Datenschutz vs. Kartellrecht

Im Facebook-Verfahren legt das OLG Düsseldorf dem EuGH Fragen zur Auslegung der DSGVO vor

Das aufsehenerregende Verfahren des Bundeskartellamts gegen Facebook hat eine weitere überraschende Wendung genommen. Bereits in der Vergangenheit hat dieser Fall für einige Furore gesorgt, ist es doch das erste Mal, dass eine Kartellbehörde sich daran gewagt hat, einen Missbrauchsvorwurf auf einen materiell-rechtlichen Verstoß gegen das Datenschutzrecht zu stützen. Angesichts der Vielzahl ungeklärter Rechts- und Verfahrensfragen auf dieser terra incognita verwundert es nicht, dass das Verfahren den Instanzenzug beschäftigt. Nunmehr hat der Kartellsenat des OLG Düsseldorf die nächste Runde eingeleitet. Er hat das Hauptsacheverfahren ausgesetzt und dem Gerichtshof der Europäischen Union (EuGH) grundlegende Fragen zur Auslegung der EU Datenschutz Grundverordnung (DSGVO) vorgelegt.

Hintergrund des Verfahrens

Das Bundeskartellamt hatte am 06.02.2019 Facebook mit sofortiger Wirkung untersagt, auf der Grundlage seiner Nutzungsbedingungen nutzer- und gerätebezogene Daten der Facebook-Nutzer, die bei der Nutzung der Facebook-eigenen Dienste WhatsApp, Instagram und Oculus sowie bei dem Besuch dritter Webseiten oder der Nutzung mobiler Apps dritter Anbieter erhoben und gespeichert werden (Facebook Business Tools), mit den originären Facebook-Daten zu verknüpfen und zu verwenden. Die Erhebung und Verwendung der Daten der Facebook-Nutzer erfolge unter Verstoß gegen die DSGVO, wodurch Facebook seine marktbeherrschende Stellung als Anbieter auf dem bundesdeutschen Markt für soziale Netzwerke missbräuchlich ausnutze. Im Eilverfahren gab das OLG Düsseldorf am 26.08.2019 Facebook recht und ordnete die aufschiebende Wirkung an, sodass Facebook die Entscheidung des Kartellamts zunächst nicht umsetzen musste. Der BGH wiederum verwarf den Beschluss des OLG Düsseldorf am 23.06.2020 und wies den Eilantrag Facebooks zurück. Auch ein zweites Eilverfahren blieb erfolglos. Nun wurde am 24.03.2021 das eigentliche Hauptsacheverfahren vor dem OLG Düsseldorf um die Rechtmäßigkeit der Bundeskartellamtsentscheidung verhandelt. Der Kartellsenat hat das Verfahren im Anschluss an die mündliche Verhandlung ausgesetzt und dem EuGH eine Reihe von Fragen zur Vorabentscheidung vorgelegt.

Datenbasierte Geschäftsmodelle zwischen Datenschutz und Kartellrecht

Das Verfahren ist vor allem aus der Perspektive von Bedeutung, ob und inwiefern ein Verstoß gegen das Datenschutzrecht eine Rolle im Kartellrecht spielen kann und in wessen Zuständigkeitsbereich ein behördliches Vorgehen gegen etwaige Verstöße fiele. Relevant ist das insbesondere für datenbasierte Geschäftsmodelle, die Umsatz mittelbar aus der Erhebung, Verknüpfung und Verarbeitung von personenbezogenen Daten generieren, indem diese für weitergehende Nutzeranalysen bzw. personalisierte Werbeangebote verwendet werden. Für Digitalkonzerne wie Facebook haben personenbezogene Daten bekanntermaßen eine sehr hohe Wettbewerbsrelevanz.

Das Bundeskartellamt wirft Facebook vor, seine beherrschende Stellung auf dem Markt für soziale Netzwerke für missbräuchliche Nutzungsbedingungen auszunutzen. Nutzer müssten in Nutzungsbedingungen einwilligen, die es Facebook ermöglichten, umfassend Daten zu erheben und mit den Datenbeständen anderer Dienste zu verknüpfen. Eine solche Einwilligung ist nach Art. 6 Abs. 1 lit. a DSGVO nur wirksam, wenn sie freiwillig erteilt wird. Davon könne bei Facebook aber keine Rede sein, so das Bundeskartellamt. Freiwillig könne eine Einwilligung von vornherein nur sein, wenn dem Nutzer ernsthafte Ausweichmöglichkeiten zur Verfügung stehen. Wegen der überragenden Marktstellung des sozialen Netzwerks könne davon aber nicht ausgegangen werden. Wer sich mit anderen über ein soziales Netzwerk verknüpfen wolle, komme an Facebook und seinen Nutzungsbedingungen nicht vorbei.

Hierauf gestützte Datenerhebungen verstießen gegen Datenschutzrecht, es handele sich also um einen „Missbrauch durch Rechtsbruch“. Dabei stellen sich eine ganze Reihe von Frage des Verhältnisses zwischen DSGVO und GWB sowie der Aufsicht durch die Datenschutzaufsichtsbehörden und das Bundeskartellamt.

Wann ist ein DSGVO-Verstoß ein Problem wirtschaftlicher Macht und somit am Kartellrecht (§ 19 Abs. 1 GWB) anhand datenschutzrechtlicher Wertungen zu messen? Wer ist dafür zuständig verbindlich zu bestimmen, ob eine Verarbeitung gegen die DSGVO verstößt? Wie verhält es sich mit der grundgesetzlichen Kompetenzverteilung zwischen Landesdatenschutzbehörden und einer Bundesbehörde wie dem Bundeskartellamt? Wie wird der Gefahr einer Doppelregulierung der Unternehmen begegnet (doppeltes „public enforcement“)?

Bereits im Eilverfahren brachte das OLG Düsseldorf zum Ausdruck, dass es den Fall als Frage von DSGVO-Verstößen sehe, für die das Bundeskartellamt als Wettbewerbsbehörde schon gar nicht zuständig sei. Der BGH hingegen sah in den Nutzungsbedingungen eine dem Nutzer „aufgedrängte Leistungserweiterung“ mit wettbewerbsschädlichen Charakter. Hieraus leitete der BGH die kartellrechtliche Relevanz ab.

Die Vorlagefragen an den EuGH

Der Kartellsenat des OLG Düsseldorf legt dem EuGH nun insgesamt sieben Fragen zur Auslegung der DSGVO vor, die er für das weitere Verfahren für entscheidungserheblich hält. Dabei stellt der Senat zunächst die Frage, ob das Bundeskartellamt als nationale Wettbewerbsbehörde überhaupt eine derartige Verfügung erlassen darf oder ob dies mangels Zuständigkeit mit den Vorschriften der Art. 51 ff. DSGVO über die Datenschutzaufsicht unvereinbar sei (Vorlagefrage 1). Da sich das Bundeskartellamt vor allem gegen die europäische Niederlassung Facebooks in Irland richtet, wäre andernfalls möglicherweise die – bisher untätig gebliebene – irische Datenschutzbehörde zuständig. In diesem Zusammenhang fragt der Senat zudem, ob das Bundeskartellamt für den Fall der Unvereinbarkeit überhaupt Feststellungen im Hinblick auf die Datenverarbeitung bzw. die Durchführung der DSGVO treffen kann (Vorlagefrage 7).

Weitere Fragen des Kartellrechtssenats für den Fall, dass das Kartellamt seine Zuständigkeit nicht überschreitet, zielen dabei unmittelbar auf die Auslegung der Rechtmäßigkeitstatbestände für die Datenerhebung nach Art. 6 und 9 DSGVO ab. Dies umfasst die Frage über die Einordnung einer Reihe von Datenkategorien als sensible Daten im Sinne des Art. 9 DSGVO (Vorlagefrage 2), weiterhin auf die Abgrenzung zwischen der Vertragserforderlichkeit und den berechtigten Interessen nach Art. 6 Abs. 1 lit. b und f DSGVO (Vorlagefrage 3), die Weite des Tatbestands der berechtigten Interessen (Vorlagefrage 4) sowie eine Frage zur Verknüpfung von Daten, die infolge des Art. 6 Abs. 1 lit. c, d und e DSGVO erhoben werden (Vorlagefrage 5).

Zuletzt fragt das OLG Düsseldorf zudem, ob Facebook Ireland als marktbeherrschendes Unternehmen von seinen Nutzern überhaupt eine wirksame Einwilligung einholen kann (Vorlagefrage 6). Schlösse die marktbeherrschende Stellung Facebooks eine wirksame Einwilligung – etwa mangels Freiwilligkeit – aus, hätte dies datenschutzrechtlich weitreichende und einschneidende Folgen.

Ausblick

Der Facebook-Fall machte zwischenzeitlich auch den Gesetzgeber auf die Problematik marktstarker datengetriebener Geschäftsmodelle aufmerksam. So kodifiziert die im Januar 2021 in Kraft getretene GWB-Digitalisierungsnovelle nicht nur das missbräuchliche Verhalten von Unternehmen mit überragender marktübergreifender Bedeutung durch wettbewerbsrelevante Datenverarbeitung infolge von Geschäftsbedingungen (§ 19a Abs. 2 Nr. 4a GWB), sondern erklärt auch für Rechtsbehelfe gegen § 19a-Verfügungen des Bundeskartellamtes direkt den BGH für zuständig (§ 73 Abs. 5 Nr. 1 GWB). Die EU-Kommission veröffentliche bereits am 15.12.2020 einen ersten Entwurf für den Digital Market Act (DMA), der eine dem § 19a Abs. 2 Nr. 4a GWB sehr ähnliche Regelung in Art. 5 lit. a enthält.

Die Fragen des OLG Düsseldorf an den EuGH betreffen die Rechtmäßigkeit und die Ausgestaltung datenbetriebener Geschäftsmodelle großer Digitalkonzerne wie Facebook. Inhaltlich werfen sie zudem ein Schlaglicht auf grundlegende Rechtsfragen des Verhältnisses zwischen Aufsicht, Auslegung und Durchsetzung von DSGVO und GWB – zweier Rechtsmaterien die auf den ersten Blick nicht miteinander verwandt sind. In seiner Relevanz und rechtspolitischen Brisanz ist das gesamte Verfahren und die Vorlage an den EuGH daher kaum zu überschätzen.

Mit einer Entscheidung des EuGH ist nach üblicher Verfahrensdauer nicht vor Ende 2022 zu rechnen. Anschließend wird das OLG Düsseldorf auf Grundlage der vom EuGH beantworteten Fragen entscheiden, ein Verfahrensgang bis zum BGH gilt als nicht unwahrscheinlich. Die aufgeworfenen Streitfragen dürften Rechtsprechung, Literatur und Gesetzgebung insofern noch mehrere Jahre beschäftigen.