{"id":4308,"date":"2019-02-07T11:03:30","date_gmt":"2019-02-07T10:03:30","guid":{"rendered":"https:\/\/www.cr-online.de\/blog\/?p=4308"},"modified":"2019-02-07T15:43:39","modified_gmt":"2019-02-07T14:43:39","slug":"das-19-rad-am-wagen-das-kartellamt-masst-sich-befugnisse-an-und-legt-die-dsgvo-fragwuerdig-aus","status":"publish","type":"post","link":"https:\/\/www.cr-online.de\/blog\/2019\/02\/07\/das-19-rad-am-wagen-das-kartellamt-masst-sich-befugnisse-an-und-legt-die-dsgvo-fragwuerdig-aus\/","title":{"rendered":"Das 19. Rad am Wagen:  Das Kartellamt ma\u00dft sich Befugnisse an und legt die DSGVO fragw\u00fcrdig aus"},"content":{"rendered":"<p>In \u201eHintergrundinformationen\u201c erl\u00e4utert das <em>Bundeskartellamt<\/em> (<em>BKartA<\/em>) seine heutige <em>Facebook<\/em>-Entscheidung (<a href=\"https:\/\/www.bundeskartellamt.de\/SharedDocs\/Publikation\/DE\/Pressemitteilungen\/2019\/07_02_2019_Facebook_FAQs.pdf?__blob=publicationFile&amp;v=5\" target=\"_blank\" rel=\"noopener\"><em>BKartA<\/em>, &#8222;<span style=\"font-size: medium;\">Bundeskartellamt untersagt Facebook die Zusammenf\u00fchrung von Nutzerdaten aus verschiedenen Quellen&#8220;<\/span>, PM v. 7.2.2019<\/a>). Die Entscheidung beruht auf einer ebenso eigenwilligen wie fragw\u00fcrdigen Interpretation des neuen europ\u00e4ischen Datenschutzrechts. Dass ein deutsches Kartellamt bei der Anwendung der DSGVO vorprescht und die f\u00fcr den Datenschutz zust\u00e4ndigen Beh\u00f6rden links \u00fcberholt, wird nicht allen Datensch\u00fctzern gefallen.<\/p>\n<p><b><span style=\"font-size: medium;\">Ansatz des BKartA<\/span><\/b><\/p>\n<p>Bei der Umsetzung der Datenschutz-Grundverordnung (DSGVO) hat es Deutschland besonders schwer. Anders als in den anderen EU-Staaten, in denen es jeweils eine zentrale Datenschutzbeh\u00f6rde gibt, gibt es hierzulande 18 Aufsichtsbeh\u00f6rden, die sich auf gemeinsame Leitlinien verst\u00e4ndigen m\u00fcssen. W\u00e4hrend sich die deutschen Datensch\u00fctzer in zahlreichen Sitzungen um ein gemeinsames Verst\u00e4ndnis des neuen Rechts bem\u00fchen, \u00fcberholt das <em>BKartA <\/em>jetzt von links:<\/p>\n<p style=\"padding-left: 90px;\">Die deutschen Wettbewerbsh\u00fcter meinen, <em>Facebook<\/em> d\u00fcrfe seine Dienste in der jetzigen Form nur noch betreiben, wenn die Nutzer einer Datensammlung \u201efreiwillig\u201c zustimmen.<\/p>\n<ul>\n<li><span style=\"text-decoration: underline;\">Tats\u00e4chlicher Hintergrund:<\/span><\/li>\n<\/ul>\n<p style=\"padding-left: 30px;\">In dem <em>BKartA<\/em>-Fall geht es um die Zusammenf\u00fchrung von <em>Facebook<\/em>-Daten mit anderen Daten, die beispielsweise \u00fcber <em>Instagram<\/em> oder <em>WhatsApp<\/em> oder auch \u00fcber den \u201eGef\u00e4llt mir\u201c-Button erhoben werden. Die Zusammenf\u00fchrung dieser Daten ist laut den <em>Facebook<\/em>-Datenschutzbestimmungen erforderlich, um den Dienst in der jetzigen Form anzubieten. Als Rechtsgrundlage kommen daf\u00fcr die Vertragserf\u00fcllung (Art. 6 Abs. 1 Satz 1 lit. b DSGVO), aber auch berechtigte Interessen (Art. 6 Abs. 1 Satz 1 lit. f DSGVO) in Betracht. Auf Einwilligungen verzichtet <em>Facebook<\/em>, seitdem die DSGVO wirksam geworden ist.<\/p>\n<ul>\n<li><span style=\"text-decoration: underline;\">Freiwilligkeit einer Einwilligung:<\/span><\/li>\n<\/ul>\n<p style=\"padding-left: 30px;\">Der Verzicht auf Einwilligungen entspricht einer verbreiteten Lesart der DSGVO. Die DSGVO erkennt Einwilligungen in vielen F\u00e4llen nicht mehr an. Bei einem \u201eklaren Ungleichgewicht\u201c zwischen Anbieter und Nutzer ist die Einwilligung laut Erw\u00e4gungsgrund 43 im Zweifel nicht als \u201efreiwillig\u201c anzusehen und damit unwirksam. Ob sich dar\u00fcber hinaus aus diesem Erw\u00e4gungsgrund und aus Art. 7 Abs. 4 DSGVO ein striktes \u201eKopplungsverbot\u201c ableiten l\u00e4sst, ist unter Datenschutzrechtlern h\u00f6chst umstritten (vgl. nur den fr\u00fchen \u00dcberblick von <a href=\"https:\/\/online.otto-schmidt.de\/db\/dokument?id=itrb.2017.02.a.02\" target=\"_blank\" rel=\"noopener\"><em>H\u00e4rting<\/em>, &#8222;<span class=\"match\">Kopplungsverbot<\/span> nach der DSGVO&#8220;, ITRB 2017, 42<\/a>).<\/p>\n<ul>\n<li><span style=\"text-decoration: underline;\">Folge eines Kopplungsverbots:<\/span><\/li>\n<\/ul>\n<p style=\"padding-left: 30px;\">Ein \u201eKopplungsverbot\u201c w\u00fcrde bedeuten, dass jede Einwilligung, die bei Vertragsschluss abgegeben wird, unwirksam ist, wenn sie sich auf Daten erstreckt, die f\u00fcr den jeweiligen Dienst nicht \u201eerforderlich\u201c sind. Zugleich verlangt die DSGVO f\u00fcr \u201eerforderliche\u201c Daten keine Einwilligung, da diese Daten auf der Grundlage des Art. 6 Abs. 1 Satz 1 lit. b DSGVO verarbeitet werden d\u00fcrfen.<\/p>\n<ul>\n<li><span style=\"text-decoration: underline;\">Tendenz in datenschutzrechtlicher Beratung:<\/span><\/li>\n<\/ul>\n<p style=\"padding-left: 30px;\">Seit dem Inkrafttreten der DSGVO empfehlen viele Berater, im Zweifel auf Einwilligungen zu verzichten, um keine rechtlichen Risiken einzugehen. Diese Sichtweise vertritt beispielsweise auch die britische Datenschutzbeh\u00f6rde vertreten, die dazu r\u00e4t, die Einholung von Einwilligungen nur in Erw\u00e4gung zu ziehen, wenn keine andere Rechtsgrundlage (\u201eno other lawful basis\u201c) in Betracht kommt (<a href=\"https:\/\/ico.org.uk\/for-organisations\/guide-to-data-protection\/guide-to-the-general-data-protection-regulation-gdpr\/consent\/when-is-consent-appropriate\/\" target=\"_blank\" rel=\"noopener\"><em>ICO<\/em>, &#8222;When is consent appropriate?&#8220;<\/a>).<\/p>\n<p style=\"padding-left: 30px;\">In die lebhafte Debatte um DSGVO-Einwilligungen mischt sich jetzt das deutsche Kartellamt ein, das von einem datenschutzrechtlichen Kopplungsverbot anscheinend nichts wissen m\u00f6chte. Eine h\u00f6chst eigenwillige Interpretation der DSGVO, die vielen deutschen Datensch\u00fctzern nicht gefallen wird.<\/p>\n<p><strong>Folgefragen<\/strong><\/p>\n<p>Die heutige Entscheidung des <em>Bundeskartellamts<\/em> wirft auch dar\u00fcber hinaus zahlreiche Fragen auf:<\/p>\n<ul>\n<li>Wie kann es sein, dass europ\u00e4ische Datenschutzbeh\u00f6rden vereint das neue Datenschutzrecht durchsetzen sollen und sich jetzt links von deutschen Wettbewerbsh\u00fctern \u00fcberholen lassen?<\/li>\n<li>Warum gilt die Entscheidung nur f\u00fcr deutsche Nutzer, nicht jedoch f\u00fcr die Nutzer aus anderen Staaten der EU?<\/li>\n<li>Weshalb stimmen sich europ\u00e4ische Beh\u00f6rden bei Entscheidungen zum neuen Datenschutzrecht nicht besser ab?<\/li>\n<\/ul>\n<p>Es sei einmal unterstellt, dass das deutsche Kartellamt <em>Facebook<\/em> zurecht Marktbeherrschung unterstellt hat. Es sei des Weiteren unterstellt, dass das Kartellamt das sperrige neue Datenschutzrecht mit all seinen schwierigen, streitigen und unergr\u00fcndeten Auslegungsfragen fehlerfrei angewendet hat. Und es sei unterstellt, dass die Datenverarbeitungspraktiken, die die Kartellh\u00fcter anprangern, tats\u00e4chlich gegen die DSGVO versto\u00dfen. Selbst dann bleibt gen\u00fcgend Raum f\u00fcr Kritik:<\/p>\n<ul>\n<li><strong>Einsch\u00e4tzung des<span style=\"text-decoration: underline;\"> <em>BKartA<\/em>:<\/span><\/strong><\/li>\n<\/ul>\n<p style=\"padding-left: 30px;\">Das <em>Bundeskartellamt<\/em> meint, f\u00fcr die (vermeintlichen) Datenschutzverst\u00f6\u00dfe sei eine missbr\u00e4uchliche Ausnutzung der marktbeherrschenden Stellung von <em>Facebook<\/em> verantwortlich. <em>Facebook<\/em> habe den Nutzern, die nicht ohne weiteres zu einer Konkurrenzplattform wechseln k\u00f6nnen, <span style=\"text-decoration: underline;\">datenschutzwidrige \u201eKonditionen\u201c<\/span> aufoktroyiert (vgl. \u00a7 19 GWB).<\/p>\n<ul>\n<li><strong>Kritik:<\/strong><\/li>\n<\/ul>\n<p style=\"padding-left: 30px;\"><span style=\"text-decoration: underline;\"><em>Pflichtinformationen:<\/em><\/span><br \/>\nDies bereits geht an den tats\u00e4chlichen und rechtlichen Gegebenheiten vorbei. Die DSGVO schreibt <em>Facebook<\/em> \u2013 wie jedem anderen Datenverarbeiter \u2013 vor, Datenschutzinformationen zu ver\u00f6ffentlichen. Es handelt sich nicht um Kleingedrucktes, dem der Nutzer \u2013 \u201efriss oder stirb\u201c \u2013 zustimmen muss. Vielmehr schreiben Art. 13 und 14 DSGVO dem Datenverarbeiter umfangreiche Informationen vor, ohne dass der Nutzer diesen Informationen in irgendeiner Weise zustimmt. Soweit das Kartellamt die gesetzlich vorgeschriebenen Informationen in \u201eKonditionen&#8220; (=Gesch\u00e4ftsbedingungen) umdeutet und als datenschutzwidrig anprangert, unterliegen die Wettbewerbsh\u00fcter einem schwerwiegenden Missverst\u00e4ndnis zentraler Anforderungen der DSGVO.<\/p>\n<p style=\"padding-left: 30px;\"><span style=\"text-decoration: underline;\"><em>Kompetenz der Datenschutzaufsicht:<\/em><\/span><br \/>\nW\u00fcrden zudem die von <em>Facebook<\/em> ver\u00f6ffentlichten Datenschutzrichtlinien \u2013 wie das Kartellamt meint \u2013 mannigfaltige Datenschutzverst\u00f6\u00dfe dokumentieren, h\u00e4tten die europ\u00e4ischen Datenschutzbeh\u00f6rden seit Jahren geschlafen. Sp\u00e4testens seit dem Wirksamwerden der Datenschutz-Grundverordnung (DSGVO) am 25.5.2018 h\u00e4tte man von den gut ger\u00fcsteten Datensch\u00fctzern Ma\u00dfnahmen gegen <em>Facebook<\/em> und saftige Bu\u00dfgelder erwartet. Der Bu\u00dfgeldrahmen der DSGVO reicht bis zu 4 % des Jahresumsatzes eines Unternehmens. Warum wurden nicht l\u00e4ngst schon Bu\u00dfgelder in Millionenh\u00f6he verh\u00e4ngt?<\/p>\n<p style=\"padding-left: 30px;\"><span style=\"text-decoration: underline;\"><em>Unt\u00e4tigkeit der Datenschutzaufsicht statt Marktmacht:<\/em><\/span><br \/>\nW\u00e4re es richtig, dass <em>Facebooks<\/em> angeprangerte Praktiken gegen die DSGVO versto\u00dfen, l\u00e4ge dies nicht an der Marktmacht des amerikanischen Unternehmens, sondern am fehlenden Handeln der Datenschutzbeh\u00f6rden, deren Aufgabe es ist, gegen Datenschutzverst\u00f6\u00dfe vorzugehen. H\u00e4tten die Kartellh\u00fcter mit ihrer datenschutzrechtlichen Einsch\u00e4tzung recht, w\u00e4ren nicht <em>Facebooks<\/em> Marktanteile das Problem, sondern die Unt\u00e4tigkeit der f\u00fcr den Datenschutz zust\u00e4ndigen Beh\u00f6rden.<\/p>\n<p style=\"padding-left: 30px;\"><span style=\"text-decoration: underline;\"><em>Logikfehler:<\/em><\/span><br \/>\nDass eine Marktdominanz <em>Facebook<\/em> Datenschutzverst\u00f6\u00dfe erm\u00f6glicht, ist das zentrale Argument des Kartellamts. Ein Argument, das auf einem kardinalen Logikfehler beruht. Die Durchsetzung der DSGVO ist Aufgabe der Datenschutzbeh\u00f6rden. Sch\u00fctzenhilfe durch nationale Wettbewerbsbeh\u00f6rden ist weder n\u00f6tig noch vorgesehen. Auf dem Weg zu einem einheitlichen europ\u00e4ischen Datenschutzrecht sind Quersch\u00fcsse nationaler Beh\u00f6rden kontraproduktiv. Dies gilt auch f\u00fcr das deutsche Kartellamt.<\/p>\n<p>&nbsp;<\/p>\n","protected":false},"excerpt":{"rendered":"<p>In \u201eHintergrundinformationen\u201c erl\u00e4utert das Bundeskartellamt (BKartA) seine heutige Facebook-Entscheidung (BKartA, &#8222;Bundeskartellamt untersagt Facebook die Zusammenf\u00fchrung von Nutzerdaten aus verschiedenen Quellen&#8220;, PM v. 7.2.2019). Die Entscheidung beruht auf einer ebenso eigenwilligen wie fragw\u00fcrdigen Interpretation des neuen europ\u00e4ischen Datenschutzrechts. Dass ein deutsches Kartellamt bei der Anwendung der DSGVO vorprescht und die f\u00fcr den Datenschutz zust\u00e4ndigen Beh\u00f6rden links [&hellip;]<\/p>\n","protected":false},"author":3,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":[],"categories":[1,34,9,51],"tags":[701,702,504,498,145,515,158,119,699,703,700,704,336],"_links":{"self":[{"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/posts\/4308"}],"collection":[{"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/users\/3"}],"replies":[{"embeddable":true,"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/comments?post=4308"}],"version-history":[{"count":5,"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/posts\/4308\/revisions"}],"predecessor-version":[{"id":4315,"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/posts\/4308\/revisions\/4315"}],"wp:attachment":[{"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/media?parent=4308"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/categories?post=4308"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/tags?post=4308"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}