Mitgliedstaatliche Wettbewerbsbehörden dürfen Untersuchungen vornehmen, ob ein Unternehmen gegen die DSGVO verstößt

Das Bundeskartellamt darf im Rahmen der Prüfung, ob ein Missbrauch einer beherrschenden Stellung durch ein Unternehmen vorliegt, feststellen, dass die Allgemeinen Nutzungsbedingungen dieses Unternehmens, nicht mit der DSGVO vereinbar sind.

Sachverhalt

Meta Platforms Ireland betreibt in der Union das soziale Online-Netzwerk Facebook und bietet u. a. über www.facebook.com Dienste an, die für private Nutzer kostenlos sind. Andere Unternehmen des Meta-Konzerns bieten in der Union weitere Online-Dienste an, darunter Instagram und WhatsApp.

Das Geschäftsmodell des sozialen Online-Netzwerks Facebook basiert auf der Finanzierung durch Online-Werbung, die auf den individuellen Nutzer des sozialen Netzwerks insbesondere nach Maßgabe seines Konsumverhaltens, seiner Interessen, seiner Kaufkraft und seiner Lebenssituation zugeschnitten ist. Technische Grundlage dieser Art von Werbung ist die automatisierte Erstellung von detaillierten Profilen der Nutzer des Netzwerks und der auf Ebene des Meta-Konzerns angebotenen Online-Dienste. Zu diesem Zweck werden neben den Daten, die diese Nutzer bei ihrer Registrierung für die betreffenden Online-Dienste direkt angeben, weitere nutzer- und gerätebezogene Daten innerhalb und außerhalb des sozialen Netzwerks und der vom Meta-Konzern bereitgestellten Online-Dienste erhoben und mit den verschiedenen Nutzerkonten verknüpft. In ihrer Gesamtheit lassen diese Daten detaillierte Rückschlüsse auf die Präferenzen und Interessen der Nutzer zu.

Für die Verarbeitung dieser Daten stützt sich Meta Platforms Ireland auf den Nutzungsvertrag, den die Nutzer des sozialen Netzwerks Facebook durch Betätigung der Schaltfläche „Registrieren“ abschließen und mit dem sie den von diesem Unternehmen festgelegten Allgemeinen Nutzungsbedingungen zustimmen. Die Zustimmung zu diesen Bedingungen ist notwendig, um das soziale Netzwerk Facebook nutzen zu können. Hinsichtlich der Verarbeitung personenbezogener Daten verweisen die Allgemeinen Nutzungsbedingungen auf die von diesem Unternehmen festgelegten Richtlinien für die Verwendung von Daten und Cookies. Danach erfasst Meta Platforms Ireland nutzer- und gerätebezogene Daten über Nutzeraktivitäten innerhalb und außerhalb des sozialen Netzwerks und ordnet sie den Facebook-Konten der betroffenen Nutzer zu. Bei den Daten, die Aktivitäten außerhalb des sozialen Netzwerks betreffen (im Folgenden auch: Off-Facebook-Daten), handelt es sich zum einen um Daten über den Aufruf dritter Websites und Apps, die über Programmierschnittstellen („Facebook Business Tools“) mit Facebook verbunden sind, und zum anderen um Daten über die Nutzung der anderen zum Meta-Konzern gehörenden Online-Dienste.

Das Bundeskartellamt leitete gegen Meta Platforms, Meta Platforms Ireland und Facebook Deutschland ein Verfahren ein, an dessen Ende es diesen Unternehmen mit Beschluss vom 6. Februar 2019, der auf § 19 Abs. 1 und § 32 des Gesetzes gegen Wettbewerbsbeschränkungen (GWB) gestützt wurde, im Wesentlichen untersagte, in den Allgemeinen Nutzungsbedingungen die Nutzung des sozialen Netzwerks Facebook durch in Deutschland wohnhafte private Nutzer von der Verarbeitung ihrer Off-Facebook-Daten abhängig zu machen und diese Daten ohne ihre Einwilligung auf der Grundlage der damals geltenden Allgemeinen Nutzungsbedingungen zu verarbeiten. Außerdem verpflichtete das Bundeskartellamt diese Unternehmen, die Allgemeinen Nutzungsbedingungen so anzupassen, dass aus ihnen eindeutig hervorgeht, dass die fraglichen Daten nicht ohne Einwilligung des betreffenden Nutzers erfasst, mit den Facebook-Nutzerkonten verknüpft und verwendet werden. Das Bundeskartellamt stellte klar, dass eine solche Einwilligung ungültig sei, wenn sie eine Bedingung für die Nutzung des sozialen Netzwerks darstelle.

Das Bundeskartellamt begründete seinen Beschluss damit, dass die in den Allgemeinen Nutzungsbedingungen vorgesehene und von Meta Platforms Ireland durchgeführte Verarbeitung der Daten der betroffenen Nutzer eine missbräuchliche Ausnutzung der beherrschenden Stellung dieses Unternehmens auf dem Markt für soziale Online-Netzwerke für private Nutzer in Deutschland im Sinne von § 19 Abs. 1 GWB darstelle. Insbesondere seien die Allgemeinen Nutzungsbedingungen als Ausfluss dieser beherrschenden Stellung missbräuchlich, weil die darin vorgesehene Verarbeitung der Off-Facebook-Daten nicht mit den der DSGVO zugrunde liegenden Werten im Einklang stehe und insbesondere nicht nach Maßgabe von Art. 6 Abs. 1 und Art. 9 Abs. 2 dieser Verordnung gerechtfertigt werden könne.

Meta Platforms, Meta Platforms Ireland und Facebook Deutschland legten gegen den Beschluss des Bundeskartellamts beim Oberlandesgericht Düsseldorf (Deutschland) Beschwerde ein.

Das Oberlandesgericht Düsseldorf hegte Zweifel in Bezug auf folgende Punkte: Erstens die Befugnis nationaler Wettbewerbsbehörden, im Rahmen der Ausübung ihrer Zuständigkeiten zu prüfen, ob eine Verarbeitung personenbezogener Daten den Anforderungen der DSGVO entspricht, zweitens die Möglichkeit für den Betreiber eines sozialen Online-Netzwerks, sensible personenbezogene Daten der betroffenen Person im Sinne von Art. 9 Abs. 1 und 2 DSGVO zu verarbeiten, drittens die Rechtmäßigkeit der Verarbeitung der personenbezogenen Daten des betreffenden Nutzers durch einen solchen Betreiber gemäß Art. 6 Abs. 1 DSGVO und viertens die Gültigkeit der einem Unternehmen mit beherrschender Stellung auf dem nationalen Markt für soziale Online-Netzwerke im Hinblick auf eine solche Verarbeitung erteilten Einwilligung nach Maßgabe von Art. 6 Abs. 1 Unterabs. 1 Buchst. a und Art. 9 Abs. 2 Buchst. a DSGVO.

Da das Oberlandesgericht Düsseldorf der Ansicht war, dass die Entscheidung des Ausgangsrechtsstreits von der Beantwortung dieser Fragen abhänge, hatte es beschlossen, das Verfahren auszusetzen und dem Gerichtshof diesbezüglich einige Fragen zur Vorabentscheidung vorzulegen.

Aus dem Urteil des EUGH

Zu den vorgelegten Fragen hat der EuGH unter anderem für Recht erkannt:

Die Art. 51 ff. der Datenschutz-Grundverordnung sowie Art. 4 Abs. 3 des Vertrags über die Europäische Union (EUV) sind dahin auszulegen, dass eine mitgliedstaatliche Wettbewerbsbehörde im Rahmen der Prüfung, ob ein Missbrauch einer beherrschenden Stellung durch ein Unternehmen im Sinne von Art. 102 des Vertrags über die Arbeitsweise der Europäischen Union (AEUV) vorliegt, vorbehaltlich der Erfüllung ihrer Pflicht zur loyalen Zusammenarbeit mit den Aufsichtsbehörden feststellen kann, dass die Allgemeinen Nutzungsbedingungen dieses Unternehmens, soweit sie sich auf die Verarbeitung personenbezogener Daten beziehen, und die Durchführung dieser Nutzungsbedingungen nicht mit der DSGVO vereinbar sind, wenn diese Feststellung erforderlich ist, um das Vorliegen eines solchen Missbrauchs zu belegen.
Art. 9 Abs. 1 DSGVO ist dahin auszulegen, dass in dem Fall, dass ein Nutzer eines sozialen Online-Netzwerks Websites oder Apps mit Bezug zu einer oder mehreren der in dieser Bestimmung genannten Kategorien aufruft und dort gegebenenfalls Daten eingibt, indem er sich registriert oder Online-Bestellungen aufgibt, die Verarbeitung personenbezogener Daten durch den Betreiber dieses sozialen Online-Netzwerks, die darin besteht, dass dieser Betreiber die aus dem Aufruf dieser Websites und Apps stammenden Daten sowie die vom Nutzer eingegebenen Daten über integrierte Schnittstellen, Cookies oder ähnliche Speichertechnologien erhebt, die Gesamtheit dieser Daten mit dem jeweiligen Nutzerkonto des sozialen Netzwerks verknüpft und diese Daten verwendet, als eine „Verarbeitung besonderer Kategorien personenbezogener Daten“ im Sinne dieser Bestimmung anzusehen ist, die vorbehaltlich der in Art. 9 Abs. 2 der Verordnung 2016/679 vorgesehenen Ausnahmen grundsätzlich untersagt ist, wenn diese Datenverarbeitung die Offenlegung von Informationen ermöglicht, die in eine dieser Kategorien fallen, unabhängig davon, ob diese Informationen einen Nutzer dieses Netzwerks oder eine andere natürliche Person betreffen.
Art. 9 Abs. 2 Buchst. e DSGVO ist dahin auszulegen, dass ein Nutzer eines sozialen Online-Netzwerks, wenn er Websites oder Apps mit Bezug zu einer oder mehreren der in Art. 9 Abs. 1 dieser Verordnung genannten Kategorien aufruft, die diesen Aufruf betreffenden Daten, die der Betreiber dieses sozialen Online-Netzwerks über Cookies oder ähnliche Speichertechnologien erhebt, nicht im Sinne der erstgenannten Bestimmung offensichtlich öffentlich macht.
Art. 6 Abs. 1 Unterabs. 1 Buchst. b DSGVO ist dahin auszulegen, dass die Verarbeitung personenbezogener Daten durch den Betreiber eines sozialen Online-Netzwerks, die darin besteht, dass Daten der Nutzer eines solchen Netzwerks, die aus anderen Diensten des Konzerns, zu dem dieser Betreiber gehört, stammen oder sich aus dem Aufruf dritter Websites oder Apps durch diese Nutzer ergeben, erhoben, mit dem jeweiligen Nutzerkonto des sozialen Netzwerks verknüpft und verwendet werden, nur dann als im Sinne dieser Vorschrift für die Erfüllung eines Vertrags, dessen Vertragsparteien die betroffenen Personen sind, erforderlich angesehen werden kann, wenn diese Verarbeitung objektiv unerlässlich ist, um einen Zweck zu verwirklichen, der notwendiger Bestandteil der für diese Nutzer bestimmten Vertragsleistung ist, so dass der Hauptgegenstand des Vertrags ohne diese Verarbeitung nicht erfüllt werden könnte.
Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO ist dahin auszulegen, dass die Verarbeitung personenbezogener Daten durch den Betreiber eines sozialen Online-Netzwerks, die darin besteht, dass Daten der Nutzer eines solchen Netzwerks, die aus anderen Diensten des Konzerns, zu dem dieser Betreiber gehört, stammen oder sich aus dem Aufruf dritter Websites oder Apps durch diese Nutzer ergeben, erhoben, mit dem jeweiligen Nutzerkonto des sozialen Netzwerks verknüpft und verwendet werden, nur dann als zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich im Sinne dieser Vorschrift angesehen werden kann, wenn der fragliche Betreiber den Nutzern, bei denen die Daten erhoben wurden, ein mit der Datenverarbeitung verfolgtes berechtigtes Interesse mitgeteilt hat, wenn diese Verarbeitung innerhalb der Grenzen dessen erfolgt, was zur Verwirklichung dieses berechtigten Interesses absolut notwendig ist und wenn sich aus einer Abwägung der einander gegenüberstehenden Interessen unter Würdigung aller relevanten Umstände ergibt, dass die Interessen oder Grundrechte und Grundfreiheiten dieser Nutzer gegenüber dem berechtigten Interesse des Verantwortlichen oder eines Dritten nicht überwiegen.
Art. 6 Abs. 1 Unterabs. 1 Buchst. c DSGVO ist dahin auszulegen, dass die Verarbeitung personenbezogener Daten durch den Betreiber eines sozialen Online-Netzwerks, die darin besteht, dass Daten der Nutzer eines solchen Netzwerks, die aus anderen Diensten des Konzerns, zu dem dieser Betreiber gehört, stammen oder sich aus dem Aufruf dritter Websites oder Apps durch diese Nutzer ergeben, erhoben, mit dem jeweiligen Nutzerkonto des sozialen Netzwerks verknüpft und verwendet werden, nach dieser Vorschrift gerechtfertigt ist, wenn sie zur Erfüllung einer rechtlichen Verpflichtung, der der Verantwortliche gemäß einer Vorschrift des Unionsrechts oder des Rechts des betreffenden Mitgliedstaats unterliegt, tatsächlich erforderlich ist, diese Rechtsgrundlage ein im öffentlichen Interesse liegendes Ziel verfolgt und in einem angemessenen Verhältnis zu dem verfolgten legitimen Ziel steht und diese Verarbeitung in den Grenzen des absolut Notwendigen erfolgt.
Art. 6 Abs. 1 Unterabs. 1 Buchst. d und e DSGVO ist dahin auszulegen, dass die Verarbeitung personenbezogener Daten durch den Betreiber eines sozialen Online-Netzwerks, die darin besteht, dass Daten der Nutzer eines solchen Netzwerks, die aus anderen Diensten des Konzerns, zu dem dieser Betreiber gehört, stammen oder sich aus dem Aufruf dritter Websites oder Apps durch diese Nutzer ergeben, erhoben, mit dem jeweiligen Nutzerkonto des sozialen Netzwerks verknüpft und verwendet werden, grundsätzlich – vorbehaltlich einer Überprüfung durch das vorlegende Gericht – nicht als im Sinne von Buchst. d erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen, oder als im Sinne von Buchst. e für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde, angesehen werden kann.
Art. 6 Abs. 1 Unterabs. 1 Buchst. a und Art. 9 Abs. 2 Buchst. a DSGVO sind dahin auszulegen, dass der Umstand, dass der Betreiber eines sozialen Online-Netzwerks eine beherrschende Stellung auf dem Markt für soziale Online-Netzwerke einnimmt, für sich genommen nicht ausschließt, dass die Nutzer eines solchen Netzwerks im Sinne von Art. 4 Nr. 11 dieser Verordnung wirksam in die Verarbeitung ihrer personenbezogenen Daten durch diesen Betreiber einwilligen können. Gleichwohl ist dieser Umstand ein wichtiger Aspekt für die Prüfung, ob die Einwilligung tatsächlich wirksam, insbesondere freiwillig, erteilt wurde, wofür der betreffende Betreiber die Beweislast trägt.

Fundstelle: Urteil des Europäischen Gerichtshofs (Große Kammer) vom 4. Juli 2023, 62021CJ0252 – abrufbar im Internet unter https://curia.europa.eu/juris/document/document.jsf?text=&docid=275125&pageIndex=0&doclang=DE&mode=req&dir=&occ=first&part=1