Jusletter IT

Art. 101 AEUV¹ bzw. § 1 KartG² verbieten Vereinbarungen zwischen Unternehmen, Beschlüsse von Unternehmensvereinigungen und aufeinander abgestimmte Verhaltensweisen, die eine Beschränkung des Wettbewerbs bezwecken oder bewirken. Zur Konkretisierung wird das Kartellverbot um eine Liste von Beispieltatbeständen ergänzt. Die koordinierte Festsetzung von An- oder Verkaufspreisen ist Teil dieses Beispielkatalogs und ist unstrittig eine kartellrechtswidrige Absprache.³

Kündigen bspw. zwei führende Online-Datingplattformen an, ihre monatlichen Mitgliedsbeiträge gegenüber ihren Nutzern auf einen einheitlichen Betrag von jeweils EUR 10 festzusetzen, stellt dies eine per se unzulässige Preisabsprache nach Art. 101 Abs. 1 lit. a AEUV bzw. § 1 Abs. 2 Z. 1 KartG dar. Wie ist jedoch das folgende Szenario zu bewerten? Online-Datingplattformen schließen eine Vereinbarung, nach der zum Schutz der Privatsphäre gänzlich auf den Verkauf von Nutzerdaten verzichtet wird, um einen neuen einheitlichen (Datenschutz)Standard für die gesamte Online-Dating Industrie zu etablieren. Aus Sicht des Verbraucher- sowie Datenschutzes erscheinen solche Praktiken grundsätzlich begrüßenswert, weil hochsensible Nutzerdaten vor Werbetreibenden besser geschützt werden. Aus kartellrechtlicher Sicht stellt sich jedoch eine zentrale Frage: Stellt eine Reform der Datenschutzpraktiken im eben beschriebenen Sinn eine kartellrechtswidrige Vereinbarung über die Einhaltung derselben Datenschutzstandards dar (sog. Privacy Fixing)?⁴ Wie diese Frage zu beantworten ist, hängt vor allem davon ab, ob der Schutz der Privatsphäre einen (nicht-preisbezogenen) Wettbewerbsfaktor darstellt, der dann Gegenstand einer kartellrechtswidrigen Vereinbarung sein kann.

Um Internetdienste kartellrechtlich zu beurteilen, ist es unerlässlich, ein Verständnis für das Funktionieren zwei- bzw. mehrseitiger Märkte zu entwickeln. Viele Geschäftsmodelle der digitalen Wirtschaft basieren auf dem Konzept mehrseitiger Plattformen. Dieses Phänomen beschreibt die gleichzeitige Bedienung mehrerer Gruppen von Nachfragern (durch einen Anbieter), die mittels indirekter (Netzwerk)Effekte aufeinander einwirken.⁵ Ein Netzwerkeffekt wirkt dann indirekt, wenn der Nutzen der Plattform für eine Nutzergruppe (bspw. für die Händler oder Werbetreibenden) von der Größe einer anderen Nutzergruppe (bspw. der Verbraucher) abhängt.⁶ Je attraktiver der auf der Plattform angebotene Inhalt, desto interessanter ist die Plattform für die Nutzer und desto attraktiver wird sie auch für Werbekunden.

Eine Besonderheit zweiseitiger Plattformen liegt darin, dass die Nutzer für die Inanspruchnahme der Plattformleistung regelmäßig keinen bzw. nur einen sehr geringen monetären Preis entrichten. Die eigentliche Bezahlung erfolgt durch die Preisgabe persönlicher Daten⁷ oder indem den Inhalten und der Werbung der Plattform Aufmerksamkeit geschenkt wird.⁸ Die aus den Daten gewonnenen Informationen versetzen den Plattformbetreiber in die Lage, zielgerichtet Werbung zu schalten sowie sein Produkt- bzw. Dienstleistungsportfolio zu erweitern und zu verbessern.⁹ Überdies manifestiert sich bei zahlenden Nutzergruppen wie bspw Werbeanbietern die Bereitschaft zur Mehrbezahlung für nutzerorientierte Werbung. Die vom einzelnen Internetnutzer – mehr oder weniger freiwillig – zur Verfügung gestellten Daten fungieren im Internet als eine Art Zahlungsmittel.¹⁰ Insofern stellen Daten einen unerlässlichen Inputfaktor für digitale Geschäftsmodelle dar¹¹ und spielen eine entscheidende Rolle für den wirtschaftlichen Erfolg von Unternehmen im Wettbewerb.¹²

Der Datenbegriff ist selbstverständlich nicht nur für die Internetökonomie von herausragender Bedeutung. Die Besonderheit der Digitalwirtschaft liegt allerdings in der Menge an Daten, auf der viele Geschäftsmodelle basieren. Aus diesem Grund sind Daten sowie damit verbundene Verhaltensweisen wohl erst durch die Erfassung von Internetsachverhalten in den Fokus wettbewerblicher Ermittlungen gerückt.¹³

Daten sind durch ökonomische Besonderheiten gekennzeichnet: Sie können zur gleichen Zeit durch mehrere Unternehmen erhoben und genutzt werden und sind damit nicht-rivalisierend.¹⁴ Zudem sind Daten regelmäßig nicht exklusiv. Die Sammlung von Daten durch ein Unternehmen schließt andere Marktakteure grundsätzlich nicht davon aus, ebendiese Daten zu sammeln und einen korrespondierenden Datenbestand aufzubauen.¹⁵ Daten sind ubiquitär und können in ihrer Gesamtheit von keinem Unternehmen ausschließlich besessen werden.¹⁶ Darüber hinaus sind Daten nicht verbrauchbar. Von wenigen Ausnahmen abgesehen, sind Daten daher mehrfach nutzbar bzw anwendbar.¹⁷ Zudem besteht die Möglichkeit, Daten von dritten Parteien (sog. Data Broker) zuzukaufen.¹⁸

Für den wirtschaftlichen Erfolg von Unternehmen dürfen Datenmenge, -qualität und -verfügbarkeit allerdings nicht überbewertet werden.¹⁹ Zwar sind Daten eine notwendige Ressource für die Entwicklung datenbasierter Geschäftsmodelle. Sie stellen jedoch zunächst nur eine Abfolge von Zeichen (z.B. Zahlen, Buchstaben, Symbolen, etc.) dar, die nach bestimmten Regeln (Syntax) zusammengesetzt werden und auf einem beliebigen Datenträger (Papier, Festplatte, externer Server, etc.) niedergelegt sind.²⁰ Aus diesem Grund sind sie in unaufbereiteter Form für das Unternehmen im Wettbewerb meist wertlos oder von nur geringem wirtschaftlichen Nutzen.²¹ Erst wenn Daten durch den jeweiligen Kontext ein Bedeutungsgehalt (Semantik) zugewiesen werden kann, spricht man von Informationen.²² Maßgeblich ist insofern die Fähigkeit des Unternehmens – mithilfe entsprechender Technologien – die für das jeweilige Geschäftsmodell relevanten Informationen aus den gesammelten Datenbeständen zu extrahieren und diese anschließend gewinnbringend zu verwerten.²³ Dabei ist zu berücksichtigen, dass Daten bzw. die ihnen innewohnenden wirtschaftlich wertvollen Informationen eine relativ kurze Halbwertszeit aufweisen und angesichts der Dynamik digitaler Märkte schnell veralten.²⁴ Aktuelle Informationen sind demnach weit wertvoller als historische.

Die Datenschutzpolitik von Unternehmen und damit der Umgang mit (Nutzer)Daten stellt – ähnlich wie die Produktqualität – einen nicht-preisbezogenen Wettbewerbsfaktor dar.²⁵ Die Qualität des Angebots von Internetplattformen kann u.a. daran gemessen werden, ob dieses datenschutzfreundlich ausgestaltet ist oder nicht.²⁶ Verbraucher, die besonderen Wert auf einen sensiblen Umgang mit ihren Nutzerdaten legen, sind geneigt, Anbieter zu wählen, die nur wenige Daten erheben. Insofern kann die Bereitstellung datenschutzfreundlicher Angebote Nutzer attraktivieren, weshalb Unternehmen um die Einhaltung hoher Datenschutzstandards miteinander in Wettbewerb treten.

Nutzer von kostenlosen Internetplattformen legen ihre persönlichen Daten regelmäßig offen, um von den Vorteilen des digitalen Angebots möglichst schnell und unkompliziert profitieren zu können. Dabei nehmen die Internetnutzer die mit der Preisgabe ihrer persönlichen Daten einhergehenden (datenschutzrechtlichen) Risiken und Gefahren oft in Kauf.²⁷

Gleichzeitig sind Verbraucher über die übermäßige Sammlung und Verwertung ihrer persönlichen Daten besorgt und fordern die Beachtung ihrer Privatsphäre (sog. Privacy Paradox).²⁸ Insofern spielt die Einhaltung von Datenschutzstandards eine entscheidende Rolle für die Bildung und Stärkung des Vertrauens der Öffentlichkeit in Staat und privatwirtschaftliche Unternehmen.²⁹ Anbieter, die datenschutzrechtliche Vorgaben einhalten, profitieren im Wettbewerb grds. von erhöhter Unternehmens- und Markenreputation.

Im Bereich kostenloser Internetdienste werden datensparsame Angebote von den Nutzern allerdings nicht zwingend als qualitativ hochwertig eingestuft.³⁰ Studien³¹ zeigen, dass Konsumenten bereits für einen kleinen (Preis-)Nachlass bereit sind, persönliche Daten preiszugeben. Wieder andere Forschungsergebnisse zeigen, dass Konsumenten unter bestimmten Voraussetzungen bereit sind, einen höheren Preis für mehr Privatsphäre zu bezahlen.³²

Die Heterogenität der Studienergebnisse lässt sich darauf zurückführen, dass die Inhalte vieler Internetplattformen immer stärker am jeweiligen Nutzer orientiert sind, weshalb sich die Qualität eines digitalen Dienstes auch nicht verallgemeinern lässt. Zudem variiert die Sensibilität der Nutzer in Bezug auf den Umgang mit ihren Daten stark.³³ Manche Nutzer ziehen kostenfreie Dienste jenen vor, die mit weniger Daten auskommen und umgekehrt. Dies hat zur Folge, dass der Schutz der Privatsphäre als Qualitätsfaktor eines digitalen Dienstes von verschiedenen Nutzergruppen unterschiedlich bewertet werden kann.³⁴ Im Gegensatz zu Preissenkungen, die von den Konsumenten grundsätzlich als für sie vorteilhaft wahrgenommen werden, ist das Konzept einer «besseren» bzw. einer umfangreicheren Privatsphäre nicht immer klar.³⁵ Insofern erscheint die Ermittlung eines geeigneten Maßstabes problematisch, anhand dessen die Qualität der jeweiligen Datenschutzpolitik des Unternehmens (als Wettbewerbsfaktor) bewertet werden kann.

Der Versuch von Internetplattformen, mit datensparsamen Angeboten bzw. mit hohen Datenschutzstandards bei Verbrauchern zu punkten, ist bislang weitgehend erfolglos geblieben.³⁶ Dies ist u.a. darauf zurückzuführen, dass Verbrauchern aufgrund der hohen Marktkonzentration in der Digitalökonomie oft keine alternativen Ausweichmöglichkeiten zur Verfügung stehen, die die gleiche Qualität oder Nutzerdichte wie etablierte Unternehmen aufweisen. Zudem senken Netzwerkeffekte, die die Stellung marktstarker Unternehmen weiter verfestigen, den Anreiz für Unternehmen, datenschutzfreundliche Produkte, Dienstleistungen oder Technologien zu entwickeln.³⁷ Insofern besteht im Zusammenhang mit der Datenschutzpolitik der Unternehmen auch die Gefahr eines race to the bottom, wonach die Missachtung von datenschutzrechtlichen Standards sowie die wettbewerbswidrige Erschleichung von Daten ein Ausdruck von Marktmacht sein kann.³⁸

Geht man von einem Konditionenwettbewerb zwischen Unternehmen um den besten Datenschutz aus (siehe Punkt 4.), kommt zwangsläufig auch dem Datenschutzrecht als gesetzgeberischer Begrenzung unternehmerischer Verhaltensspielräume maßgebliche Bedeutung zu. Datenschutzrecht zielt zwar grds. nicht auf die Regulierung von Märkten ab, kann dies aber unter Umständen bewirken und sich auf den Wettbewerb auswirken bzw. diesen verzerren.³⁹

Konkurrieren Unternehmen um den bestmöglichen Schutz der Privatsphäre, können sich unterschiedliche Datenschutzstandards verschiedener Staaten als problematisch erweisen. Plattformbetreibern aus weniger datensensiblen Jurisdiktionen kann ein Wettbewerbsvorteil gegenüber jenen Anbietern zukommen, die strengeren Datenschutzregelungen unterliegen.⁴⁰ Dieses Problem soll durch die neue EU-Datenschutzgrundverordnung⁴¹ («EU-DSGVO»), die ab dem 25. Mai 2018 in der Europäischen Union gilt⁴² und ein wettbewerblich einheitliches level playing field für Unternehmen der Internetbranche schaffen soll, zumindest auf europäischer Ebene gelöst werden.⁴³

«Wenn Daten so etwas wie die ‹Währung des Internets› sind, ist Datenschutz dann eine Art staatliche Preisregulierung?»⁴⁴. Dieser von Körber⁴⁵ aufgeworfene (plakative) Vergleich hat etwas für sich. Je mehr Konstellationen durch die Vorgaben des Datenschutzrechts und damit des Staats abschließend erfasst werden, desto weniger Raum bleibt für den unternehmerischen Wettbewerb um die Einhaltung hoher Datenschutzstandards. Das nationale Datenschutzrecht wirkt damit indirekt auch als Regulativ des Wettbewerbs um den besten Datenschutz.

In Zeiten von Big Data ist es einerseits wichtig, die Daten der Bürger vor unbefugten Eingriffen Dritter zu schützen. Andererseits läuft ein besonders restriktives Datenschutzregime, das die ökonomische Dimension von Daten für Geschäftsmodelle der digitalen Wirtschaft verkennt, Gefahr, den technisch-innovativen Fortschritt zu bremsen und die Wettbewerbsfähigkeit der europäischen Wirtschaft zu beeinträchtigen.⁴⁶ Zu strenge Maßstäbe bergen das Risiko, Verbrauchern Geschäftsmodelle der digitalen Wirtschaft vorzuenthalten oder Internetnutzern einen monetären Preis aufzudrängen, obwohl diese bei freier Wahl die Offenlegung ihrer persönlichen Daten präferiert hätten.

Sog. Opt-In-Modelle ermöglichen Verbrauchern bessere Kontrolle über ihre Daten, weil die (rechtmäßige) Verwendung von Nutzerdaten dann von der ausdrücklichen Zustimmung der Nutzer abhängt.⁴⁷ Problematisch ist hierbei allerdings, dass eine obligatorische Einwilligung der Nutzer zu einer Bevorteilung bestimmter Geschäftsmodelle führen kann. So könnten bspw. Werbedienste, die mit dem Nutzer nicht direkt in Kontakt stehen und ihre Daten durch anonymisiertes Tracking erheben, gegenüber Anbietern mit Registrierungspflicht benachteiligt werden, die die Zustimmung der Nutzer im Rahmen des Registrierungsprozesses einholen.⁴⁸ Spontane kostenlose Geschäftsmodelle werden durch Opt-In-Ansätze, die die Nutzung eines Dienstes von der vorherigen Nutzerregistrierung abhängig machen, ausgeschlossen bzw. deren Nutzung zumindest wesentlich verkompliziert.⁴⁹ Alternativ sind für viele Internetdienste sog. Opt-Out-Modelle verfügbar, nach denen sich Nutzer bspw. von bestimmten Maßnahmen, die in deren Privatsphäre eingreifen (bspw. Tracking), ausnehmen lassen können.⁵⁰

Letztlich kann sich ein zu strenger Datenschutz als Marktzutrittsschranke für neue Marktakteure erweisen. ⁵¹ Dies gilt vor allem für Datenschutzstandards, die es Unternehmen verbieten, ihre Daten zu teilen⁵² oder es neuen Anbietern auf andere Weise de facto unmöglich machen, Datenbestände in einem Ausmaß aufzubauen, die für die (Weiter-)Entwicklung von Geschäftsmodellen der digitalen Wirtschaft erforderlich sind.

Dasselbe gilt auch für datenschutzrechtliche Vorgaben, die Anbieter mit hohen Kosten belasten.⁵³ In diesem Zusammenhang ist auf das Recht auf Datenportabilität nach Art. 20 EU-DSGVO hinzuweisen. Unter bestimmten Voraussetzungen hat jede Person das Recht, «die sie betreffenden personenbezogenen Daten, die sie einem Verantwortlichen bereitgestellt hat, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten, […].» Die Vorschrift dient dazu, die Übertragung von Kundendaten auf andere Unternehmen zu ermöglichen. Aus wettbewerblicher Sicht trägt die Bestimmung dazu bei, mögliche Lock-In-Effekte abzuschwächen, Wechselkosten zu senken sowie die Marktstellung jener Unternehmen, die auf der Sammlung und Verwertung von Daten aufbaut, angreifbarer zu machen.⁵⁴

Problematisch ist allerdings die Kostenlast, die mit der Aufbereitung der Daten in einem den Vorgaben der Verordnung entsprechenden Format und deren anschließender Portierung verbunden sind. Gerade für Start-Ups sowie für KMUs kann der Aufwand und die Kosten für die Entwicklung einer entsprechenden Portierungssoftware eine Hürde für den Markteintritt darstellen.⁵⁵ Einer Studie⁵⁶ zufolge zieht die Umsetzung der EU-DSGVO für kleine und mittlere Unternehmen jährliche IT-Mehrkosten nach sich, die – abhängig von der jeweiligen Industrie – zwischen EUR 3'000 und EUR 7'200 pro Unternehmen liegen und damit 16–40% des durchschnittlichen IT-Jahresbudgets ausmachen.

Während ein zu strenger Datenschutz zu Marktzutrittsschranken führen kann (siehe Punkt 5.4.), birgt ein zu geringer Datenschutz die Gefahr, dem Plattformbetreiber Verhaltensspielräume zu belassen, mit denen ebenfalls kartellrechtliche Probleme einhergehen können.⁵⁷ Mithilfe verschiedenster Technologien (Internet-Cookies, Referral-Links, Tracking Bugs, Device- oder Browser-Fingerprinting) ist es Unternehmen bspw. möglich, die Internetaktivitäten der Nutzer – insb. ihr Konsum- und Suchverhalten – zu verfolgen.⁵⁸ Auf diese Weise kann das Verhalten der Nutzer analysiert und deren Zahlungsbereitschaft bestimmt werden.

Es ist eine gängige Praxis vieler Internetplattformen, Preisniveaus in Online-Shops mit grenzüberschreitendem Zugang anhand der länderspezifischen Bonität bestimmter Bevölkerungsgruppen festzulegen und unterschiedliche Preise für dasselbe Produkt an Verbraucher verschiedener Herkunft zu verrechnen. Diese Handelspraxis wird – mithilfe von Geo-Tracking-Tools – regelmäßig durch Blockierung des Zugangs zu oder der unumkehrbaren Weiterleitung auf Websites anderer Mitgliedstaaten oder durch Verweigerung grenzüberschreitender Lieferung oder Zahlung realisiert.⁵⁹ Gleichermaßen kommen technische Vorkehrungen zum Einsatz, die die Zugehörigkeit des Nutzers zu einem anderen Mitgliedsstaat erkennen und ohne Weiterleitung im selben Shop automatisch einen anderen Gesamtpreis ausweisen.

Derartige Differenzierungen können neben der künstlichen Aufteilung des Binnenmarkts in den Anwendungsbereich des Kartellverbots nach Art. 101 AEUV fallen. Dies gilt insb. für Geoblocking-Maßnahmen, die auf Vereinbarungen oder abgestimmten Verhaltensweisen zwischen unterschiedlichen Unternehmen beruhen, die darauf abzielen, nationale Grenzen abzuschotten oder die gegenseitige Durchdringung der nationalen Märkte zu erschweren.⁶⁰ Darüber hinaus können nationale Preisdifferenzierungen in Online-Shops zulasten von Nutzern fremder Herkunft diskriminierend und damit missbräuchlich im Sinne des Kartellrechts sein. Das Verbot des Marktmachtmissbrauchs nach Art. 102 AEUV verbietet es Unternehmen nämlich, Abnehmer durch die Festsetzung unterschiedlicher Preise unmittelbar oder bloß mittelbar unbillig zu diskriminieren.⁶¹ Ende November 2017 haben sich Unterhändler des Europäischen Parlaments, der Mitgliedstaaten und der Kommission darauf geeinigt, dass ungerechtfertigtes Geoblocking im Online-Handel in bestimmten Konstellationen verboten wird.⁶²

Die wettbewerbliche Relevanz von Daten für Geschäftsmodelle der Digitalökonomie ist unbestritten.⁶³ Nutzer, die besonderen Wert auf den sensiblen Umgang mit ihren Daten legen, greifen vermehrt auf datensparsame Dienste zurück. Die Datenschutzpolitik von Unternehmen bzw. der Umgang mit (Nutzer)Daten stellt damit einen nicht-preisbezogenen Wettbewerbsfaktor dar. Unternehmen konkurrieren um den bestmöglichen Schutz der Privatsphäre und versuchen, sich durch datenschutzfreundliche Angebote von ihren Wettbewerbern abzugrenzen.

Der Wettbewerb um den bestmöglichen Schutz der Privatsphäre wird durch Vereinbarungen, wonach sich zwei Unternehmen verpflichten, dieselben Datenschutzstandards einzuhalten, beschränkt (sog. Privacy Fixing). Das trifft bspw. auf die eingangs beschriebene Angleichung der Datenschutzpolitik zweier Online-Datingplattformen zu. Vereinbarungen dieser Art sind im Ergebnis nicht anders zu bewerten als kartellrechtlich verpönte Preisabsprachen. Absprachen zwischen Unternehmen über die Einhaltung derselben Datenschutzstandards verstoßen damit – ebenso wie Preisabsprachen – gegen das Kartellverbot. Kartellrechtliche Verantwortlichkeit kann sich in diesem Zusammenhang auch insb. für Unternehmensvereinigungen ergeben, die Datenschutzstandards festlegen, die über bloß unverbindliche Empfehlungen hinausgehen.⁶⁴ Ob und inwiefern Privacy Fixing zukünftig Eingang in kartellrechtliche Verfahren findet, bleibt insofern mit Spannung abzuwarten. Aufgrund der fortschreitenden Digitalisierung rückt der Problemkreis rund um den Umgang mit Daten jedenfalls zunehmend in den Fokus der Wettbewerbsbehörden.