Nutzerdaten – DR. MICHAEL KIRCHHOFF Rechtsanwalt Steuerberater Potsdam und Berlin

Bundesgerichtshof bestätigt vorläufig den Vorwurf der missbräuchlichen Ausnutzung einer marktbeherrschenden Stellung durch Facebook

Pressemitteilung — Tue, 23 Jun 2020 20:26:24 +0000

Bundesgerichtshof bestätigt vorläufig den Vorwurf der missbräuchlichen Ausnutzung einer marktbeherrschenden Stellung durch Facebook

Pressemitteilung des Bundesgerichtshofs Nr. 80/2020

KVR 69/19 – Beschluss vom 23. Juni 2020

Facebook verwendet Nutzungsbedingungen, die auch die Verarbeitung und Verwendung von Nutzerdaten vorsehen, die bei einer von der Facebook-Plattform unabhängigen Internetnutzung erfasst werden. Das Bundeskartellamt hat Facebook untersagt, solche Daten ohne weitere Einwilligung der privaten Nutzer zu verarbeiten. Der Kartellsenat des Bundesgerichtshofs hat heute entschieden, dass dieses Verbot vom Bundeskartellamt durchgesetzt werden darf.

Sachverhalt:

Die in Irland ansässige Facebook Ireland Limited (im Folgenden: Facebook) betreibt in Europa das soziale Netzwerk Facebook, mit dem privaten Nutzern eine Kommunikationsplattform im Internet zur Verfügung gestellt wird. Weitere Tochtergesellschaften des Facebook-Konzerns bieten weitere Internetdienste wie insbesondere Instagram, WhatsApp, Masquerade und Oculus an.

Private Nutzer zahlen kein Entgelt für die Nutzung des sozialen Netzwerks. Ihre Teilnahme am Netzwerk setzt aber voraus, dass sie bei der Registrierung den Facebook-Nutzungsbedingungen zustimmen. Diese sehen vor, dass Facebook jedem Nutzer ein personalisiertes Erlebnis bereitstellt. Dafür werden personenbezogene Daten des Nutzers verwendet, die Facebook aus der Nutzung anderer konzerneigener Dienste wie Instagram sowie aus sonstigen Internetaktivitäten des Nutzers außerhalb von facebook.com zur Verfügung stehen. Die Nutzungsbedingungen nehmen auf eine Datenrichtlinie Bezug, in der die Erhebung und Nutzung personenbezogener Daten näher erläutert wird.

Das Netzwerk wird durch Online-Werbung finanziert. Hierzu kann zum einen Werbung auf Facebook-Seiten platziert werden. Mit verschiedenen von Facebook bereitgestellten Programmierschnittstellen („Facebook Business Tools“) können Unternehmen zum anderen eigene Internetseiten oder Anwendungen für Mobilgeräte (Apps) in vielfältiger Form mit Facebook-Seiten verbinden. So können Facebook-Nutzer über Plugins ihr Interesse an diesen Seiten oder bestimmten Inhalten bekunden („Gefällt-mir-Button“ oder „Teilen-Button“) oder Kommentare abgeben und sich über ein „Facebook-Login“ auf Interseiten Dritter mit ihren bei Facebook registrierten Nutzerdaten einwählen. Über von Facebook angebotene Mess- und Analysefunktionen und -programme kann der Erfolg der Werbung eines Unternehmens gemessen und analysiert werden. Dabei wird nicht nur das Verhalten der privaten Nutzer auf Facebook-Seiten erfasst, sondern über entsprechende Schnittstellen (Facebook Pixel) auch der Aufruf von Drittseiten, ohne dass der Nutzer hierfür aktiv werden muss. Über die analytischen und statistischen Funktionen von „Facebook Analytics“ erhalten Unternehmen aggregierte Daten darüber, wie Facebook-Nutzer über verschiedene Geräte, Plattformen und Internetseiten hinweg mit den von ihnen angebotenen Diensten interagieren.

bisheriger Verfahrensverlauf:

Das Bundeskartellamt sieht in der Verwendung der Nutzungsbedingungen einen Verstoß gegen das Verbot nach § 19 Abs. 1 GWB, eine marktbeherrschende Stellung missbräuchlich auszunutzen. Facebook sei auf dem nationalen Markt der Bereitstellung sozialer Netzwerke marktbeherrschend. Es missbrauche diese Stellung, indem es entgegen den Vorschriften der Datenschutz-Grundverordnung (DSGVO) die private Nutzung des Netzwerks von seiner Befugnis abhängig mache, ohne weitere Einwilligung der Nutzer außerhalb von facebook.com generierte nutzer- und nutzergerätebezogene Daten mit den personenbezogenen Daten zu verknüpfen, die aus der Facebook-Nutzung selbst entstehen. Mit Beschluss vom 6. Februar 2019 hat das Bundeskartellamt Facebook und weiteren Konzerngesellschaften untersagt, entsprechende Nutzungsbedingungen zu verwenden und personenbezogene Daten entsprechend zu verarbeiten.

Das OLG Düsseldorf hat über die dagegen eingelegte Beschwerde noch nicht entschieden. Es hat aber auf Antrag von Facebook nach § 65 Abs. 3 GWB wegen ernstlicher Zweifel an der Rechtmäßigkeit der Verfügung die aufschiebende Wirkung der Beschwerde angeordnet. Eine solche Anordnung hat zur Folge, dass die Verfügung des Bundeskartellamts nicht vollzogen werden darf, bis über die Beschwerde entschieden ist.

Entscheidung des Bundesgerichtshofs:

Der Kartellsenat hat die Entscheidung des OLG Düsseldorf aufgehoben und den Antrag auf Anordnung der aufschiebenden Wirkung der Beschwerde abgelehnt.

Es bestehen weder ernsthafte Zweifel an der marktbeherrschenden Stellung von Facebook auf dem deutschen Markt für soziale Netzwerke noch daran, dass Facebook diese marktbeherrschende Stellung mit den vom Kartellamt untersagten Nutzungsbedingungen missbräuchlich ausnutzt.

Maßgeblich hierfür ist nicht die vom Kartellamt in der angefochtenen Verfügung in den Vordergrund gerückte Frage, ob die Verarbeitung und Nutzung von personenbezogenen Daten der Facebook-Nutzer, die aus deren Nutzung des Internets außerhalb von facebook.com und unabhängig von einem Facebook-Login entstehen, mit den Vorschriften der Datenschutz-Grundverordnung in Einklang steht.

Entscheidend ist vielmehr, dass Nutzungsbedingungen missbräuchlich sind, die den privaten Facebook-Nutzern keine Wahlmöglichkeit lassen,

– ob sie das Netzwerk mit einer intensiveren Personalisierung des Nutzungserlebnisses verwenden wollen, die mit einem potentiell unbeschränkten Zugriff auf Charakteristika auch ihrer „Off-Facebook“-Internetnutzung durch Facebook verbunden ist, oder

– ob sie sich nur mit einer Personalisierung einverstanden erklären wollen, die auf den Daten beruht, die sie auf facebook.com selbst preisgeben.

Das Missbrauchsurteil – das nach gefestigter Rechtsprechung sowohl die Feststellung nachteiliger Wirkungen auf den betroffenen Märkten voraussetzt als auch eine Abwägung aller beteiligten Interessen erfordert, die sich an der auf die Freiheit des Wettbewerbs gerichteten Funktion des GWB orientiert – beruht dabei im Wesentlichen auf folgenden Überlegungen:

Facebook ist als Betreiber eines sozialen Netzwerks auf zwei Märkten tätig. Es bietet zum einen privaten Nutzern die Plattform als Medium zur Darstellung der Person des Nutzers in ihren sozialen Beziehungen und zur Kommunikation an. Es ermöglicht zum anderen Unternehmen Werbung im Netzwerk und finanziert damit auch die Nutzerplattform, für deren Nutzung die Nutzer kein (monetäres) Entgelt zahlen. Indem Facebook seinen Nutzern personalisierte Erlebnisse und damit über die bloße Plattformfunktion hinaus Kommunikationsinhalte bereitzustellen verspricht, ergeben sich allerdings fließende Übergänge und Verschränkungen zwischen Leistungen gegenüber den Nutzern und der Refinanzierung der Plattformbereitstellung durch unterschiedliche Formen der Online-Werbung.

Als marktbeherrschender Netzwerkbetreiber trägt Facebook eine besondere Verantwortung für die Aufrechterhaltung des noch bestehenden Wettbewerbs auf dem Markt sozialer Netzwerke. Dabei ist auch die hohe Bedeutung zu berücksichtigen, die dem Zugriff auf Daten aus ökonomischer Perspektive zukommt.

Die fehlende Wahlmöglichkeit der Facebook-Nutzer beeinträchtigt nicht nur ihre persönliche Autonomie und die Wahrung ihres – auch durch die DSGVO geschützten – Rechts auf informationelle Selbstbestimmung. Vor dem Hintergrund der hohen Wechselhürden, die für die Nutzer des Netzwerks bestehen („Lock-in-Effekte“), stellt sie vielmehr auch eine kartellrechtlich relevante Ausbeutung der Nutzer dar, weil der Wettbewerb wegen der marktbeherrschenden Stellung von Facebook seine Kontrollfunktion nicht mehr wirksam ausüben kann. Nach den Feststellungen des Bundeskartellamts wünschen erhebliche Teile der privaten Facebook-Nutzer einen geringeren Umfang der Preisgabe persönlicher Daten. Bei funktionierendem Wettbewerb auf dem Markt sozialer Netzwerke wäre ein entsprechendes Angebot zu erwarten. Hierauf könnten Nutzer ausweichen, für die der Umfang der Datenpreisgabe ein wesentliches Entscheidungskriterium wäre.

Die so ausgestalteten Nutzungsbedingungen sind auch geeignet, den Wettbewerb zu behindern. Zwar ist die Marktstellung von Facebook in erster Linie durch direkte Netzwerkeeffekte geprägt, da der Nutzen des Netzwerks für die privaten Nutzer wie für die werbetreibenden Unternehmen mit der Gesamtzahl der dem Netzwerk angeschlossenen Personen steigt. Die Marktposition von Facebook kann auch nur dann erfolgreich angegriffen werden, wenn es einem Konkurrenten gelingt, in überschaubarer Zeit eine für die Attraktivität des Netzes ausreichende Zahl von Nutzern zu gewinnen. Jedoch handelt es sich bei dem Zugang zu Daten nicht nur auf dem Werbemarkt um einen wesentlichen Wettbewerbsparameter, sondern auch auf dem Markt sozialer Netzwerke. Der Zugang von Facebook zu einer erheblich größeren Datenbasis verstärkt die ohnehin schon ausgeprägten „Lock-in-Effekte“ weiter. Außerdem verbessert diese größere Datenbasis die Möglichkeiten der Finanzierung des sozialen Netzwerks mit den Erlösen aus Werbeverträgen, die ebenfalls von Umfang und Qualität der zur Verfügung stehenden Daten abhängen. Wegen der negativen Auswirkungen auf den Wettbewerb um Werbeverträge lässt sich schließlich auch eine Beeinträchtigung des Marktes für Online-Werbung nicht ausschließen. Entgegen der Auffassung des Beschwerdegerichts bedarf es insoweit keiner Feststellung, dass es einen eigenständigen Markt für Online-Werbung für soziale Medien gibt und Facebook auch auf diesem Markt über eine marktbeherrschende Stellung verfügt. Die Beeinträchtigung muss nicht auf dem beherrschten Markt eintreten, sondern kann auch auf einem nicht beherrschten Drittmarkt eintreten.

Vorinstanz:

OLG Düsseldorf – Beschluss vom 26. August 2019 – VI-Kart 1/19 (V), WRP 2019, 1333

Die maßgeblichen Vorschriften lauten:

Relevante Bestimmungen des Gesetzes gegen Wettbewerbsbeschränkungen (GWB):

§ 19 Verbotenes Verhalten von marktbeherrschenden Unternehmen

(1)Die missbräuchliche Ausnutzung einer marktbeherrschenden Stellung durch ein oder mehrere Unternehmen ist verboten.

…

§ 65 Anordnung der sofortigen Vollziehung

…

(3) 1Auf Antrag kann das Beschwerdegericht die aufschiebende Wirkung ganz oder teilweise wiederherstellen, wenn

1.die Voraussetzungen für die Anordnung nach Absatz 1 nicht vorgelegen haben oder nicht mehr vorliegen oder

2.ernstliche Zweifel an der Rechtmäßigkeit der angefochtenen Verfügung bestehen oder

3.die Vollziehung für den Betroffenen eine unbillige, nicht durch überwiegende öffentliche Interessen gebotene Härte zur Folge hätte.

2In den Fällen, in denen die Beschwerde keine aufschiebende Wirkung hat, kann die Kartellbehörde die Vollziehung aussetzen; die Aussetzung soll erfolgen, wenn die Voraussetzungen des Satzes 1 Nummer 3 vorliegen. 3Das Beschwerdegericht kann auf Antrag die aufschiebende Wirkung ganz oder teilweise anordnen, wenn die Voraussetzungen des Satzes 1 Nummer 2 oder 3 vorliegen.

Karlsruhe, den 23. Juni 2020

Der Beitrag Bundesgerichtshof bestätigt vorläufig den Vorwurf der missbräuchlichen Ausnutzung einer marktbeherrschenden Stellung durch Facebook erschien zuerst auf DR. MICHAEL KIRCHHOFF Rechtsanwalt Steuerberater Potsdam und Berlin.

EuGH soll datenschutzrechtliche Verantwortlichkeit für die beim Aufruf einer Facebook-Fanpage erhobenen Nutzerdaten klären

Pressemitteilung — Thu, 25 Feb 2016 21:43:37 +0000

Pressemitteilung des Bundesverwaltungsgerichts Nr. 11/2016

Das Bundesverwaltungsgericht in Leipzig hat in einem Verfahren, in dem es um die Beanstandung des Betriebs einer Facebook-Fanpage seitens der privatrechtlich organisierten Wirtschaftsakademie Schleswig-Holstein durch die Datenschutzaufsichtsbehörde geht, den Gerichtshof der Europäischen Union (EuGH) angerufen. Die dem EuGH zur Vorabentscheidung vorgelegten Fragen betreffen die Auslegung der Richtlinie 95/46/EG zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (Datenschutzrichtlinie). Diese dient u.a. dazu, im Bereich der Europäischen Union ein gleichwertiges Schutzniveau hinsichtlich der Rechte und Freiheiten von Personen bei der Verarbeitung ihrer personenbezogenen Daten zu gewährleisten.

Die Klägerin des Ausgangsverfahrens ist eine Trägerin der beruflichen Aus- und Weiterbildung, die neben einer eigenen Homepage eine sog. Fanpage bei Facebook unterhält. Das beklagte Unabhängige Landeszentrum für Datenschutz (ULD) hat im November 2011 gegenüber der Klägerin die Deaktivierung dieser Fanpage angeordnet. Die Nutzungsdaten der Besucher würden von Facebook über ein „Cookie“ bei einem Aufruf der Fanpage erhoben. Sie würden von Facebook u.a. für Zwecke der Werbung sowie für eine auch der Klägerin bereitgestellte Nutzerstatistik genutzt, ohne dass die Nutzer hierüber hinreichend aufgeklärt würden und in diese Nutzung eingewilligt hätten. Das Verwaltungsgericht hat der Klage stattgegeben. Das Oberverwaltungsgericht hat die Berufung zurückgewiesen, weil es das in § 38 Abs. 5 BDSG vorgesehene gestufte Verfahren nicht eingehalten habe. Die Klägerin sei als Fanpagebetreiberin auch nicht i.S.v. § 3 Abs. 7 BDSG/Art. 2 d) RL 95/46/EG verantwortliche Stelle im Hinblick auf die von Facebook erhobenen Daten.

Der 1. Revisionssenat des Bundesverwaltungsgerichts hat eine Vorlage an den EuGH beschlossen. Nach seiner Auffassung werfen u.a. die Reichweite der Prüf- und Handlungsbefugnisse des ULD sowie die Frage, ob die Klägerin als Fanpagebetreiberin eine datenschutzrechtliche Verantwortlichkeit für die Auswahl des Betreibers ihrer Internetrepräsentanz und dessen datenschutzrechtskonformen Umgang mit personenbezogenen Daten trifft, unionsrechtliche Zweifelsfragen in Bezug auf die Richtlinie 95/46/EG auf. Dabei hat es – wie das OVG – keine Beurteilung der Rechtmäßigkeit der Datenverarbeitung durch Facebook vorgenommen.

Hierzu hat der Senat dem EuGH folgende Fragen zur Vorabentscheidung gemäß Art. 267 AEUV vorgelegt:

1. Ist Art. 2 Buchst. d) RL 95/46/EG dahin auszulegen, dass er Haftung und Verantwortlichkeit für Datenschutzverstöße abschließend und erschöpfend regelt oder verbleibt im Rahmen der „geeigneten Maßnahmen“ nach Art. 24 RL 95/46/EG und der „wirksamen Eingriffsbefugnisse“ nach Art. 28 Abs. 3 Spiegelstrich 2 RL 95/46/EG in mehrstufigen Informationsanbieterverhältnissen Raum für eine Verantwortlichkeit einer Stelle, die nicht i.S.d. Art. 2 Buchst. d) RL 95/46/EG für die Datenverarbeitung verantwortlich ist, bei der Auswahl eines Betreibers für sein Informationsangebot?

2. Folgt aus der Pflicht der Mitgliedstaaten nach Art. 17 Abs. 2 RL 95/46/EG, bei der Datenverarbeitung im Auftrag vorzuschreiben, dass der für die Verarbeitung Verantwortliche einen ‚Auftragsverarbeiter auszuwählen hat, der hinsichtlich der für die Verarbeitung zu treffenden technischen Sicherheitsmaßnahmen und organisatorischen Vorkehrungen ausreichend Gewähr bietet‘, im Umkehrschluss, dass bei anderen Nutzungsverhältnissen, die nicht mit einer Datenverarbeitung im Auftrag i.S.d. Art. 2 Buchst. e) RL 95/46/EG verbunden sind, keine Pflicht zur sorgfältigen Auswahl besteht und auch nach nationalem Recht nicht begründet werden kann?

3. Ist in Fällen, in denen ein außerhalb der Europäischen Union ansässiger Mutterkonzern in verschiedenen Mitgliedstaaten rechtlich selbständige Niederlassungen (Tochtergesellschaften) unterhält, nach Art. 4, Art. 28 Abs. 6 RL 95/46/EG die Kontrollstelle eines Mitgliedstaates (hier: Deutschland) zur Ausübung der nach Art. 28 Abs. 3 RL 95/46/EG übertragenen Befugnisse gegen die im eigenen Hoheitsgebiet gelegene Niederlassung auch dann befugt, wenn diese Niederlassung allein für die Förderung des Verkaufs von Werbung und sonstige Marketingmaßnahmen mit Ausrichtung auf die Einwohner dieses Mitgliedstaates zuständig ist, während der in einem anderen Mitgliedstaat (hier: Irland) gelegenen selbständigen Niederlassung (Tochtergesellschaft) nach der konzerninternen Aufgabenverteilung die ausschließliche Verantwortung für die Erhebung und Verarbeitung personenbezogener Daten im gesamten Gebiet der Europäischen Union und damit auch in dem anderen Mitgliedstaat (hier: Deutschland) obliegt, wenn tatsächlich die Entscheidung über die Datenverarbeitung durch den Mutterkonzern getroffen wird?

4. Sind Art. 4 Abs. 1 Buchst. a), Art. 28 Abs. 3 RL 95/46/EG dahin auszulegen, dass in Fällen, in denen der für die Verarbeitung Verantwortliche eine Niederlassung im Hoheitsgebiet eines Mitgliedstaates (hier: Irland) besitzt und eine weitere, rechtlich selbständige Niederlassung in dem Hoheitsgebiet eines anderen Mitgliedstaates (hier: Deutschland) besteht, die u.a. für den Verkauf von Werbeflächen zuständig ist und deren Tätigkeit auf die Einwohner dieses Staates ausgerichtet ist, die in diesem anderen Mitgliedstaat (hier: Deutschland) zuständige Kontrollstelle Maßnahmen und Anordnungen zur Durchsetzung des Datenschutzrechts auch gegen die nach der konzerninternen Aufgaben- und Verantwortungsverteilung für die Datenverarbeitung nicht verantwortliche weitere Niederlassung (hier: in Deutschland) richten kann oder sind Maßnahmen und Anordnungen dann nur durch die Kontrollbehörde des Mitgliedstaates (hier: Irland) möglich, in dessen Hoheitsgebiet die konzernintern verantwortliche Stelle ihren Sitz hat?

5. Sind Art. 4 Abs. 1 Buchst. a), Art. 28 Abs. 3 und 6 RL 95/46/EG dahin auszulegen, dass in Fällen, in denen die Kontrollbehörde eines Mitgliedstaates (hier: Deutschland) eine in ihrem Hoheitsgebiet tätige Person oder Stelle nach Art. 28 Abs. 3 RL 95/46/EG wegen der nicht sorgfältigen Auswahl eines in den Datenverarbeitungsprozess eingebundenen Dritten (hier: Facebook) in Anspruch nimmt, weil dieser Dritte gegen Datenschutzrecht verstoße, die tätig werdende Kontrollbehörde (hier: Deutschland) an die datenschutzrechtliche Beurteilung der Kontrollbehörde des anderen Mitgliedstaates, in dem der für die Datenverarbeitung verantwortliche Dritte seine Niederlassung hat (hier: Irland), in dem Sinne gebunden ist, dass sie keine hiervon abweichende rechtliche Beurteilung vornehmen darf, oder darf die tätig werdende Kontrollstelle (hier: Deutschland) die Rechtmäßigkeit der Datenverarbeitung durch den in einem anderen Mitgliedstaat (hier: Irland) niedergelassenen Dritten als Vorfrage des eigenen Tätigwerdens selbständig auf seine Rechtmäßigkeit prüfen?

6. Soweit der tätig werdenden Kontrollstelle (hier: Deutschland) eine selbständige Überprüfung eröffnet ist: Ist Art. 28 Abs. 6 Satz 2 RL 95/46/EG dahin auszulegen, dass diese Kontrollstelle die ihr nach Art. 28 Abs. 3 RL 95/46/EG übertragenen wirksamen Einwirkungsbefugnisse gegen eine in ihrem Hoheitsgebiet niedergelassene Person oder Stelle wegen der Mitverantwortung für die Datenschutzverstöße des in einem anderen Mitgliedstaat niedergelassenen Dritten nur und erst dann ausüben darf, wenn sie zuvor die Kontrollstelle dieses anderen Mitgliedstaates (hier: Irland) um die Ausübung ihrer Befugnisse ersucht hat?

Bis zur Entscheidung des Gerichtshofs hat das BVerwG das Revisionsverfahren ausgesetzt.

BVerwG 1 C 28.14 – Beschluss vom 25. Februar 2016

Vorinstanzen:
OVG Schleswig 4 LB 20/13 – Urteil vom 04. September 2014
VG Schleswig 8 A 14/12 – Urteil vom 09. Oktober 2013

Der Beitrag EuGH soll datenschutzrechtliche Verantwortlichkeit für die beim Aufruf einer Facebook-Fanpage erhobenen Nutzerdaten klären erschien zuerst auf DR. MICHAEL KIRCHHOFF Rechtsanwalt Steuerberater Potsdam und Berlin.