Urteil : Prüfungskompetenz von Kartellbehörden bezüglich der Verletzung von Datenschutzvorschriften : aus der RDV 5/2023 Seite 323 bis 326

4. Art. 6 Abs. 1 UAbs. 1 Buchst. b) der Verordnung 2016/679 ist dahin auszulegen, dass die Verarbeitung personen‑ bezogener Daten durch den Betreiber eines sozialen On‑ line-Netzwerks, die darin besteht, dass Daten der Nut‑ zer eines solchen Netzwerks, die aus anderen Diensten des Konzerns, zu dem dieser Betreiber gehört, stammen oder sich aus dem Aufruf dritter Websites oder Apps durch diese Nutzer ergeben, erhoben, mit dem jeweili‑ gen Nutzerkonto des sozialen Netzwerks verknüpft und verwendet werden, nur dann als im Sinne dieser Vor‑ schrift für die Erfüllung eines Vertrags, dessen Vertragsparteien die betroffenen Personen sind, erforderlich angesehen werden kann, wenn diese Verarbeitung objektiv unerlässlich ist, um einen Zweck zu verwirklichen, der notwendiger Bestandteil der für diese Nutzer bestimmten Vertragsleistung ist, so dass der Hauptgegenstand des Vertrags ohne diese Verarbeitung nicht erfüllt werden könnte.
5. Art.  6 Abs.  1 UAbs.  1 Buchst.  f) der Verordnung 2016/679 ist dahin auszulegen, dass die Verarbeitung personen‑ bezogener Daten durch den Betreiber eines sozialen On‑ line-Netzwerks, die darin besteht, dass Daten der Nutzer eines solchen Netzwerks, die aus anderen Diensten des Konzerns, zu dem dieser Betreiber gehört, stammen oder sich aus dem Aufruf dritter Websites oder Apps durch diese Nutzer ergeben, erhoben, mit dem jeweiligen Nutzerkonto des sozialen Netzwerks verknüpft und verwendet werden, nur dann als zur Wahrung der berechtigten Inte‑ ressen des Verantwortlichen oder eines Dritten erforder‑ lich im Sinne dieser Vorschrift angesehen werden kann, wenn der fragliche Betreiber den Nutzern, bei denen die Daten erhoben wurden, ein mit der Datenverarbeitung verfolgtes berechtigtes Interesse mitgeteilt hat, wenn diese Verarbeitung innerhalb der Grenzen dessen erfolgt, was zur Verwirklichung dieses berechtigten Interesses absolut notwendig ist und wenn sich aus einer Abwägung der einander gegenüberstehenden Interessen unter Würdigung aller relevanten Umstände ergibt, dass die Interessen oder Grundrechte und Grundfreiheiten dieser Nutzer gegenüber dem berechtigten Interesse des Verantwortlichen oder eines Dritten nicht überwiegen. […]
6. Art. 6 Abs. 1 UAbs. 1 Buchst. a) und Art. 9 Abs. 2 Buchst. a) der Verordnung 2016/679 sind dahin auszulegen, dass der Umstand, dass der Betreiber eines sozialen On‑ line-Netzwerks eine beherrschende Stellung auf dem Markt für soziale Online-Netzwerke einnimmt, für sich genommen nicht ausschließt, dass die Nutzer eines solchen Netzwerks im Sinne von Art. 4 Nr. 11 dieser Verordnung wirksam in die Verarbeitung ihrer personen‑ bezogenen Daten durch diesen Betreiber einwilligen können. Gleichwohl ist dieser Umstand ein wichtiger Aspekt für die Prüfung, ob die Einwilligung tatsächlich wirksam, insbesondere freiwillig, erteilt wurde, wofür der betreffende Betreiber die Beweislast trägt.

Zu den Vorlagefragen:

Zur ersten und siebten Vorlagefrage:

Die in der DS-GVO enthaltenen Vorschriften über die Zusammenarbeit richten sich […] nicht an die nationalen Wettbewerbsbehörden, sondern regeln die Zusammenarbeit zwischen den betreffenden nationalen Aufsichtsbehörden und der federführenden Aufsichtsbehörde sowie gegebenenfalls die Zusammenarbeit dieser Behörden mit dem Europäischen Datenschutzausschuss und der Kommission.

Weder die DS-GVO noch ein anderes Instrument des Unionsrechts sehen spezifische Regeln für die Zusammenarbeit zwischen einer nationalen Wettbewerbsbehörde und den betroffenen nationalen Aufsichtsbehörden oder der federführenden Aufsichtsbehörde vor. Außerdem verbietet keine Bestimmung der DS-GVO den nationalen Wettbewerbsbehörden, im Rahmen der Wahrnehmung ihrer Pflichten festzustellen, dass eine Datenverarbeitung, die von einem Unternehmen in beherrschender Stellung vorgenommen wird und möglicherweise einen Missbrauch dieser Stellung darstellt, nicht mit dieser Verordnung vereinbar ist.

Insoweit ist erstens klarzustellen, dass die Aufsichtsbehörden einerseits und die nationalen Wettbewerbsbehörden andererseits unterschiedliche Pflichten wahrnehmen und jeweils eigene Ziele und Aufgaben verfolgen.

Zum einen besteht nämlich […] nach Art.  51 Abs.  1 und 2 sowie Art. 57 Abs. 1 Buchst. a) und g) DS-GVO die Hauptaufgabe der Aufsichtsbehörde darin, die Anwendung dieser Verordnung zu überwachen und durchzusetzen und gleichzeitig zu ihrer einheitlichen Anwendung in der Union beizutragen, und zwar mit dem Ziel, die Grundrechte und Grundfreiheiten natürlicher Personen bei der Verarbeitung ihrer personenbezogenen Daten zu schützen und den freien Verkehr solcher Daten in der Union zu erleichtern. […]

Zum anderen sind die nationalen Wettbewerbsbehörden nach Art. 5 der Verordnung Nr. 1/2003 u.a. für den Erlass von Entscheidungen zuständig, mit denen der Missbrauch einer beherrschenden Stellung durch ein Unternehmen im Sinne von Art. 102 AEUV festgestellt wird, wobei das Ziel der letztgenannten Vorschrift darin besteht, ein System zu errichten, das den Wettbewerb innerhalb des Binnenmarkts vor Verfälschungen schützt, auch unter Berücksichtigung der Folgen eines solchen Missbrauchs für die Verbraucher im Binnenmarkt.

Wie der Generalanwalt in Nr. 23 seiner Schlussanträge im Wesentlichen ausgeführt hat, muss eine Wettbewerbsbehörde beim Erlass einer solchen Entscheidung anhand aller besonderen Umstände des Einzelfalls beurteilen, ob das Verhalten des Unternehmens in beherrschender Stellung die Aufrechterhaltung des auf dem Markt bestehenden Grades an Wettbewerb oder die Entwicklung des Wettbewerbs durch den Einsatz von Mitteln behindert, die von den Mitteln eines normalen Produkt- oder Dienstleistungswettbewerbs abweichen (vgl. in diesem Sinne Urteil vom 25. März 2021, Deutsche Telekom/Kommission, C 152/19 P, EU:C:2021:238, Rn. 41 und 42). Insoweit kann die Vereinbarkeit oder Unvereinbarkeit eines solchen Verhaltens mit den Bestimmungen der DS-GVO gegebenenfalls – als Teil der relevanten Umstände des Einzelfalls – ein wichtiges Indiz sein, um festzustellen, ob dieses Verhalten den Einsatz von Mitteln eines normalen Wettbewerbs darstellt, und um die Folgen einer bestimmten Praxis auf dem Markt oder für die Verbraucher zu beurteilen.

Zweitens ist jedoch darauf hinzuweisen, dass in dem Fall, dass eine nationale Wettbewerbsbehörde es im Rahmen einer Entscheidung über den Missbrauch einer beherrschenden Stellung für erforderlich hält, darüber zu befinden, ob eine Verarbeitung personenbezogener Daten durch das betreffende Unternehmen mit der DS-GVO vereinbar ist, diese Behörde und die betreffende Aufsichtsbehörde oder gegebenenfalls die zuständige federführende Aufsichtsbehörde im Sinne dieser Verordnung zusammenarbeiten müssen, um eine kohärente Anwendung der Verordnung zu gewährleisten. […]

Unter Berücksichtigung dieses Grundsatzes sind die nationalen Wettbewerbsbehörden, wenn sie in Ausübung ihrer Zuständigkeiten zu prüfen haben, ob ein Verhalten eines Unternehmens mit den Bestimmungen der DS-GVO vereinbar ist, somit verpflichtet, sich abzustimmen und loyal mit den betreffenden nationalen Aufsichtsbehörden bzw. der federführenden Aufsichtsbehörde zusammenzuarbeiten. […]

Hält es eine nationale Wettbewerbsbehörde im Rahmen der Prüfung, ob ein Unternehmen eine beherrschende Stellung im Sinne von Art. 102 AEUV missbraucht, für erforderlich, die Vereinbarkeit eines Verhaltens dieses Unternehmens mit den Bestimmungen der DS-GVO zu prüfen, so muss sie daher ermitteln, ob dieses oder ein ähnliches Verhalten bereits Gegenstand einer Entscheidung durch die zuständige nationale Aufsichtsbehörde oder die federführende Aufsichtsbehörde oder auch durch den Gerichtshof war. […]

Wenn sie Zweifel hinsichtlich der Tragweite der von der zuständigen nationalen Aufsichtsbehörde bzw. der federführenden Aufsichtsbehörde vorgenommenen Beurteilung hat, wenn das in Rede stehende Verhalten oder ein ähnliches Verhalten gleichzeitig Gegenstand einer Prüfung durch diese Behörden ist oder wenn sie bei Nichtvorliegen einer Untersuchung dieser Behörden der Auffassung ist, dass das Verhalten eines Unternehmens nicht mit den Bestimmungen der DS-GVO vereinbar ist, muss die nationale Wettbewerbsbehörde diese Behörden konsultieren und um deren Mitarbeit bitten, um ihre Zweifel auszuräumen oder zu klären, ob sie eine Entscheidung der betreffenden Aufsichtsbehörde abwarten muss, bevor sie mit ihrer eigenen Beurteilung beginnt. […]

Zur zweiten Vorlagefrage:

Zu Frage 2 Buchst. a):

[…] Für die Zwecke der Anwendung von Art. 9 Abs. 1 DS-GVO ist im Fall einer Verarbeitung personenbezogener Daten durch den Betreiber eines sozialen Online-Netzwerks zu prüfen, ob diese Daten die Offenlegung von Informationen ermöglichen, die unter eine der in dieser Bestimmung genannten Kategorien fallen, unabhängig davon, ob diese Informationen einen Nutzer dieses Netzwerks oder eine andere natürliche Person betreffen. Ist dies der Fall, ist eine solche Verarbeitung personenbezogener Daten vorbehaltlich der in Art.  9 Abs.  2 DS-GVO vorgesehenen Ausnahmen untersagt. […]

Im vorliegenden Fall besteht die im Ausgangsverfahren in Rede stehende Verarbeitung durch Meta Platforms Ireland erstens in der Erhebung personenbezogener Daten der Nutzer des sozialen Netzwerks Facebook, wenn diese Nutzer Websites oder Apps – einschließlich solcher, die Informationen offenbaren können, die unter eine oder mehrere der in Art. 9 Abs. 1 DS-GVO genannten Kategorien fallen – aufrufen und dort gegebenenfalls Informationen eingeben, indem sie sich registrieren oder Online-Bestellungen aufgeben, zweitens in der Verknüpfung dieser Daten mit dem jeweiligen Nutzerkonto des sozialen Netzwerks und drittens in der Verwendung dieser Daten. […]

Zu Frage 2 Buchst. b):

[…] Folglich ist für die Zwecke der Anwendung der in Art. 9 Abs.  2 Buchst.  e) DS-GVO vorgesehenen Ausnahme zu prüfen, ob die betroffene Person die Absicht hatte, die fraglichen personenbezogenen Daten ausdrücklich und durch eine eindeutige bestätigende Handlung der breiten Öffentlichkeit zugänglich zu machen.

Insoweit ist zum einen hinsichtlich des Aufrufs von Websites oder Apps mit Bezug zu einer oder mehreren der in Art. 9 Abs. 1 DS-GVO genannten Kategorien festzustellen, dass der betreffende Nutzer mit diesem Aufruf keineswegs beabsichtigt, die Tatsache, dass er diese Websites oder Apps aufgerufen hat, und die diesen Aufruf betreffenden Daten, die seiner Person zugeordnet werden können, öffentlich zu machen. Er kann allenfalls damit rechnen, dass der Betreiber der Website bzw. der App Zugang zu diesen Daten hat und sie gegebenenfalls, sofern der Nutzer ausdrücklich einwilligt, an bestimmte Dritte, nicht aber an die breite Öffentlichkeit, weiterleitet. […]

Zum anderen ist in Bezug auf die Handlungen, die darin bestehen, Daten auf diesen Websites oder in diesen Apps einzugeben und darin eingebundene Schaltflächen zu betätigen – wie etwa „Gefällt mir“ oder „Teilen“ oder Schaltflächen, die es dem Nutzer ermöglichen, sich auf einer Website oder in einer App unter Verwendung der Anmeldedaten, die mit seinem Facebook-Nutzerkonto, seiner Telefonnummer oder seiner E Mail-Adresse verknüpft sind, zu identifizieren –, darauf hinzuweisen, dass mit diesen Handlungen eine Interaktion zwischen dem Nutzer und der betreffenden Website oder App und gegebenenfalls der Website des sozialen Online-Netzwerks einhergeht, wobei die Öffentlichkeit dieser Interaktion unterschiedliche Formen annehmen kann, da der Nutzer insoweit individuelle Einstellungen vornehmen kann.

Vor diesem Hintergrund wird das vorlegende Gericht zu prüfen haben, ob die betreffenden Nutzer die Möglichkeit haben, mit Hilfe von in Kenntnis der Sachlage vorgenommenen Einstellungen zu entscheiden, ob sie die auf den fraglichen Websites bzw. in den fraglichen Apps eingegebenen Daten sowie die Daten, die sich aus der Betätigung der in diese Websites oder Apps eingebundenen Schaltflächen ergeben, der breiten Öffentlichkeit oder vielmehr einem mehr oder weniger begrenzten Kreis ausgewählter Personen zugänglich machen.

Haben die betreffenden Nutzer tatsächlich eine solche Wahl, so kann, wenn sie Daten aus freien Stücken auf einer Website oder in einer App eingeben oder darin eingebundene Schaltflächen betätigen, nur dann davon ausgegangen werden, dass sie im Sinne von Art. 9 Abs. 2 Buchst. e) DS-GVO Daten, die sie betreffen, offensichtlich öffentlich machen, wenn sie – was das vorlegende Gericht zu prüfen haben wird – durch in voller Kenntnis der Sachlage vorgenommene individuelle Einstellungen klar ihre Entscheidung zum Ausdruck gebracht haben, dass diese Daten einer unbegrenzten Zahl von Personen zugänglich gemacht werden sollen. […]

Zu den Frage drei bis fünf:

Im vorliegenden Fall nennt das vorlegende Gericht im Rahmen der Rechtfertigungsgründe, die in den Anwendungsbereich [von Art.  6 Abs.  1 UAbs.  1 Buchst.  b) DS-GVO] fallen könnten, als Gesichtspunkte, die die angemessene Erfüllung des zwischen Meta Platforms Ireland und ihren Nutzern geschlossenen Vertrags gewährleisten sollen, die Personalisierung der Inhalte sowie die durchgängige und nahtlose Nutzung der Dienste des Meta-Konzerns.

Was erstens die auf die Personalisierung der Inhalte gestützte Rechtfertigung betrifft, so ist eine solche Personalisierung für den Nutzer zwar insofern von Nutzen, als sie es u.a. ermöglicht, dass ihm ein Inhalt angezeigt wird, der weitgehend seinen Interessen entspricht. Gleichwohl erscheint die Personalisierung der Inhalte – vorbehaltlich der Überprüfung durch das vorlegende Gericht – nicht erforderlich, um dem Nutzer die Dienste des sozialen Online-Netzwerks anzubieten. Diese Dienste können gegebenenfalls in Form einer gleichwertigen Alternative an ihn erbracht werden, die nicht mit einer solchen Personalisierung verbunden ist, so dass diese nicht objektiv unerlässlich ist, um einen Zweck zu verwirklichen, der notwendiger Bestandteil der Dienste ist.

Was zweitens die Rechtfertigung mit der durchgängigen und nahtlosen Nutzung der Dienste des Meta-Konzerns anbelangt, so geht aus den dem Gerichtshof vorliegenden Akten hervor, dass keine Verpflichtung besteht, sich für die verschiedenen vom Meta-Konzern angebotenen Dienste anzumelden, um im sozialen Netzwerk Facebook ein Nutzerkonto einrichten zu können. Die verschiedenen von diesem Konzern angebotenen Produkte und Dienste können vielmehr unabhängig voneinander genutzt werden, und die Nutzung jedes Produkts oder Dienstes beruht jeweils auf dem Abschluss eines gesonderten Nutzungsvertrags. […]

Im vorliegenden Fall verweist das vorlegende Gericht im Rahmen der Rechtfertigungsgründe, die in den Anwendungsbereich von Art. 6 Abs. 1 UAbs. 1 Buchst. f) DS-GVO fallen könnten, auf die Personalisierung der Werbung, die Netzwerksicherheit, die Produktverbesserung, die Information von Strafverfolgungs- und Strafvollstreckungsbehörden, die etwaige Minderjährigkeit des Nutzers, Forschung und Innovation für soziale Zwecke sowie das an Werbekunden und sonstige Geschäftspartner gerichtete Angebot von Dienstleistungen für die Marketing-Kommunikation mit dem Nutzer und von Analyseinstrumenten, die es ihnen ermöglichen, ihre Leistungen zu bewerten. […]

Was erstens die Personalisierung der Werbung betrifft, ist darauf hinzuweisen, dass nach dem 47. Erwägungsgrund der DS-GVO die Verarbeitung personenbezogener Daten zum Zweck der Direktwerbung als eine einem berechtigten Interesse des Verantwortlichen dienende Verarbeitung betrachtet werden kann.

Darüber hinaus muss eine solche Verarbeitung aber auch zur Verwirklichung dieses Interesses erforderlich sein, und die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person dürfen gegenüber diesem Interesse nicht überwiegen. […]

Zweitens stellt das Ziel der Gewährleistung der Netzsicherheit, wie aus dem 49. Erwägungsgrund der DS-GVO hervorgeht, ein berechtigtes Interesse von Meta Platforms Ireland dar, das geeignet ist, die im Ausgangsverfahren in Rede stehende Verarbeitung zu rechtfertigen.

Was drittens das Ziel der Produktverbesserung betrifft, so kann nicht von vornherein ausgeschlossen werden, dass das Interesse des Verantwortlichen, sein Produkt oder seine Dienstleistung zu verbessern, um es bzw. sie leistungsstärker und damit attraktiver zu machen, ein berechtigtes Interesse darstellen kann, mit dem sich eine Verarbeitung personenbezogener Daten rechtfertigen lässt, und dass eine solche Verarbeitung zur Verfolgung dieses Interesses erforderlich sein kann. […]

Zur sechsten Frage:

Insoweit ist festzustellen, dass der Umstand, dass der Betreiber eines sozialen Online-Netzwerks als für die Verarbeitung Verantwortlicher eine beherrschende Stellung auf dem Markt für soziale Netzwerke einnimmt, zwar für sich genommen nicht ausschließt, dass die Nutzer dieses sozialen Netzwerks im Sinne von Art. 4 Nr. 11 DS-GVO wirksam in die Verarbeitung ihrer personenbezogenen Daten durch diesen Betreiber einwilligen können.

Gleichwohl muss, wie der Generalanwalt in Nr. 75 seiner Schlussanträge im Wesentlichen ausgeführt hat, ein solcher Umstand bei der Beurteilung der Wirksamkeit, insbesondere der Freiwilligkeit, der Einwilligung des Nutzers dieses Netzwerks berücksichtigt werden, da er geeignet ist, die Wahlfreiheit des Nutzers zu beeinträchtigen, der möglicherweise, wie es im 42. Erwägungsgrund der DS-GVO heißt, nicht in der Lage ist, seine Einwilligung zu verweigern oder zu widerrufen, ohne Nachteile zu erleiden.

Außerdem kann aufgrund einer solchen beherrschenden Stellung zwischen der betroffenen Person und dem Verantwortlichen ein klares Ungleichgewicht im Sinne des 43. Erwägungsgrundes der DS-GVO bestehen, wodurch es u.a. leichter wird, Bedingungen durchzusetzen, die für die Erfüllung des Vertrags nicht unbedingt erforderlich sind, was gemäß Art. 7 Abs. 4 DS-GVO zu berücksichtigen ist. […]

Außerdem ist es in Anbetracht des Umfangs der fraglichen Datenverarbeitung und ihrer erheblichen Auswirkungen auf die Nutzer dieses Netzwerks sowie angesichts des Umstands, dass diese Nutzer vernünftigerweise nicht damit rechnen können, dass andere Daten als die, die ihr Verhalten innerhalb des sozialen Netzwerks betreffen, von dessen Betreiber verarbeitet werden, im Sinne des 43. Erwägungsgrundes der DS-GVO angebracht, dass eine Einwilligung gesondert für die Verarbeitung der letztgenannten Daten einerseits und die Off-Facebook-Daten andererseits erteilt werden kann. […]