin zu Facebook gehören – seinen aufgrund des unterschiedlichen Leistungsspektrums und der mit der Nutzung verfolgten Intentionen nicht mit Facebook vergleichbar. In räumlicher Hinsicht sei der Markt ferner national abzugrenzen, da soziale Netzwerke von deutschen Nutzern überwiegend zur Vernetzung mit Freunden und Bekannten im Inland genutzt würden (vgl. MLL-News vom 7. Januar 2018).

Ausgehend von dieser Marktabgrenzung habe Facebook aufgrund seiner hohen Nutzerzahlen und den besonders im Falle von sozialen Netzwerken stark ausgeprägten Netzwerk- und Lock-in-Effekten einen Nutzeranteil von über 95% bei den täglich aktiven Nutzern und über 80% Marktanteil bei den monatlich aktiven Nutzern unter den sozialen Netzwerken. Ein eigentlicher Substitutionswettbewerb würde nicht in angemessenem Umfang stattfinden, was unter anderem auch an der für den April 2019 vorgesehenen Einstellung des Dienstes Google+ ersichtlich sei. Im Übrigen käme Facebook laut BKartA auch dann auf einen Marktanteil weit jenseits der gesetzlichen Marktbeherrschungsvermutung, wenn die Dienste YouTube, Snapchat, Twitter sowie WhatsApp und Instagram in den relevanten Markt miteinbezogen würden.

Zur Bestimmung der marktbeherrschenden Stellung von Facebook hat das BKartA auch die am 9. Juni 2017 in Kraft getretenen Marktbeherrschungskriterien für digitale Märkte herangezogen (vgl. § 18 Abs. 3a GWB). Demnach sind bei Netzwerken für die Bewertung der Marktstellung auch Grössenvorteile im Zusammenhang mit direkten und indirekten Netzwerkeffekten, die Möglichkeit der parallelen Nutzung mehrerer Dienste (sog. Multihoming), der Wechselaufwand für die Nutzer sowie der Zugang zu wettbewerbsrelevanten Daten zu berücksichtigen.

Diese Kriterien wirkten sich vorliegend zusätzlich marktanteilsverstärkend aus. So führen die stark ausgeprägten direkten und indirekten Netzwerkeffekte zu einem Bindungseffekt („Lock-in-Effekt“), der einen Wechsel des sozialen Netzwerks für die Nutzer bzw. werbenden Unternehmen erschwert bzw. verhindert. Verstärkt werde dies durch die fehlende Interkompatibilität zwischen Facebook und anderen sozialen Netzwerken.

Verstoss gegen Datenschutzrecht als Marktmachtmissbrauch

Ausgehend von der Feststellung der marktbeherrschenden Stellung hatte das BKartA in einem nächsten Schritt zu klären, ob Facebook diese Marktstellung missbraucht hat. Zur Feststellung des Missbrauchs zog das BKartA den sog. Konditionenmissbrauch, ein Unterfall des Ausbeutungsmissbrauchs (vgl. § 19 Abs. 2 Ziff. 2 GWB sowie Art. 7 Abs. 2 lit. c KG), und die dazugehörige Rechtsprechung des Bundesgerichtshofs (BGH) in Sachen „VBL Gegenwert II“ und „Pechstein“ heran. Demnach könne die kartellrechtliche Unangemessenheit von Konditionen auch anhand von Wertungen des Zivilrechts oder anhand einer grundrechtlichen Interessenabwägung überprüft werden. So könne ein Konditionenmissbrauch bspw. angenommen werden, wenn als Ausfluss von Marktmacht unzulässige Allgemeine Geschäftsbedingungen verwendet werden.

Nach Auffassung des BKartA gelten diese Überlegungen des BGH für alle gesetzlichen Wertungen, soweit sie die Angemessenheit von Konditionen in einer ungleichgewichtigen Verhandlungssituation betreffen. Dies gelte auch für das Datenschutzrecht, das dem Machtungleichgewicht zwischen Organisationen und Einzelpersonen entgegenwirken und dem Schutz des Grundrechts auf informationelle Selbstbestimmung dienen soll. Somit sei es unerlässlich, eine kartellrechtliche Überprüfung des Verhaltens marktbeherrschender Unternehmen hinsichtlich der Datenverarbeitung durchführen zu können. Gerade bei Internetgeschäftsmodellen stellt die Datenverarbeitung ein wettbewerblich hochrelevantes unternehmerisches Verhalten dar.

Der konkrete Missbrauch der marktbeherrschenden Stellung Facebooks sah das BKartA primär im Umfang der Daten, die Facebook über seine Nutzer sammelt. Die umfangreiche von Facebook ausbedungene Verarbeitung personenbezogener Daten aus anderen konzerneigenen Diensten und aus Facebook Business Tools, mit der u.a. ein Profiling und auch ein sog. Device Fingerprinting möglich sei, verstosse gegen europäische Datenschutzwertungen nach der DSGVO und sei nach datenschutzrechtlichen Massgaben nicht ohne wirksame Einwilligung der betroffenen Nutzer gerechtfertigt. In Bezug auf Verarbeitung von Daten aus Drittquellen scheide eine wirksame Einwilligung aber bereits deshalb aus, weil die Nutzer von Facebook vor die Wahl gestellt werden, entweder in diese Datenverarbeitung einzuwilligen oder das soziale Netzwerk gar nicht nutzen zu können (siehe dazu unten). Ferner sei die Datenverarbeitung weder für die Vertragserfüllung erforderlich (Art. 6 Abs.1b) DSGVO), noch bestehe an ihr ein gegenüber den Nutzern überwiegendes Interesse des Unternehmens nach Art. 6 Abs. 1 lit. f DSGVO.

Im Ergebnis hole Facebook von den Nutzern des sozialen Netzwerks keine wirksame Einwilligung für die Erhebung von Daten aus anderen konzerneigenen sowie drittbezogenen Diensten ein.

Die festgestellten Verstösse gegen das Datenschutzrecht seien Ausfluss aus der Marktmacht Facebooks. In Bezug auf die Frage der Kausalität reiche es aus, dass die Einschränkung der Selbstbestimmung der privaten Nutzer entscheidend mit der marktbeherrschenden Stellung von Facebook verbunden sei und sich Facebook durch die unangemessene Datenverarbeitung aus einer Vielzahl weiterer Quellen mit Zuordnung zu Facebook-Konten auf rechtswidrige Weise einen Wettbewerbsvorsprung gegenüber seinen Wettbewerbern verschafft habe. Nicht verlangt werde eine sog. Verhaltenskausalität in dem Sinne, dass der Verstoss gegen das Datenschutzrecht überhaupt erst durch die Marktbeherrschung möglich ist und anderen Marktteilnehmern verwehrt bleibt.

Zusammengefasst gelangt das Bundeskartellamt zum Schluss, dass die Konditionen in Bezug auf die Einwilligung in die Verarbeitung von Daten aus Drittquellen und deren Kopplung an die Nutzung des Dienstes missbräuchlich im Sinne des deutschen Wettbewerbsrechts sind, da sie als Ausfluss von Marktmacht gegen die Wertungen der DSGVO verstossen.

Pflicht zur „inneren Entflechtung“ der Datenverarbeitungsprozesse

Mit dem Entscheid wurde Facebook untersagt, künftig ohne wirksame Einwilligung der Nutzer nutzer-und gerätebezogene Daten aus den anderen konzerneigenen Diensten und den Facebook Business Tools sowie deren Zusammenführung mit Facebook-Daten zu erfassen. Andreas Mundt, Präsident des BKartA, spricht bei dieser Anordnung von einer „inneren Entflechtung“ hinsichtlich der Datenverarbeitung bei Facebook.

Die Folgen:

• Bleibt eine wirksame Zustimmung des Nutzers aus, muss Facebook den Nutzern künftig weiterhin den Zugang zu seinen Diensten gewähren, darf die in den verschiedenen Diensten gesammelten Informationen jedoch nicht mehr zusammenführen.
• Weiterhin zulässig ist die isolierte Sammlung und Verarbeitung von Daten durch Facebook und seinen Diensten – auch die Kopplung der Nutzung der Dienste an die Einwilligung in die Verarbeitung.

Facebook wurde eine zwölfmonatige Umsetzungsfrist auferlegt, um die Nutzungsbedingungen und ihre Durchführung anzupassen und die Daten- sowie Cookie-Richtlinie entsprechend klarzustellen. Hierzu wurde Facebook eine viermonatige Frist zur Vorlage entsprechender Lösungsmöglichkeiten gesetzt. Facebook hat zwischenzeitlich bereits Beschwerde, einschliesslich eines Antrags auf Anordnung der aufschiebenden Wirkung einlegt.

Fazit und Anmerkungen

Es bleibt mit grosser Spannung abzuwarten, ob die Auffassungen des BKartA auch vor dem OLG Düsseldorf Bestand haben werden. Es ist umstritten, ob und in welchem Ausmass die ausserkartellrechtlichen Normen im Rahmen der Missbrauchsaufsicht wertungsmässig einbezogen werden können. Während der Entscheid in den Medien mehrheitlich positiv aufgenommen wurde, sind im Chor der Wettbewerbsrechtler durchaus kritische Stimmen zu hören, da der Schutz personenbezogener Daten der Konsumenten keine originäre Zielsetzung des Kartellrechts darstellt. Des Weiteren sieht sich das BKartA dem Vorwurf ausgesetzt, die primäre Zuständigkeit der Datenschutzbehörden zur Durchsetzung des Datenschutzrechts und dessen korrekten Auslegung zu unterlaufen.

Das BKartA begegnet diesem Vorwurf im Entscheid gleich selbst und legitimiert seine Zuständigkeit damit, dass dem Amt in Bezug auf Datenverarbeitungskonditionen von marktbeherrschenden Unternehmen eine originäre Aufgabe zukomme, „die von Datenschutzbeauftragten nicht erfüllt werden kann“ (siehe S. 2 der Hintergrundinformationen zum Verfahren des BKartA). Das BKartA scheint der Auffassung zu sein, dass rein datenschutzrechtliche Interventionen wegen datenschutzwidrigem Verhalten marktbeherrschender Unternehmen unzulänglich sind („Reaktionen auf datenschutzwidriges Verhalten [dürfen] nicht allein auf den Vollzug des Datenschutzrechts beschränkt sein[…]“). Kartellbehördliche Entflechtungsmassnahmen wie die vorliegende würden ausserdem systematischen Umgehungen des Datenschutzes begegnen (siehe S. 11 des Fallberichts).

Diese Argumentation ist nachzuvollziehen. Es irritiert jedoch, dass das BKartA zunächst klarstellt, dass die Zuständigkeits-und Kohärenzregelungen der DSGVO eine Prüfung eines DSGVO-Verstosses durch eine Kartellbehörde zulassen, letztlich aber – zumindest im 14-seitigen Fallbericht – keine vertiefte datenschutzrechtliche Prüfung der zentralen Fragen erfolgt. So begnügt sich das BKartA in Bezug auf die in Frage stehenden Widerhandlungen gegen das Datenschutzrecht primär mit allgemein gehaltenen Aussagen wie der „Überschreitung datenschutzrechtlicher Grenzen“ oder dem „Verstoss gegen europäische Datenschutzwertungen“ und belässt es im Einzelnen bei einer eher kursorischen Prüfung einzelner Erlaubnistatbestände nach Art. 6 DSGVO. Dies ist rechtsstaatlich problematisch und dient sicher auch nicht der Entwicklung von Rechtssicherheit in Bezug auf die Auslegung und Anwendung der DSGVO.

Diesbezüglich fällt gerade die zentrale Frage der Zulässigkeit der Kopplung der Nutzung eines Dienstes an die Einwilligung in die Datenverarbeitung denkbar knapp aus. Das BKartA führt lediglich aus, dass aufgrund der Marktbeherrschung von Facebook keine freiwillige Einwilligung in die Datenverarbeitung im Sinne der DSGVO vorliegen könne (siehe S. 11 des Fallberichts) und scheint – ohne dies näher zu begründen – davon auszugehen, dass es an der Freiwilligkeit der Einwilligung bei Vorliegen einer marktbeherrschenden Stellung per se fehlt, wenn die Bereitstellung des Dienstes von der Erteilung einer solchen Einwilligung abhängig gemacht wird. Es wäre mehr als wünschenswert gewesen, dass sich das BKartA ausgiebiger mit dieser Frage auseinandergesetzt hätte, da die Zulässigkeit solcher Kopplungsvorgänge eine zentrale und nach wie vor umstrittene Frage in der Literatur und Judikatur zur DSGVO darstellt (siehe MLL-News vom 20.01.19, MLL News vom 1.9.2018, MLL News vom 9.12.2018 sowie MLL News vom 9.12.2018). Die Ausführungen des BKartA lassen insgesamt offen, ob die DSGVO in der wettbewerbsrechtlichen Missbrauchsaufsicht lediglich als Leitplanke dient oder ein konkreter, abschliessend begründeter Verstoss festgestellt werden muss.

Ebenso ausbaufähig wären die Ausführung zur datenschutzrechtlichen Beurteilung der Zusammenführung von Daten (vgl. MLL-News vom 24.10.2016) als auch zur Erhebung von Daten über die API-Schnittstellen (vgl. bspw. Leitfaden zu Social Media und Recht, S. 21).

Es bleibt zu hoffen, dass die datenschutzrechtlichen Ausführungen in der ausführlichen Begründung der Entscheidung detaillierter ausfallen werden.

Ausblick: Online-Plattformen im Visier der Wettbewerbshüter

Im Ergebnis entspricht der Entscheid der aktuellen Tendenz: Online-Plattformen gehören heute zu den weltweit dominierenden Wirtschaftsakteuren und geraten dadurch verstärkt in den Fokus der Wettbewerbsbehörden. So wurde Google mittlerweile drei Mal von der Europäischen Kommission (MLL-News vom 29. Juli 2017 und jüngst am 20. März 2019) und kürzlich auch von der französischen Datenschutzbehörde mit Rekordbussen sanktioniert (vgl. MLL-News vom 25. Februar 2019). Zudem hat das deutsche BKartA Ende 2018 die Einleitung eines Missbrauchsverfahrens gegen Amazon bekanntgegeben und vor wenigen Tagen hat Spotify gegen Apple eine Beschwerde bei der EU-Kommission wegen angeblichen Verstössen gegen das Europäische Wettbewerbsrecht eingereicht.

Auch auf politischer Ebene wurde die Brisanz der Thematik erkannt: Eine neue EU-Richtlinie soll Online-Plattformen künftig zu mehr Transparenz und Fairness zwingen (Siehe Richtlinien-Vorschlag vom 19. Februar 2019; sowie MLL-News vom 17. Juni 2018).

Obwohl vom jüngsten Entscheid des BKartA nur Verhaltensweisen im Zusammenhang mit Facebook Nutzern in Deutschland erfasst sind, dürften – beflügelt durch das Machtwort des Bundeskartellamts – andere nationale Behörden zu ähnlichen Ergebnissen kommen, zumal sich das BKartA bei seiner Entscheidfindung nach eigenen Aussagen eng mit den europäischen Datenschutzbehörden abgestimmt hat.

Weitere Informationen:

• Bundeskartellamt: Fallbericht zum Facebook-Verfahren vom 15. Februar 2019
• Bundeskartellamt: Hintergrundinformationen zum Facebook-Verfahren vom 7. Februar 2019
• MLL-News: „Jetzt handeln: EU-DSGVO-Umsetzungsfrist läuft am 25. Mai 2018 ab
• MLL-Leitfaden zu Social Media und Recht
• MLL-News: „Kartellrecht/IT: Rekordbusse gegen Google – Marktmachtmissbrauch im digitalen Zeitalter – alter Wein in neuen Schläuchen?“