Meta unterliegt vor dem EuGH – Nationale Wettbewerbsbehörde darf Verstoß gegen die DSGVO feststellen

Mit Urteil vom 4. Juli 2023 (Rs. C-252/21) hat der Europäische Gerichtshof („EuGH“) festgestellt, dass sich eine nationale Wettbewerbsbehörde auf die Datenschutzgrundverordnung („DSGVO“) bei ihrer Prüfung berufen kann. Dies sei allerdings nur zulässig, um den Missbrauch einer marktbeherrschenden Stellung zu begründen und dahingehende Maßnahmen zu erlassen. Der EuGH hat des Weiteren in dem Urteil auch Regeln dazu aufgestellt, wie die Wettbewerbsbehörde bei dieser Prüfung mit der datenschutzrechtlichen Aufsichtsbehörde zusammenzuarbeiten hat.

Darüber hinaus hat der EuGH dazu Stellung bezogen, ob bei der Datenverarbeitung durch Facebook auch besonders sensible Daten betroffen sind und ob bezüglich aller erhobenen Daten eine Rechtfertigung unter den Vorgaben der DSGVO in Frage kommt. Zuletzt hat der EuGH konkretisiert, ob und inwiefern eine wirksame Einwilligung durch Nutzer in Frage kommt bei Berücksichtigung der marktbeherrschenden Stellung von Facebook.

A. Sachverhalt

Das Urteil hat seinen Ursprung in einem Rechtsstreit zwischen dem Bundeskartellamt auf der einen Seite und der Meta Platforms Inc. (vormals Facebook Inc.), Meta Platforms Ireland Ltd („Meta“ – vormals Facebook Ireland Ltd) und Facebook Deutschland GmbH auf der anderen Seite.

Meta ist der Betreiber des sozialen Netzwerks Facebook. Ebenfalls gehören zum Meta-Konzern weitere Online-Dienste wie WhatsApp, Oculus und Instagram.

Wesentliche Grundlage des Geschäftsmodells von Facebook ist die Finanzierung durch Werbung. Dabei wird die für die jeweiligen Nutzer angezeigte Werbung nach Maßgabe seiner Interessen, seiner Lebenssituation und seines Konsumverhaltens individualisiert. Dafür werden zum einen die Daten, die ein Nutzer bei seiner Registrierung angibt und zum anderen weitere nutzer- und gerätebezogene Daten inner- und außerhalb von Facebook und der weiteren vom Meta-Konzerns bereitgestellten Online-Dienste erhoben und mit dem jeweiligen Nutzerprofil verknüpft.

Facebook stützt sich bei dieser Datenverarbeitung auf den bei der Registrierung zwischen dem Nutzer und Facebook geschlossenen Nutzungsvertrag, wobei vom Nutzer den allgemeinen Nutzungsbedingungen und damit auch der Richtlinie für die Verwendung von Daten und Cookies für eine Registrierung zugestimmt werden muss. Nach diesen erfasst Meta nutzer- und gerätebezogene Daten über die Aktivität des Nutzers innerhalb und außerhalb von Facebook und ordnet sie dem jeweiligen Nutzerprofil zu. Daten über Aktivitäten außerhalb von Facebook selbst, sog. Off-Facebook-Daten, sind einerseits Daten über den Aufruf dritter Websites, wie auch andererseits Daten über die Nutzung der anderen Dienste des Meta-Konzerns.

Das Bundeskartellamt untersagte dem Unternehmen, die Nutzung von Facebook durch in Deutschland lebende Nutzer von der Verarbeitung der Off-Facebook-Daten abhängig zu machen und diese ohne Einwilligung zu verarbeiten. Es verpflichtete die Unternehmen darüber hinaus auch, die Nutzungsbedingungen so anzupassen, dass eindeutig sei, dass die fraglichen Daten nicht ohne Einwilligung des Nutzers erfasst und mit seinem Nutzerkonto verknüpft werden. Zur Begründung führte das Bundeskartellamt dabei aus, dass die bisherige Verarbeitungspraxis eine missbräuchliche Ausnutzung einer beherrschenden Stellung des Unternehmens auf dem Markt für soziale Netzwerke für private Nutzer i.S.d. § 19 Abs. 1 GWB darstelle. Dabei seien auch die allgemeinen Nutzungsbedingungen als Ausfluss der beherrschenden Stellung missbräuchlich, weil die Verwendung der Off-Facebook-Daten nicht mit der DSGVO in Einklang stehe und auch nicht nach Art. 6 Abs. 1 und Art. 9 Abs. 2 der DSGVO gerechtfertigt sei.

Gegen diesen Beschluss legten die Adressaten Beschwerde beim Oberlandesgericht Düsseldorf ein. Das Oberlandesgericht Düsseldorf legte daraufhin die Sache im Wege des Vorabentscheidungsverfahrens dem EuGH vor.

B. Entscheidung des EuGH

Der EuGH hat wie folgt Stellung bezogen:

I. Entscheidungsbefugnis der Wettbewerbsbehörde

Der EuGH hielt fest, dass sowohl die Art. 51 ff. DSGVO wie auch Art. 4 Abs. 3 EUV so zu verstehen sind, dass die Wettbewerbsbehörde eines Mitgliedsstaates bei der Prüfung des Missbrauchs einer marktbeherrschenden Stellung den Umstand in die Bewertung einfließen lassen kann, dass Nutzungsbedingungen eines Unternehmens, die sich auf die Verarbeitung personenbezogener Daten beziehen, gegen die DSGVO verstoßen. Das gelte aber nur, soweit dies erforderlich sei, um den Missbrauch einer marktbeherrschenden Stellung zu belegen. 

II. Zuständigkeit der Datenschutzaufsicht bleibt

Für den Fall, dass die Wettbewerbsbehörde dahingehende Feststellungen trifft, trete sie nach Auffassung des EuGH aber nicht an die Stelle der nach der DSGVO zuständigen Aufsichtsbehörden. Die Prüfung der Konformität mit den Vorgaben der DSGVO erfolge nämlich einzig zu dem Zweck, den Missbrauch einer beherrschenden Stellung festzustellen und wettbewerbsrechtliche Maßnahmen zur Beseitigung dieses Zustandes zu ergreifen.

Grundsätzlich obliege nach Art. 55 Abs. 1 DSGVO der zuständigen Aufsichtsbehörde die Erfüllung der mit der DSGVO übertragenen Aufgaben im Gebiet des jeweiligen Mitgliedsstaates.

Daher müsse die Wettbewerbsbehörde sich mit der zuständigen Aufsichtsbehörde eng abstimmen.

III. Verarbeitung besonderer personenbezogener Daten

Des Weiteren wollte das OLG Düsseldorf wissen, ob Art. 9 Abs. 1 DSGVO dahingehend auszulegen sei, dass eine Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne der Vorschrift vorliege, was nach Art. 9 Abs. 2 DSGVO grundsätzlich untersagt sei, wenn ein Nutzer Websites oder Apps, die einen Bezug zu den in Art. 9 Abs. 1 DSGVO genannten Kategorien aufweisen, aufruft und dort gegebenenfalls Daten eingibt und Facebook diese in der Art verarbeitet, dass die aus dem Aufruf stammenden Daten erhoben werden und mit dem jeweiligen Nutzerkonto verknüpft werden. Besondere Kategorien personenbezogener Daten in diesem Sinne sind u. a. solche, welche die rassische oder ethnische Herkunft, politische Meinung, religiöse Überzeugung oder sexuelle Orientierung offenbaren können.

Falls dies der Fall sei, wollte das vorlegende Gericht wissen, ob dann Art. 9 Abs. 2 lit. e) DSGVO so zu verstehen sei, dass ein Nutzer, der solche dritten Websites oder Apps aufruft, Daten auf diesen Websites oder Apps eingibt oder sich dort unter Verwendung seiner Facebook-Anmeldedaten identifiziert, diese Daten offensichtlich öffentlich gemacht hat im Sinne von Art. 9 Abs. 2 lit. e) DSGVO.

Dazu hat der EuGH ausgeführt, dass eine Verarbeitung besonderer Kategorien personenbezogener Daten vorliegt, wenn Facebook in der genannten Art Daten erhebt, die eine der besonderen Kategorien aus Art. 9 Abs. 1 DSGVO betreffen. Dies sei vorbehaltlich der in Art. 9 Abs. 2 DSGVO vorgesehenen Ausnahmen grundsätzlich unzulässig ist. Nunmehr habe das nationale Gericht daher zu prüfen, ob die erhobenen Daten tatsächlich die Offenlegung solcher Informationen ermöglichen. 

Mit Blick auf die Frage, ob diese Verarbeitung von sensiblen Daten ausnahmsweise nach Art. 9 Abs. 2 lit. e) DSGVO zulässig sein könnte, hat der EuGH klar gemacht, dass die bloße Tatsache, dass ein Aufruf einer Website erfolgt, die solche Informationen offenbaren können, kein offensichtliches öffentlich machen im Sinne der Norm darstellt. Das gelte gleichermaßen, wenn ein Nutzer dort Daten eingibt oder Schaltflächen betätigt, außer er habe zuvor ausdrücklich zum Ausdruck gebracht, diese Daten öffentlich zugänglich machen zu wollen. Es bedürfe insoweit aber einer in voller Kenntnis der Sachlage getroffenen individuellen Entscheidung des Nutzers. Auch insoweit habe das nationale Gericht nunmehr zu prüfen, ob die betroffenen Nutzer eine derartige Möglichkeit haben.

IV. Sonstige Rechtsgrundlagen

Das OLG Düsseldorf hat darauf aufbauend auch die Frage gestellt, ob und unter welchen Voraussetzungen bei einer Erfassung von sonstigen Off-Facebook-Daten durch Facebook, eine Rechtfertigung nach Art. 6 Abs. 1 lit. b) und f) DSGVO vorliegen könne, weil die Verarbeitung für die Erfüllung eines Vertrages oder zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich sei.

1. Vertragserfüllung

Insoweit hat der EuGH zunächst dargelegt, dass eine Verarbeitung personenbezogener Daten für die Erfüllung eines Vertrages dann erforderlich ist im Sinne von Art. 6 Abs. 1 lit. b) DSGVO, wenn sie objektiv unerlässlich ist, um einen Zweck zu verwirklichen, der notwendiger Bestandteil der für die betroffene Person bestimmten Vertragsleistung ist. Der Hauptgegenstand des Vertrages dürfe dafür ohne die betreffende Verarbeitung nicht erfüllt werden können. Dass die Verarbeitung im Vertrag erwähnt werde oder für die Erfüllung von Nutzen sei, sei dabei an sich unerheblich. Entscheidend sei dabei vielmehr, dass die Verarbeitung der personenbezogenen Daten für die ordnungsgemäße Vertragserfüllung wesentlich ist und keine praktikablen Alternativen bestehen. Was die Personalisierung der Inhalte betreffe, so sei dies nach der Argumentation des EuGH für den Nutzer zwar hilfreich, da sie die Anzeige von Inhalten ermögliche, die seinen Interessen entspricht. Diese Personalisierung sei aber nicht erforderlich, um einem Nutzer die grundlegenden Dienste eines sozialen Netzwerks anzubieten. Solche Dienste könnten in ihrem wesentlichen Funktionsumfang auch erbracht werden, ohne dass eine Personalisierung vorliegt. Insoweit sei dies also nicht objektiv unerlässlich, um einen Zweck zu verwirklichen, der notwendiger Bestandteil der Dienste ist. Darüber hinaus sei auch die durchgängige und nahtlose Nutzung des gesamten Meta-Produktportfolios kein Gesichtspunkt, der eine Rechtfertigung nach Art. 6 Abs. 1 lit. b) DSGVO trage. Es bestehe keine Verpflichtung, sich für die verschiedenen vom Meta-Konzern angebotenen Dienste anzumelden, um bei Facebook ein Nutzerkonto einrichten zu können. Die Produkte könnten vielmehr unabhängig genutzt werden. Nach Ansicht des EuGH ist, vorbehaltlich der Überprüfung durch das vorlegende Gericht, eine derartige Verarbeitung von Off-Facebook-Daten nicht erforderlich, um die Erbringung der Dienste von Facebook zu ermöglichen.

2. Berechtigte Interessen

Für die Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten im Sinne von Art. 6 Abs. 1 lit. f) DSGVO ist eine Verarbeitung nach dem EuGH dann erforderlich, wenn drei Voraussetzungen kumulativ vorliegen. So müsse zunächst ein berechtigtes Interesse bei der Datenverarbeitung wahrgenommen werden, was den Nutzern auch mitgeteilt werden müsse. Weiter müsse die Verarbeitung der Daten zur Verwirklichung dieses Interesses erforderlich sein und innerhalb der Grenzen dessen erfolgen, was zur Verwirklichung des Interesses unbedingt notwendig ist. Zuletzt müsse sich aus einer Abwägung der gegenüberstehenden Interessen unter Würdigung aller relevanten Umstände ergeben, dass die Interessen, Grundrechte und Grundfreiheiten der Nutzer gegenüber dem berechtigten Interesse des Verantwortlichen oder eines Dritten nicht überwiegen.

3. Einwilligung

Zuletzt hatte das OLG Düsseldorf noch die Frage gestellt, ob Art. 6 Abs. 1 lit. a) und Art. 9 Abs. 2 lit. a) DSGVO so zu verstehen seien, dass eine Einwilligung, die ein Nutzer von Facebook erteilt, als eine wirksame Einwilligung unter den Voraussetzungen von Art. 4 Nr. 11 DSGVO angesehen werden könne. Insbesondere sei zu fragen, ob diese Einwilligung das Kriterium der Freiwilligkeit erfüllen kann, wenn der Betreiber des sozialen Netzwerks eine beherrschende Stellung auf dem Markt einnimmt.

Nach dem EuGH schließt eine marktbeherrschende Stellung nicht grundsätzlich die Möglichkeit aus, dass eine wirksame Einwilligung erteilt wird. Dabei müsse aber berücksichtigt werden, dass dieser Umstand die Wahlfreiheit des Nutzers beeinträchtigen kann, da der Nutzer möglicherweise nicht in der Lage sei, seine Einwilligung zu verweigern, ohne Nachteile zu erleiden. Dieses Ungleichgewicht bringe auch die Gefahr mit sich, dass einseitig Bedingungen für die Nutzung durchgesetzt werden, die nicht unbedingt erforderlich sind. Der Nutzer müsse die Freiheit haben, die Einwilligung in bestimmte Datenverarbeitungen, die für die Vertragserfüllung nicht wesentlich sind, zu verweigern, ohne damit auf die Nutzung des sozialen Netzwerks gänzlich verzichten zu müssen. Das führe dazu, dass, gegebenenfalls gegen ein angemessenes Entgelt, eine gleichwertige Alternative angeboten werden müsse, die ohne solche Datenverarbeitungen auskommt. Um dem Nutzer das Ausmaß der Datenverarbeitung zu verdeutlichen sei es für eine wirksame Einwilligung im Übrigen aber jedenfalls notwendig, dass die Einwilligung einerseits für Daten aus der Nutzung des sozialen Netzwerks selbst erfolgt, wie auch andererseits für Off-Facebook-Daten.

C. Fazit

Mit der Entscheidung hat der EuGH die Position des Bundeskartellamts als der handelnden Wettbewerbsbehörde gegenüber Konzernen wie Meta gestärkt. Das Bundeskartellamt durfte sich bei der Entscheidung auf die Vorgaben der DSGVO stützen, um anhand dessen zu begründen, dass Meta seine marktbeherrschende Stellung missbraucht. Um die Kohärenz im Datenschutzrecht und die Zuständigkeit der datenschutzrechtlichen Aufsichtsbehörde nicht zu gefährden, soll die Wettbewerbsbehörde aber nicht an die Stelle der Aufsichtsbehörde treten dürfen. Die Wettbewerbsbehörde soll Verstöße gegen die DSGVO daher nur prüfen, um den Missbrauch einer beherrschenden Stellung im Markt festzustellen und dahingehende Maßnahmen zu ergreifen. Dabei soll sich die Wettbewerbsbehörde mit der Aufsichtsbehörde abstimmen und loyal mit dieser zusammenarbeiten. Sie darf nicht von einer Entscheidung der Aufsichtsbehörde abweichen, wenn dieses Verhalten, oder ein ähnliches, bereits Gegenstand einer Entscheidung durch die zuständige Behörde war. Mit Blick auf eine mögliche Rechtfertigung der fraglichen Datenverarbeitung unter den Vorgaben der DSGVO hat der EuGH zwar für den Einzelfall keine abschließenden Entscheidungen getroffen, aber Leitlinien entwickelt, die für alle Unternehmen, nicht nur die ganz großen wie Meta, von praktischer Relevanz sind.