Jusletter IT

Die fortschreitende Digitalisierung sowie die zunehmende Verbreitung von Geschäftsmodellen, die auf der Sammlung und Verwertung von (personenbezogenen) Daten aufbauen, führt zu stärkeren Überschneidungen zwischen Datenschutz-, Verbraucherschutz- und Kartellrecht. Prominentes Beispiel hierfür ist das soziale Netzwerk Facebook, das in der Vergangenheit bereits vermehrt Gegenstand datenschutzrechtlicher Entscheidungen war.¹ Jüngst sind die Nutzungsbedingungen des sozialen Netzwerks, die Facebook weitreichende Befugnisse zur Sammlung und Verknüpfung von Daten aus Drittquellen einräumen, in den Fokus der Wettbewerbsbehörden geraten.²

Die Frage, ob Nutzerdaten, die bei der Nutzung des sozialen Netzwerks selbst anfallen («on-Facebook»-Daten) und Nutzerdaten, die aus Drittquellen stammen («off-Facebook»-Daten) unterschiedlich zu bewerten sind, könnte dabei sowohl aus datenschutzrechtlicher als auch aus kartellrechtlicher Sicht eine Rolle spielen. Dabei konzentriert sich der vorliegende Beitrag zunächst auf die (datenschutzrechtliche) Rechtmäßigkeit der Verarbeitung von «on-Facebook»-Daten (s Punkt 2). In einem zweiten Schritt wird die Verarbeitung von «off-Facebook»-Daten untersucht und überprüft, ob bzw inwiefern Wertungen aus dem Datenschutzrecht für das kartellrechtliche Missbrauchsurteil fruchtbar gemacht werden können (s Punkt 3.).

Nachdem Facebook zwischenzeitig öffentlich verkündet hatte dass Privatsphäre keine allgemein anerkannte Norm sei, begann das Unternehmen spätestens ab dem Cambridge Analytica Skandal nach außen hin eine besondere Wertschätzung für die Privatsphäre der Facebook-Nutzer zu präsentieren.

Doch während Mark Zuckerberg, Gründer und Geschäftsführer von Facebook, seine «Privacy-Focused Vision for Social Networking»³ auf einer Aktionärsversammlung vorstellt, argumentiert die Rechtsvertretung des sozialen Netzwerks in einem US-amerikanischen Verfahren, dass es für Daten, die auf sozialen Netzwerken geteilt werden (dh «on-Facebook»-Daten) generell keinen Privatsphärenschutz geben könne:

«There is no serious invasion of privacy at all, because there is no privacy,» [Anm: on social media]⁴ und

«[...] when you disclose your private information to a hundred people, you have no privacy interest in that information.»⁵

Facebook begründet dies damit, dass die Daten, die auf dem sozialen Netzwerk geteilt werden, von den Nutzern öffentlich gemacht wurden, welche daher keine vernünftige Erwartung auf Privatsphäre (reasonable expectation of privacy⁶) haben könnten. Diese Argumentationslinie wird nachfolgend auf ihre Vereinbarkeit mit dem europäischen Datenschutzrecht untersucht (zu den reasonable expecations iZm der Verarbeitung von «off-Facebook» Daten s Punkt 3.3.2.1.).

Das Datenschutzrecht regelt und beschränkt die Zulässigkeit der Verarbeitung personenbezogener Daten. Die weite Formulierung des Art. 4 Z 1 DSGVO definiert personenbezogene Daten als «alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person [...] beziehen [...]». Eine Vielzahl an personenbezogenen Daten ist öffentlich verfügbar. So finden sich über die Autoren auf der öffentlich zugänglichen Website der Universität Wien Name, Arbeitsplatz, idR auch ein Foto oder ein Lebenslauf. Was im Regelfall nicht auf die Website des Arbeitgebers gestellt wird, sind Informationen über die politische Einstellung oder die sexuelle Orientierung und ähnlich sensible Informationen.⁷

Anders verhält es sich mitunter auf sozialen Netzwerken, auf denen der Informationsaustausch anderen «Regeln» unterworfen ist. Auf diesen Plattformen kommt es oft zu einer Vermischung der sozialen Zirkel⁸, sodass Nutzer auch Informationen preisgeben, die sie ansonsten nur in einer kleinen Runde (zB unter Freunden, im Familienkreis) besprochen hätten.

Generell geben auch Menschen, für die der Schutz der Privatsphäre besonders wichtig ist, viele Daten über sich preis (sog. Privacy Paradox⁹). Das hängt unter anderem auch damit zusammen, dass sich der Wert einer (für sich genommen unbedeutenden) Information für die betroffene Person oft nicht abschätzen lässt, da sie die zukünftige Nutzung der Daten sowie die Möglichkeit, (etwa durch Big Data Analytics) weitere Daten aus diesen abzuleiten, nicht kennt.¹⁰ So gibt es Studien¹¹, die beschreiben, wie sich die «Psychometrie»¹² von Personen mittels einfacher Algorithmen ermitteln lässt.¹³ Dabei werden bestimmte Eigenschaften (sog. «Big Five») etwa «Aufgeschlossenheit» und «Geselligkeit» ausgewertet. Anhand von diesen Eigenschaften kann dann Werbung personalisiert angeboten werden. Dies erlaubt etwa unterschiedliche Werbebotschaften für dasselbe Produkt, je nachdem ob die Zielpersonen als extrovertiert oder introvertiert analysiert worden sind.

Während man personalisierter Werbung in dieser Form noch durchaus etwas abgewinnen kann, gibt es auch Anwendungsfälle, die weitaus problematischer sind, etwa die Beeinflussung des Wahlverhaltens: Cambridge Analytica nutzte etwa einen gewaltigen Datensatz¹⁴, um auf der Basis der daraus abgeleiteten psychometrischen Profile gezielte Werbekampagnen mittels «dark ads» (Werbung, die nur für die Zielgruppe sichtbar ist) an Personen zu richten. An diese Daten gelangte Cambridge Analytica vor allem über Facebook. Die in einem derzeit anhängigen US-amerikanischen Verfahren¹⁵ gegen Facebook gerichtete Sammelklage von Facebook-Nutzern hat diese Ermöglichung des Zugriffs für Cambridge Analytica auf Nutzerinformationen durch Facebook zum Gegenstand. Wie erwähnt, argumentiert Facebook in diesem Verfahren, dass es auf der Plattform keine reasonable expectation of privacy (und damit keinen Schutz der Privatsphäre) geben könne, würden doch die Facebook-Nutzer ihre Informationen willentlich mit der Öffentlichkeit teilen.¹⁶ Facebook müsse daher eher wie eine Art Markplatz gesehen werden, auf dem man Informationen publik macht.¹⁷ Damit argumentiert Facebook im Wesentlichen, dass man sich hinsichtlich Informationen, die man öffentlich macht, seines Rechts auf Privatsphäre begibt.

Zunächst mag dieser Ansatz aus europäischer Sicht wie eine Eigenheit des US-amerikanischen Rechts wirken. Interessanterweise gibt es im europäischen und österreichischen Datenschutzrecht Bestimmungen, denen man grundsätzlich, mit Teilen der Literatur, einen solche Bedeutung unterstellen könnte¹⁸:

Zunächst ist hier die Bestimmung des Art. 9 Abs. 2 lit. e DSGVO zu nennen. Art. 9 DSGVO enthält Sonderbestimmungen für die Verarbeitung besonderer Kategorien personenbezogener Daten (zB politische Einstellung, sexuelle Orientierung). Diese besonderen Kategorien personenbezogener Daten genießen besonders hohen Schutz.¹⁹ Art. 9 Abs. 1 DSGVO sieht ein generelles Verbot der Verarbeitung dieser Datenkategorien vor, jedoch werden in dessen Abs. 2 Ausnahmen von diesem generellen Verbot (taxativ) aufgeführt. Eine dieser Ausnahmen ist Art. 9 Abs. 2 lit. e DSGVO. Demnach ist das grundsätzliche Verarbeitungsverbot nicht anwendbar, wenn sich die Verarbeitung auf personenbezogene Daten bezieht, welche die «betroffene Person offensichtlich öffentlich gemacht» hat. Als ein derartiges Öffentlich-Machen wird in der Literatur vereinzelt auch das Teilen mit einer großen, «nicht mehr überschaubaren» Anzahl an Freunden angesehen.²⁰ Eine persönliche Nachricht, die über das soziale Netzwerk übermittelt wird, und das Teilen mit einer überschaubaren Anzahl an Freunden, ist jedoch unstrittigerweise kein «Öffentlich-Machen» iSd Art. 9 Abs. 2 lit. e DSGVO.²¹ Es stellt sich nun die Frage, ob diese Bestimmung alleine bereits eine Rechtsgrundlage für die Verarbeitung personenbezogener Daten bietet.²² In der Literatur ist dies umstritten²³, wohl aber zu verneinen. Auch der EuGH lehnte in seiner Rechtsprechung zur Datenschutzrichtlinie²⁴ Regelungen ab, die die kategorische Unzulässigkeit der Verarbeitung einer bestimmten Kategorie vorsahen und keine Interessenabwägung im Einzelfall erlaubten.²⁵ Auch zur Vorgängerbestimmung in der Datenschutzrichtlinie (Art. 8 DSRL) wird vertreten, dass diese etwa bloß kontextbezogene Mitteilungen an die Öffentlichkeit nicht umfassen sollte.²⁶ Ob daher die jeweiligen, öffentlich verfügbaren Daten verarbeitet werden dürfen, ist somit weiterhin eine im Einzelfall zu beurteilende Abwägungsfrage.

Als weitere Bestimmung muss hier § 1 Abs. 1 des österreichischen DSG²⁷ genannt werden, welche besagt, dass die betroffene Person kein schutzwürdiges Geheimhaltungsinteresse bezüglich jener Daten hat, die «allgemein verfügbar» sind. Trotz mehrerer «Anläufe»²⁸ wurde diese Bestimmung bis dato noch nicht an die DSGVO angepasst.²⁹ Die österreichische Datenschutzbehörde führt hierzu in mittlerweile stRsp (die sich in den letzten zwei Jahren etabliert hat) aus, dass der Umstand, dass Daten (zulässigerweise) öffentlich sind, nur die bloße Reproduktion der Daten erlaubt.³⁰ Eine generelle Ausnahme der Geheimhaltungsinteressen wäre jedoch nicht mit der DSGVO vereinbar.³¹ Sobald aber durch die Kombination von Daten ein informationeller Mehrwert geschaffen wird, oder neue Zwecke mit der Verarbeitung verfolgt werden, braucht es eine eigene Rechtsgrundlage für die Verarbeitung.³²

Um «on-Facebook»-Daten verarbeiten zu dürfen, muss Facebook daher das Vorliegen eines Erlaubnistatbestandes (Art 6 Abs. 1 DSGVO) nachweisen können. Letztgenannte Bestimmungen enthält ua auch die Erlaubnistatbestände der Einwilligung³³, der Vertragserfüllung³⁴ und der berechtigten Interessen³⁵. Gemäß ErwGr. 47 DSGVO sind bei der Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO die vernünftigen Erwartungen der betroffenen Person, die auf ihrer Beziehung zu dem Verantwortlichen beruhen, zu berücksichtigen. Von Teilen der Literatur wird hier vertreten, dass diese vernünftigen Erwartungen (reasonable expectation [of privacy]) unter Bezugnahme auf die US-amerikanische³⁶ oder europäische³⁷ Judikatur beurteilt werden sollten. Aber selbst die Heranziehung der US-Judikatur würde diesbezüglich, wie man den Ausführungen des oben genannten US-Gerichts entnehmen kann,³⁸ jedenfalls nicht dazu führen, dass derartige Erwartungen nicht mehr bestehen, sobald Nutzer personenbezogene Daten auf Facebook teilen. Vielmehr wird dies für jeden Verarbeitungsvorgang und dem damit verbundenen Zweck separat geprüft werden müssen.³⁹

Am Beispiel eines wettbewerbsrechtlichen Verfahrens aus Deutschland wird nachfolgend untersucht, inwiefern diese Erkenntnisse auch auf die Verarbeitung von «off-Facebook»-Daten übertragen werden können.

Nach fast dreijähriger Verfahrensdauer untersagte das deutsche Bundeskartellamt (BKartA) dem sozialen Netzwerk Facebook am 6.2.2019 seine aktuellen Nutzungsbedingungen (inkl. Daten- und Cookie-Richtlinie) weiterzuverwenden, soweit diese Facebook dazu ermächtigen, «off-Facebook»-Daten (d.h. aus Drittquellen) zu sammeln und anschließend mit den Nutzerkonten zu verknüpfen.⁴⁰ Diese Vorgehensweise verstoße gegen zwingende Wertungen des europäischen Datenschutzrechts (DSGVO),⁴¹ worin gleichzeitig ein Verstoß gegen das kartellrechtliche Verbot des Marktmachtmissbrauchs liege.⁴² Die Entscheidung hat international für großes Aufsehen gesorgt, weil das BKartA als erste Wettbewerbsbehörde weltweit einen Marktmachtmissbrauch auf Basis von Verstößen gegen das Datenschutzrecht festgestellt hat. Nur 6 Monate nach der Entscheidung erhob der 1. Kartellsenat des OLG Düsseldorf bereits im Verfahren um den einstweiligen Rechtsschutz nach summarischer Prüfung ernstliche Zweifel an der Rechtmäßigkeit des Beschlusses der Behörde.⁴³ Nach der Ansicht des Gerichts lasse die vom BKartA beanstandete Datenverarbeitung durch Facebook «keinen relevanten Wettbewerbsschaden und auch keine wettbewerbliche Fehlentwicklung besorgen»⁴⁴ (s. Punkt 3.3.2.2.), weshalb der Beschwerde des sozialen Netzwerks aufschiebende Wirkung zuerkannt wurde. Bis zum Abschluss des Beschwerdeverfahrens muss Facebook die Anordnungen des BKartA daher nicht umsetzen.

Die vom BKartA beanstandete Datenverarbeitung durch Facebook erfolgt auf Basis der Nutzungsbedingungen des sozialen Netzwerks. Dabei ist die Einwilligung in die Vertragsformblätter Voraussetzung für die Dienstenutzung. Verbrauchern, die den Konditionen nicht zustimmen, bleibt der Zugang zum sozialen Netzwerk verwehrt (sog. take-it-or-leave-it-Angebot). Die Nutzungsbedingungen enthalten sowohl Regelungen für die Verarbeitung von Daten, die auf Facebook selbst generiert werden («on-Facebook»-Daten), als auch für solche, die das soziale Netzwerk außerhalb von Facebook über deren Nutzer sammelt («off-Facebook»-Daten). Während erstere explizit nicht Gegenstand des Verfahrens sind⁴⁵ (s hierzu aber bereits Punkt 2.), sieht das BKartA den Umfang, in dem Facebook auf Basis seiner Nutzungsbedingungen Daten aus Drittquellen sammelt, aus datenschutz- und kartellrechtlicher Sicht als problematisch an. Diese «off-Facebook»-Daten werden einerseits auf konzerneigenen Diensten wie WhatsApp oder Instagram gesammelt. Andererseits gehören hierzu auch Daten, die aus dem Zugriff der Nutzer auf Drittangebote (Webseiten, Applikationen, etc.) generiert werden.⁴⁶ Die Einbettung von sog «Facebook Business Tools» (bspw. «Gefällt-mir»-Button, «Teilen»-Button, «Facebook-Login», etc.) auf Webseiten oder Applikationen von Drittanbietern über von Facebook vordefinierte Programmierschnittstellen (Application Programming Interfaces, APIs) ermöglicht die sofortige Übertragung einer Vielzahl unterschiedlichster Nutzerdaten an Facebook. Dabei erfolgt der Datentransfer an Facebook selbst dann, wenn der Besucher einer Webseite, die eine entsprechende Schnittstelle eingebunden hat, gar nicht auf die Schnittstelle (wie etwa den «Gefällt-mir»-Button) klickt. Vielmehr werden die Daten bereits im Zeitpunkt des bloßen Aufrufs der Seite bzw. Applikation an Facebook übermittelt.⁴⁷ Diese (Mehr-)Daten⁴⁸ werden vom sozialen Netzwerk anschließend mit den entsprechenden Facebook-Nutzerkonten verknüpft.

Sowohl das BKartA als auch das OLG Düsseldorf sehen Facebook auf dem Markt für soziale Netzwerke in Deutschland⁴⁹ mit einem Marktanteil von über 90% auf Basis der Personen, die Facebook täglich nutzen (daily active users, DAU), als marktbeherrschend an.⁵⁰ Unternehmen in marktbeherrschender Stellung verfügen über einen Verhaltensspielraum, der vom Wettbewerb nicht kontrolliert wird. Dieser Verhaltensspielraum äußert sich typischerweise in Gestalt eines vom Wettbewerb nicht kontrollierten Preissetzungsspielraums. Gerade bei «datengetriebenen» Geschäftsmodellen kann aber auch auf einen wettbewerblich unkontrollierten Datenverarbeitungsspielraum abgestellt werden, der bei Facebook vorliegt.⁵¹ Mit dem Befund der Marktbeherrschung geht einher, dass Facebook unter kartellrechtliche Missbrauchsaufsicht gestellt wird. Das soziale Netzwerk darf seine Marktmacht daher nicht zulasten seiner Wettbewerber (Behinderung) oder Abnehmer (Ausbeutung) (hier: gegenüber seinen Nutzern) missbräuchlich ausnutzen.

Die Sammlung und Verwertung von Daten durch Facebook aus Drittquellen stellt dem BKartA zufolge eine kartellrechtswidrige Ausbeutung der Nutzer in Form eines Konditionenmissbrauchs dar. Letzterer verbietet es Unternehmen in marktbeherrschender Stellung, unangemessene Geschäftsbedingungen (hier: Facebook-AGB)⁵² gegenüber ihren Abnehmern (hier: gegenüber den Facebook-Nutzern) zu erzwingen.⁵³ Dabei erfolgt die Beurteilung der Angemessenheit von Vertragsbedingungen grundsätzlich auf Basis einer umfassenden Abwägung der Interessen von Facebook mit jenen seiner Nutzer.⁵⁴ Das BKartA knüpft dabei explizit an § 19 GWB⁵⁵ und die dazu ergangene Rsp des deutschen BGH an, wonach die Angemessenheit von Geschäftsbedingungen auch anhand zivil-⁵⁶ oder grundrechtlicher Wertungen⁵⁷ überprüft werden kann (sog. «qualitativer Konditionenmissbrauch»⁵⁸). Nach Ansicht des BKartA kann diese Rsp auch auf das Datenschutzrecht übertragen werden. In weiterer Folge überprüft die Behörde die Angemessenheit der Vertragsbestimmungen am Maßstab des europäischen Datenschutzrechts. Dabei prüft das BKartA, ob die Sammlung und -verwertung von «off-Facebook»-Daten durch einen der Erlaubnistatbestände für die Datenverarbeitung (Art. 6 bzw. 9 DSGVO) gerechtfertigt werden kann. Nach umfassender Beurteilung kommt die Behörde zu dem Schluss, dass weder eine wirksame, dh freiwillige, Einwilligung der Nutzer in die Verarbeitung von «off-Facebook» Daten vorliegt, die Verarbeitung nicht notwendig für die Vertragserfüllung ist (dh die Bereitstellung des personalisierten Angebots auch auf Basis von «on-Facebook» Daten möglich ist) sowie kein überwiegendes Interesse von Facebook an der Verarbeitung vorliegt.⁵⁹ Im Rahmen von letzterem Erlaubnistatbestand ist auch die Erwartungshaltung («reasonable expectations») der Nutzer zu berücksichtigen (zu den reasonable expecations iZm der Verarbeitung von «on-Facebook» Daten s bereits Punkt 2.1).⁶⁰ Diese können vernünftigerweise nicht damit rechnen, dass «off-Facebook» Daten im beschriebenen Umfang gesammelt und anschließend mit deren Facebook-Nutzerprofil verknüpft werden.⁶¹

Mangels Erfüllung eines der Erlaubnistatbestände verstößt die Datensammlung durch Facebook gegen das europäische Datenschutzrecht. Das BKartA folgert aus dem Verstoß gegen die DSGVO gleichzeitig die kartellrechtliche Unangemessenheit der AGB von Facebook und damit das Vorliegen eines Marktmachtmissbrauchs.⁶² Dabei fußt die Schadenstheorie der Behörde auf dem Kontrollverlust der Nutzer über ihre Daten.⁶³ Ob auch die Verarbeitung von «on-Facebook»-Daten gegen datenschutzrechtliche Bestimmungen verstößt und/oder gleichzeitig eine missbräuchliche Verhaltensweise iSd Kartellrechts darstellt, lässt die Behörde ausdrücklich offen. In einer Randziffer der Entscheidung lässt das BKartA zwar anklingen, dass sie auch an der Rechtmäßigkeit der «unbegrenzten» Verarbeitung von Daten innerhalb des sozialen Netzwerks zweifle (vgl. auch Punkt 2.2.). Gleichzeitig müssen allerdings auch Effizienzvorteile berücksichtigt werden, die sich für die Nutzer aus der Datensammlung bzw -verarbeitung ergeben. Darüber hinaus habe der Nutzer bis zu einem gewissen Maß Einfluss auf den Umfang der über ihn gesammelten Daten innerhalb des sozialen Netzwerks.⁶⁴

Im Gegensatz zum BKartA sieht das OLG Düsseldorf als Beschwerdegericht im Verhalten von Facebook keinen Verstoß gegen das Verbot des Marktmachtmissbrauchs, weil kein Schaden für den Wettbewerb zu besorgen sei.⁶⁵ Die datenschutzwidrigen Vertragskonditionen seien vielmehr auf das zwischen Facebook und seinen Nutzern bestehende bilaterale Ungleichgewicht zurückzuführen,⁶⁶ als «auf einen durch Marktbeherrschung in seiner Wettbewerbsstruktur bereits geschwächten Markt»⁶⁷.

Eine Ausbeutung der Nutzer auf Basis der Hingabe ihrer Daten liege nach Ansicht des Beschwerdegerichts nicht vor. Anders als das BKartA, geht das OLG von einer wirksamen Einwilligung der Nutzer in die Verarbeitung von «off-Facebook»-Daten aus. Die Nutzer würden die mit der Registrierung auf Facebook verbundenen Vor- und Nachteile «unbeeinflusst und vollkommen autonom»⁶⁸ gegeneinander abwägen, weshalb die Datenverarbeitung mit «Wissen und Wollen und damit [...] unter Kontrolle»⁶⁹ des Nutzers erfolge. Begründet wird Wirksamkeit der Einwilligung damit, dass die Mehrheit der deutschen Bevölkerung Facebook ohnehin nicht nutze, weshalb die Teilnehmer nicht «abhängig» von Facebook seien und es in deren freien Ermessen stehe, in die AGB einzuwilligen.⁷⁰ Folgt man dieser Argumentationslinie, könnte allerdings jeder Vorwurf eines Marktmachtmissbrauchs letztlich damit entkräftet werden, dass ein wesentlicher Teil der Nachfrager das Angebot des Marktbeherrschers nicht nutzt.⁷¹ Neben dem Vorliegen einer vermeintlich wirksamen Einwilligung, werde der Nutzer durch die Datenpreisgabe nicht (wirtschaftlich) geschwächt, weil die Daten ohnedies reproduzierbar seien, so das OLG.⁷² Dem kann entgegengesetzt werden, dass der Nutzer gerade mit Blick auf «off-Facebook»-Daten nicht weiß, welche Daten genau über ihn gesammelt werden und auch keinen Zugriff auf diese hat. Aus diesem Grund erscheint es zumindest fraglich, ob die Daten durch den Nutzer tatsächlich ohne Weiteres dupliziert werden können.⁷³

Im Ergebnis vollzieht das OLG Düsseldorf eine Kehrtwende und verneint im Gegensatz zum BKartA einen Marktmachtmissbrauch. Das Gericht betont, dass alleine aus der Rechtswidrigkeit einer Vertragskondition (hier: Verstoß gegen Datenschutzrecht) nicht gefolgert werden könne, dass ein Kartellverstoß vorliege.⁷⁴ Ähnlich wie die vom BKartA herangezogene Rsp des deutschen BGH, wonach auch außerkartellrechtliche Wertungen in die kartellrechtliche Analyse miteinbezogen werden können, könnte allerdings auch die Entscheidung des EuGH iS Allianz Hungaria⁷⁵ verstanden werden. Betreffend eines Vorabentscheidungsersuchens des ungarischen Obersten Gerichtshofs urteilte der EuGH, dass ein Rechtsverstoß (hier: Verstoß gegen Verbraucherschutzrecht) als Maßstab dafür dienen kann, dass auch ein Wettbewerbsverstoß (hier: bezweckte Wettbewerbsbeeinträchtigung iSd Art. 101 AEUV) vorliegt. Diese Entscheidung wird in der Literatur teilweise dahingehend interpretiert, dass das Wettbewerbsrecht für externe Einflüsse geöffnet wird.⁷⁶ Daraus kann allerdings nicht abgeleitet werden, dass jeder Rechtsverstoß gleichzeitig auch einen Marktmachtmissbrauch darstellt.⁷⁷ Dies würde zu einer Ausuferung des Ausbeutungstatbestands führen und dem Zweck des Kartellrechts, der im Schutz des Wettbewerbs als Institution und nicht im Schutz der Verbraucher vor Verstößen gegen Normen aus anderen Rechtsbereichen liegt, klar zuwiderlaufen. Anders könnte dies bei wiederholten bzw. systematischen Verstößen gegen außerwettbewerbliche Normen (wie etwa DSGVO-Verstöße) durch marktbeherrschende Unternehmen zu beurteilen sein.⁷⁸

In der Zwischenzeit hat das BKartA gegen die Entscheidung des OLG Düsseldorf Rechtsbeschwerde an den BGH angekündigt.⁷⁹ Sollte das Gericht in der Hauptsache zum gleichen Ergebnis wie im Eilverfahren kommen,⁸⁰ ist wohl davon auszugehen, dass das BKartA auch die Entscheidung im Hauptverfahren vor dem BGH bekämpfen wird. Geht man davon aus, dass der Fall – neben § 19 GWB – (auch) in den Anwendungsbereich von Art. 102 AEUV fällt,⁸¹ kann der Senat des OLG Düsseldorf bzw. jener des BGH den EuGH zur Vorabentscheidung anrufen.⁸² Insofern bleibt der Ausgang der Verfahren rund um die Verarbeitung von «off-Facebook»-Daten durch das soziale Netzwerk mit Spannung abzuwarten.

Die Rechtmäßigkeit der Verarbeitung von personenbezogenen Daten durch Facebook setzt das Vorliegen eines der Erlaubnistatbestände nach Art. 6 bzw. 9 DSGVO voraus. Dies gilt sowohl für die Verarbeitung von «on-Facebook»-Daten als auch für die Verarbeitung von «off-Facebook»-Daten. Wie gezeigt, kann das Fehlen eines wirksamen Rechtfertigungsgrundes nach der DSGVO nicht nur datenschutzrechtliche, sondern auch wettbewerbsrechtliche Folgen nach sich ziehen. Angesichts der im Fall der Zuwiderhandlung angedrohten Geldbußen nach der DSGVO einerseits sowie möglicher Kartellgeldbußen andererseits,⁸³ ist Facebook gut beraten, Verhaltensweisen, die den Umgang mit (Nutzer-)Daten betreffen, kritisch zu überdenken.