DSGVO: Bundeskartellamt weist Facebook in die Schranken

Die umfängliche Datensammlung durch Online-Plattformen und soziale Medien, wie sie vor allem Facebook betreibt, ist Datenschützern seit langem ein Dorn im Auge. Nun hat sich auch das Bundeskartellamt eingeschaltet und es Facebook untersagt, die auf der eigenen Plattform gesammelten Nutzerdaten ohne Einwilligung mit denen anderer Dienste zusammenzuführen. Das Argument der Kartellwächter: Der Konzern nutze seine Marktmacht unzulässig aus.

Facebook-User ermöglichen es dem Konzern heute nicht nur, die Spuren aufzulesen, die sie bei Facebook selbst hinterlassen, sondern auch, diese mit Daten aus weiteren zu Facebook gehörigen Anwendungen wie Whatsapp oder Instagram zusammenzuführen sowie selbst solchen Daten, die gesammelt werden, wenn der Nutzer im Internet surft oder Apps auf dem Handy nutzt. Die Nutzugsbedingungen von Facebook sehen dies heute ausdrücklich vor.

Marktmacht missbraucht

In der „faktisch grenzenlosen Sammlung und Zuordnung von Nicht-Facebook-Daten“, wie Bundeskartellamtspräsident Mundt es formuliert hat, sieht das Kartellamt einen Missbrauch der Marktmacht. Künftig soll Facebook deshalb über konzerneigene Dienste wie WhatsApp und Instagram weiterhin Daten sammeln, sie aber nur dann mit den Facebook-Daten zusammenführen dürfen, wenn der Nutzer eingewilligt hat. Auch für die Kombination mit Daten anderer besuchter Websites soll eine Einwilligung erforderlich sein.

Aus datenschutzrechtlicher Sicht richtet sich die Zulässigkeit der Zusammenführung der Datenbestände durch Facebook nach der seit Mai 2018 in der gesamten Europäischen Union geltenden Datenschutzgrundverordnung (DSGVO). Danach dürfen personenbezogene Daten eines Nutzers aus verschiedenen Quellen – wie hier Facebook, Whatsapp, Instagram bzw. die Nutzungsdaten von Webseiten – tatsächlich nur zusammengeführt werden, wenn der Nutzer über die geplante Zusammenführung informiert wurde und ihr aktiv und freiwillig zugestimmt hat.

Freiwillig eingewilligt?

Ob Facebook eine solche Einwilligung wirksam einholt, darf bezweifelt werden. Denn zwar fordert Facebook die Nutzer unter Hinweis auf die eigenen Privatsphäreeinstellungen auf der Plattform immer wieder einmal auf, der weiteren Datenverarbeitung zuzustimmen. Diese „Zustimmung“ erfüllt jedoch nicht die Anforderungen der DSGVO an die Freiwilligkeit der Einwilligung – wer nicht einwilligt, dem verweigert Facebook nämlich die (Weiter-)Nutzung des Dienstes komplett.

Es ist also durchaus denkbar, dass auch die Datenschutzbehörden über kurz oder lang ein Bußgeld gegen die Facebook Ireland Ltd. oder die Whatsapp Inc verhängen werden. Die DSGVO sieht einen Bußgeldrahmen von bis zu 20 Millionen Euro oder 4 Prozent des Konzernjahresumsatzes vor. Ein Indiz dafür, dass nun auch die amerikanischen IT-Giganten von den Bußgeldern getroffen werden können, ist die kürzlich ergangene Entscheidung der französischen Datenschutzbehörde CNIL, die gegen Google ein Bußgeld von 50 Millionen Euro verhängt hat. Mit zunehmender Bedeutung datenbasierter Geschäftsmodelle wird nun also der europäische Datenschutz auch gegenüber Unternehmen von außerhalb der EU durchgesetzt; die DSGVO zeigt zunehmend ihre Wirkung.

Nutzer über Rechte informieren

Es ist durchaus möglich, datenbasierte oder digitale Geschäftsmodelle so zu gestalten, dass sie mit der DSGVO und mit den datenschutz- und wettbewerbsrechtlichen Vorgaben vereinbar sind. Dies setzt voraus, dass sich Unternehmen, die solche Geschäftsmodelle betreiben oder planen, mit den rechtlichen Anforderungen intensiv auseinandersetzen und diese auch umsetzen. Neben der Prüfung, ob die jeweilige Datenverarbeitung überhaupt zulässig ist, müssen sie den Nutzer aufgrund der hohen Transparenzanforderungen, die die DSGVO stellt, stets detailliiert über Zweck und Legitimationsgrundlage der Datenverarbeitung wie auch über seine Rechte informieren. Soweit eine Zusammenführung verschiedener Datenquellen nicht im Rahmen einer Vertragsabwicklung erforderlich ist, wird der Betroffene hier stets einwilligen müssen.

Mehrzahl nimmt Datensammlung in Kauf

Nutzer von Facebook, Whatsapp oder Instagram müssen sich auf Grundlage der neuesten Erkenntnisse nun fragen, ob sie die ungefragte Zusammenführung ihrer Nutzerdaten hinnehmen wollen. Wenn nicht, bleibt nur die Abmeldung von den Netzwerken oder die Geltendmachung eigener Rechte. Die DSGVO sieht hier weitgehende Betroffenenrechte einschließlich etwaiger Ansprüche auf Schadenersatz vor. Die bisherigen Erfahrungen zeigen allerdings, dass die weit überwiegende Mehrzahl der Nutzer die Kommunikations- und Informationsmöglichkeiten der Sozialen Medien vorziehen und etwaige datenschutzrechtliche Risiken oder Unwägbarkeiten billigend in Kauf nehmen. Nutzerseitig wird sich daher vermutlich nicht so viel ändern.

Umso mehr gilt es, die aktuellen wie künftigen Maßnahmen der Datenschutz- und Kartellbehörden zu beobachten. Die von ihnen angestoßenen Verfahren sind ein wirksames Mittel, dass sich die rechtlichen Anforderungen an digitale und datenbasierte Geschäftsmodelle zunehmend konkretisieren.

Über den Autor: Dr. Carsten Ulbricht ist Rechtsanwalt und Partner der Kanzlei Menold Bezler in Stuttgart; er berät zum IT- und Internetrecht sowie zum Datenschutzrecht.