EuGH: Meta gegen Bundeskartellamt

Was der EuGH in Meta gegen Bundeskartellamt entschieden hat

In der Rechtssache Meta gegen Bundeskartellamt (C-252/21), die die Große Kammer am 4.7.2023 entschied, hat der Gerichtshof der Europäischen Union (EuGH) bestätigt, dass eine nationale Wettbewerbsbehörde bei der Prüfung, ob ein marktbeherrschendes Unternehmen seine Stellung missbraucht, feststellen darf, dass dessen Bedingungen für die Verarbeitung personenbezogener Daten nicht mit der Datenschutz-Grundverordnung (DSGVO) vereinbar sind. Die Wettbewerbsbehörde tritt dadurch nicht an die Stelle der Datenschutzbehörden: Sie muss mit ihnen loyal zusammenarbeiten, darf von ihren Entscheidungen zu denselben oder ähnlichen Bedingungen nicht abweichen und muss sie im Zweifel konsultieren.

Der Gerichtshof hat zudem wichtige Hinweise zu den Rechtsgrundlagen der DSGVO für datengetriebene Geschäftsmodelle gegeben, von der vertraglichen Erforderlichkeit über berechtigte Interessen bis zur Einwilligung. Damit reicht die Bedeutung des Urteils weit über den Einzelfall hinaus.

Das Urteil geht auf die richtungsweisende Entscheidung des Bundeskartellamts vom 6. Februar 2019 gegen Facebook zurück, die die Zusammenführung von Nutzerdaten aus Facebook, anderen Diensten des Konzerns sowie Websites und Apps Dritter ohne Einwilligung der Nutzer als Missbrauch einer marktbeherrschenden Stellung nach § 19 Abs. 1 des Gesetzes gegen Wettbewerbsbeschränkungen (GWB) untersagte. Meta gegen Bundeskartellamt ist daher zugleich ein wettbewerbsrechtliches und ein datenschutzrechtliches Präjudiz und bleibt zentral dafür, wie Behörden in Deutschland und der EU mit digitalen Plattformen umgehen.

Hintergrund: das Facebook-Verfahren des Bundeskartellamts

Das Bundeskartellamt stellte fest, dass Facebook auf dem deutschen Markt für soziale Netzwerke für private Nutzer marktbeherrschend war und dass seine Nutzungsbedingungen, die es erlaubten, Daten aus anderen Konzerndiensten wie Instagram und WhatsApp sowie von Websites Dritter über Schnittstellen und Cookies zu erheben und mit dem Facebook-Konto des Nutzers zusammenzuführen, einen Ausbeutungsmissbrauch darstellten. Seine Begründung stützte sich auf die Wertungen der DSGVO als Maßstab dafür, ob die Bedingungen angemessen waren.

Facebook legte Beschwerde beim Oberlandesgericht Düsseldorf ein, das Zweifel hatte, ob eine Wettbewerbsbehörde die Einhaltung der DSGVO beurteilen darf, sowie an den datenschutzrechtlichen Fragen selbst, und diese dem EuGH mit Beschluss vom 24.3.2021 vorlegte.

Parallel dazu hatte der Bundesgerichtshof (BGH) im Eilverfahren im Jahr 2020 bestätigt, dass die Entscheidung des Bundeskartellamts vollzogen werden konnte, wobei er sich auf eine andere Begründung stützte, nämlich auf die aufgedrängte Leistungserweiterung und die fehlende Wahlmöglichkeit der Nutzer. Unser Beitrag zur Facebook-Entscheidung des BGH erläutert diesen Beschluss.

Wettbewerbsbehörden dürfen die Einhaltung der DSGVO prüfen

Die erste und wichtigste Antwort des Gerichtshofs betrifft die institutionelle Zuständigkeit. Er entschied, dass Art. 51 ff. DSGVO und der Grundsatz der loyalen Zusammenarbeit in Art. 4 Abs. 3 EUV es einer Wettbewerbsbehörde erlauben, in einem Missbrauchsverfahren nach Art. 102 AEUV festzustellen, dass die Datenverarbeitungsbedingungen eines marktbeherrschenden Unternehmens und deren Umsetzung nicht mit der DSGVO vereinbar sind, wenn diese Feststellung erforderlich ist, um einen Missbrauch nachzuweisen. Die DSGVO behält diese Frage nicht ausschließlich den Datenschutzbehörden vor, weil die Wettbewerbsbehörde nach dem Wettbewerbsrecht handelt und keine Sanktionen nach der DSGVO verhängt.

Die Befugnis ist an Bedingungen geknüpft. Die Wettbewerbsbehörde darf nicht von einer Entscheidung der zuständigen Datenschutzbehörde oder der federführenden Aufsichtsbehörde nach dem One-Stop-Shop-Verfahren abweichen, die dieselben oder ähnliche Bedingungen betrifft.

Hat sie Zweifel an der Tragweite einer solchen Entscheidung, werden die Bedingungen von diesen Behörden geprüft oder gibt es weder eine Untersuchung noch eine Entscheidung, muss sie diese Behörden konsultieren und um ihre Mitwirkung ersuchen. Erheben diese Behörden innerhalb einer angemessenen Frist keine Einwände oder antworten sie nicht, darf sie ihre eigene Untersuchung fortsetzen. In Deutschland spiegelt sich dieser Grundsatz seitdem in der Zusammenarbeit zwischen dem Bundeskartellamt und den Datenschutzbehörden wider, und die Logik erstreckt sich auf neue wettbewerbsrechtliche Instrumente wie § 19a GWB für digitale Torwächter.

Hinweise zu den Rechtsgrundlagen der DSGVO in Meta gegen Bundeskartellamt

Die Große Kammer nutzte den Fall, um die Rechtsgrundlagen der DSGVO für personalisierte Dienste und die Zusammenführung von Daten zu klären. Ihre wichtigsten Aussagen sind nachfolgend zusammengefasst.

Die Aussagen zur vertraglichen Erforderlichkeit und zu den berechtigten Interessen hatten die größte Wirkung. Personalisierte Werbung, so der Gerichtshof, könne nicht ohne Weiteres als für einen kostenlosen Dienst eines sozialen Netzwerks erforderlich gerechtfertigt werden, und die Nutzer müssten bei der Datenerhebung über das konkrete berechtigte Interesse informiert werden.

Die Bemerkung zu Einwilligung und Marktbeherrschung, dass Nutzer bestimmte, für die Vertragserfüllung nicht erforderliche Verarbeitungsvorgänge ablehnen können sollten, ohne auf den Dienst ganz verzichten zu müssen, gegebenenfalls gegen ein angemessenes Entgelt, führte zu den „Pay or Consent“-Modellen, die große Plattformen in Europa eingeführt haben. Der Gerichtshof formulierte, den Nutzern solle gegebenenfalls gegen ein angemessenes Entgelt eine gleichwertige Alternative ohne solche Verarbeitungsvorgänge angeboten werden. Ob ein bestimmtes entgeltliches Modell diesen Maßstab erfüllt, ist vor den Datenschutzbehörden und, bei Torwächtern, nach dem Digital Markets Act weiterhin umstritten.

Sensible Daten, Tracking und Websites Dritter

Das Urteil befasste sich auch mit der Erhebung von Daten von Websites und Apps Dritter über Schnittstellen, Cookies und ähnliche Technologien. Der Gerichtshof entschied: Besucht ein Nutzer Websites oder Apps, die sich auf in Art. 9 Abs. 1 DSGVO genannte Kategorien beziehen, etwa Gesundheit, sexuelle Orientierung, politische Meinungen oder religiöse Überzeugungen, und erhebt der Plattformbetreiber Daten über diese Besuche, verknüpft sie mit dem Konto des Nutzers und verwendet sie, kann dies eine Verarbeitung besonderer Kategorien personenbezogener Daten darstellen. Das gilt, wenn die Verarbeitung es erlaubt, Informationen offenzulegen, die unter eine dieser Kategorien fallen, unabhängig davon, ob die Informationen einen Nutzer des Netzwerks oder eine andere natürliche Person betreffen. Eine solche Verarbeitung ist verboten, sofern keine Ausnahme nach Art. 9 Abs. 2 DSGVO greift.

Der Gerichtshof wies das Argument zurück, Nutzer machten solche Daten schon durch den bloßen Besuch einer Website oder App „offensichtlich öffentlich“. Nur wenn Nutzer Informationen bewusst öffentlich machen, etwa durch Klicken auf eine „Gefällt mir“- oder „Teilen“-Schaltfläche auf einer Seite oder durch das Einloggen mit den Zugangsdaten des sozialen Netzwerks, mit der ausdrücklichen Absicht, sie einer unbegrenzten Zahl von Personen zugänglich zu machen, kann die Ausnahme des Art. 9 Abs. 2 Buchst. e greifen, und selbst dann kommt es auf die individuellen Privatsphäre-Einstellungen an.

Dieser Teil des Urteils ist für jedes Unternehmen relevant, das Tracking-Tools Dritter, Social Plugins oder Software Development Kits in seine Websites und Apps einbindet. Websitebetreiber können für die Erhebung über solche Tools gemeinsam Verantwortliche sein und benötigen eine wirksame Rechtsgrundlage, die beim Tracking nach den Regeln über Cookies und der DSGVO in der Regel eine Einwilligung sein wird.

Die Vollzugslandschaft nach dem Urteil

Das Urteil hat die Behörden ermutigt, Datenpraktiken aus mehreren Blickwinkeln zu betrachten. Die Datenschutzbehörden in Europa haben, koordiniert über den Europäischen Datenschutzausschuss, die Rechtmäßigkeit verhaltensbasierter Werbung und entgeltlicher Alternativen geprüft. Die Europäische Kommission wendet den Digital Markets Act an, der Torwächtern in Art. 5 Abs. 2 untersagt, personenbezogene Daten ohne Einwilligung dienstübergreifend zusammenzuführen. Das Bundeskartellamt nutzt seine Befugnisse nach § 19a GWB in Verfahren gegen mehrere große Digitalunternehmen. Für Unternehmen bedeutet dies, dass dieselbe Datenpraxis in mehreren Verfahren mit unterschiedlichen Abhilfemaßnahmen angegriffen werden kann, von Geldbußen bis zu Verhaltenspflichten.

Der Ausgang des deutschen Verfahrens

Nach dem Urteil des EuGH führte das Düsseldorfer Verfahren zu keiner weiteren Entscheidung in der Sache. Nach dem Jahresrückblick des Bundeskartellamts vom Dezember 2024 hat die Behörde ihr Facebook-Verfahren im Jahr 2024 mit einem Bündel von Maßnahmen abgeschlossen, die den Nutzern deutlich bessere Möglichkeiten geben, darüber zu entscheiden, wie ihre Daten zusammengeführt werden, und ihre Entscheidung ist nun bestandskräftig. In der Praxis hat Meta Wahlmöglichkeiten für Nutzer zur Zusammenführung von Daten über Dienste hinweg und aus externen Quellen eingeführt. Der Fall endete damit mehr als fünf Jahre nach der ursprünglichen Entscheidung mit einem Ergebnis, das wettbewerbsrechtliche und datenschutzrechtliche Ziele verband.

Für das Bundeskartellamt bestätigte der Fall einen Vollzugsansatz, den es seitdem nach § 19a GWB weiterentwickelt hat. Diese Vorschrift erlaubt es, Unternehmen mit überragender marktübergreifender Bedeutung für den Wettbewerb zu benennen und bestimmte Verhaltensweisen zu untersagen, einschließlich bestimmter Formen der dienstübergreifenden Datenverarbeitung ohne ausreichende Wahlmöglichkeiten. Auf EU-Ebene enthält der Digital Markets Act nun für benannte Torwächter ein ähnliches Verbot, personenbezogene Daten ohne Einwilligung über zentrale Plattformdienste hinweg zusammenzuführen.

Lehren für Unternehmen jenseits von Big Tech

Meta gegen Bundeskartellamt ist auch für Unternehmen von Bedeutung, die keine Torwächter sind. Die Auslegung der Rechtsgrundlagen der DSGVO durch das Urteil gilt für jeden Verantwortlichen. Händler mit Kundenbindungsprogrammen, Verlage mit personalisierter Werbung, App-Anbieter und Hersteller vernetzter Geräte sollten prüfen, ob sie sich für Verarbeitungen, die über das für ihren Dienst Unerlässliche hinausgehen, auf vertragliche Erforderlichkeit stützen und ob ihre Interessenabwägungen dem vom Gerichtshof gesetzten Maßstab genügen. Unternehmen mit starker Marktstellung in ihrer Branche sollten sich zudem bewusst sein, dass ihre Datenpraktiken nicht nur von Datenschutzbehörden, sondern auch nach dem Wettbewerbsrecht geprüft werden können.

Das Urteil zeigt außerdem, dass sich regulatorische Risiken überschneiden. Eine einzige Datenpraxis kann von Datenschutzbehörden, Wettbewerbsbehörden und, nach dem Digital Services Act und dem Digital Markets Act, von der Europäischen Kommission überprüft werden. Eine koordinierte Compliance, bei der Datenschutz-, Kartellrechts- und Regulierungsteams neue Datennutzungen gemeinsam bewerten, verringert das Risiko widersprüchlicher Positionen in parallelen Verfahren und das Risiko, dass Zusagen aus einem Verfahren in einem anderen gegen das Unternehmen verwendet werden.

So unterstützt TRW & Co

Wir beraten Unternehmen an der Schnittstelle von Datenschutz- und Wettbewerbsrecht. Wir prüfen Rechtsgrundlagen für datengetriebene Geschäftsmodelle, gestalten Einwilligungs- und Wahlarchitekturen, bewerten Marktmacht und Missbrauchsrisiken und vertreten Mandanten vor dem Bundeskartellamt, den Datenschutzbehörden und den Gerichten. Dabei greifen wir auf unsere Praxisbereiche Kartellrecht, DSGVO und digitale Plattformen zurück; siehe auch unsere Beiträge zu § 19a GWB und zum Digital Markets Act. Bitte kontaktieren Sie uns, um Ihre Datenstrategie zu besprechen. Dieser Beitrag dient der allgemeinen Information und ist keine Rechtsberatung.