Die Einhaltung der DSGVO darf im Rahmen von Wettbewerbsuntersuchungen durch Kartellbehörden geprüft werden, das entschied nun das höchste Gericht der Europäischen Union in Luxemburg (EuGH Urteil vom 4. Juli 2023, Az. C-252/21). Die Personalisierung der Werbung, mit der das soziale Netzwerk Facebook finanziert wird, kann die fragliche Datenverarbeitung insofern nicht als berechtigtes Interesse von Meta (ehemals Facebook) rechtfertigen, sodass das Bundeskartellamt dem Facebook-Konzern die Zusammenführung von Nutzerdaten grundsätzlich verbieten durfte.
Hinter der Entscheidung des EuGH steht das Verbot des Bundeskartellamts gegenüber Meta, in deren Allgemeinen Nutzungsbedingungen die Nutzung des sozialen Netzwerks Facebook von der Verarbeitung der sog. „Off-Facebook-Daten“ ihrer Nutzer abhängig zu machen und diese Daten ohne Einwilligung der Betroffenen zu verarbeiten. Bei Off-Facebook-Daten handelt es sich um Daten, die Aktivitäten der Nutzer außerhalb des sozialen Netzwerks betreffen und die über den Aufruf dritter Websites und Apps oder bei der Nutzung anderer zum Meta-Konzern gehörenden Online-Dienste, wie Instagram oder WhatsApp, erhoben werden. Diese Daten ermöglichen es insbesondere, die an die Facebook Nutzer gerichteten Webenachrichten zu personalisieren, indem Profile der Nutzer erstellt werden. Das Verbot durch das Kartellamt erfolgte hierbei unter Hinweis auf datenschutzrechtliche Bedenken.
Im Rahmen des von Meta geführten Beschwerdeverfahrens gegen diesen Beschluss des Bundeskartellamts rief das zuständige Oberlandesgericht Düsseldorf den EuGH an. Das Oberlandesgericht bat unter anderem darum, zu klären, ob die nationalen Wettbewerbsbehörden prüfen dürfen, ob eine Datenverarbeitung den Anforderungen der DSGVO entspricht und wie in diesem Zusammenhang bestimmte Vorschriften auszulegen und von Betreibern eines sozialen Online-Netzwerks anzuwenden sind.
Auf dieses Vorabentscheidungsersuchen stellte der EuGH nun klar, dass mitgliedstaatliche Wettbewerbsbehörden im Rahmen der Prüfung, ob ein Missbrauch einer beherrschenden Stellung durch Unternehmen vorliegt, feststellen kann, ob ein Verhalten mit der DSGVO vereinbar ist, sofern dies zur Beurteilung des Vorliegens eines solchen Missbrauchs erforderlich ist. Im Sinne des Kohärenzgebots und der Pflicht zur loyalen Zusammenarbeit ergibt sich hierbei jedoch die Verpflichtung der nationalen Wettbewerbsbehörden sich mit den Datenschutzbehörden abzustimmen und mit ihnen zusammenzuarbeiten. Der EuGH führt dazu aus, dass die Wettbewerbsbehörden zu ermitteln haben, ob das in Frage stehende oder ein ähnliches Verhalten bereits Gegenstand einer Entscheidung der Aufsichtsbehörde oder des EuGH war. Ist dies der Fall, dürfen die Wettbewerbsbehörden zwar nicht von den entsprechenden Entscheidungen abweichen, jedoch eigene Schlussfolgerungen unter Berücksichtigung des Wettbewerbsrechts ziehen.
Weiter geht das Luxemburger Gericht darauf ein, dass die von Meta Plattforms vorgenommene Datenverarbeitung bei der in Streit stehenden Praxis auch besondere, sensible Kategorien von Daten betreffen kann. Die bloße Tatsache, dass ein Nutzer Websites oder Apps aufruft, Daten auf diesen eingibt oder darin eingebundene Schaltflächen bestätigt, bedeutet hierbei keineswegs, dass er seine Daten im Sinne der Verordnung offensichtlich öffentlich macht mit der Folge, dass eine Verwendung dieser durch Meta zulässig wäre. Eine Ausnahme gilt nur in dem Fall, dass der Nutzer zuvor explizit seine Entscheidung zum Ausdruck gebracht hat, die Daten einer unbegrenzten Zahl von Personen öffentlich zugänglich zu machen.
Die Verarbeitungspraxis der Datenzusammenführung im Allgemeinen betrachtet der EuGH im Folgenden hinsichtlich dessen Zulässigkeit und prüft dabei, ob diese unter die übrigen in der DSGVO genannten Rechtfertigungsgründe fällt. Hierbei wird ausgeführt, dass eine Erforderlichkeit für die Erfüllung des Vertrages nur dann vorliegt, wenn die Datenverarbeitung insofern objektiv unerlässlich ist, als der Hauptgegenstand des Vertrages ohne sie nicht erfüllt werden könnte. In diesem Zusammenhang äußert das Gericht Zweifel daran, dass die Personalisierung der Inhalte diese Kriterien erfüllen kann. Wie eingangs bereits erwähnt, sieht der EuGH auch keine Rechtfertigung im Sinne eines berechtigten Interesses von Meta, durch die personalisierte Werbung das Netzwerk zu finanzieren, sofern keine Einwilligung vorliegt. Hierbei verweist der EuGH auf den 47. Erwägungsgrund der DSGVO, nach dem der Erwartungshorizont der betroffenen Person bei der Abwägung der beiderseitigen Interessen ausschlaggebendes Kriterium für das Überwiegen der Interessen und Grundrechte der betroffenen Person sein kann. Ebenso liegt es nach Dafürhalten des Gerichts bei dem Nutzer eines sozialen Online-Netzwerks wie Facebook, der, auch bei Unentgeltlichkeit des Dienstes, nicht davon ausgehen wird oder ausgehen muss, dass seine Daten ohne seine Einwilligung zum Zweck der Personalisierung der Werbung genutzt werden.
Eine solche datenschutzrechtliche Einwilligung wird nach dem Urteil jedoch nicht grundsätzlich dadurch ausgeschlossen, dass der Betreiber eines sozialen Online-Netzwerks eine beherrschende Stellung auf dem Markt einnimmt. Gleichsam hält es aber fest, dass eine solche Stellung geeignet ist, die Wahlfreiheit der Nutzer zu beeinträchtigen und ein klares Ungleichgewicht zwischen Nutzer und Verantwortlichem zu schaffen, was bei der Beurteilung der Freiwilligkeit dieser Einwilligung ein wichtiger Aspekt sein kann.
Fazit:
Der EuGH spricht klare Worte zur Auslegung der Rechtsgrundlagen der DSGVO beim personalisierten Online-Marketing. Hierbei gesteht er im Sinne des Marketings einerseits zu, dass Direktwerbung ebenso wie Produktverbesserung natürlich ein berechtigtes Interesse zur Datenverarbeitung darstellen kann. Gleichsam gebietet das Gericht in Luxemburg einer uferlosen Auslegung der Rechtsgrundlagen Einhalt, indem es festgestellt, dass die einschlägigen Normen und deren Voraussetzungen ernsthaft und wie vom EuGH dargelegt auszufüllen sind, was Meta und vergleichbare Unternehmen beschränken wird.
Zudem klärt das Urteil das Verhältnis von Datenschutz- und Wettbewerbsrecht in der Behördenpraxis. Beide schließen sich nicht aus, wobei jedoch eine einheitliche Anwendung der Datenschutzbestimmungen zu gewährleisten ist. Dies stellt die richtige Schlussfolgerung des EuGHs aus dem Umstand dar, dass der Zugang zu und die Verarbeitung von personenbezogenen Daten zu einem bedeutenden Parameter des Unternehmenswettbewerbs der digitalen Wirtschaft geworden ist. Der Ausschluss datenschutzrechtlicher Vorschriften aus dem Prüfungsrahmen der Wettbewerbsbehörden würde diese tatsächliche wirtschaftliche Entwicklung verkennen und die Wirksamkeit des Wettbewerbsrechts in der Union gefährden.
Mit dem Urteil des EuGH sowie der baldigen Entscheidung des Oberlandesgerichtes Düsseldorf wird gespannt abzuwarten sein, wie sich die umstrittene Verarbeitungspraxis im Online-Bereich nun entwickeln wird.
