Warum Meta in einer Welt voller Probleme steckt

Dies ist der zweite Blog in einer zweiteiligen Serie über das Bundeskartellamt - ein sehr wichtiges Urteil gegen Meta, das unter dem Radar der Medien flog.

In einem anderen Blog haben wir erklärt, wie das Urteil die Cookie-basierte Analytik verändern könnte. Aber die Entscheidung hat noch viel mehr zu bieten. Heute werden wir uns ansehen, was der Gerichtshof über das Geschäftsmodell von Facebook und die Befugnisse der Kartellbehörden gesagt hat.

Spoiler: Das sind alles schlechte Nachrichten für Big Tech.

The UK Government chose Simple AnalyticsJoin them

Worum geht es in dem Fall, und was besagt er?

In unserem ersten Blog haben wir erklärt, dass sich das Urteil auf einen Fall bezieht, an dem Meta und das deutsche Bundeskartellamt beteiligt waren. Die Behörde stellte fest, dass Meta seine marktbeherrschende Stellung auf dem Markt für soziale Netzwerke missbraucht, indem es Datenschutzrichtlinien auferlegt, die gegen die Datenschutz-Grundverordnung verstoßen.

Das Bundeskartellamt ordnete an, dass Meta seine Datenschutzrichtlinien für deutsche Nutzer ändern muss. Meta focht diese Entscheidung an und erhielt vom Gerichtshof eine noch schlechtere Entscheidung.

In seinem Urteil berührte der Gerichtshof einige für Meta sehr heikle Punkte:

Die Tracking-Tools von Meta sammeln eine Menge sensibler Daten (wie wir in unserem anderen Blog zu der Entscheidung erläutert haben)
Die Einwilligung ist für gezielte Werbungso gut wie obligatorisch - und muss bei großen Plattformen wie Facebook ziemlich hohen Standards entsprechen.
Wettbewerbsbehörden können Verstöße gegen die DSGVO bei der Bewertung des Missbrauchs einer marktbeherrschenden Stellung berücksichtigen.

Meta- und gezielte Werbung - schon wieder!

In der Rechtssache Bundeskartellamt befasste sich der Europäische Gerichtshof (EuGH) eingehend mit den Rechtsgrundlagen von Meta für gezielte Werbung. Die rechtlichen Fragen mögen sehr technisch erscheinen, aber täuschen Sie sich nicht: Im Kern geht es in diesem Fall um die Rechtmäßigkeit des Geschäftsmodells von Facebook - und im weiteren Sinne auch anderer "kostenloser Dienste" von Big Tech, die Sie mit Ihren Daten bezahlen.

Es geht also nicht um das Kleingedruckte in den Datenschutzrichtlinien von Meta. Das Urteil ist im Großen und Ganzen von großer Bedeutung. Und zwar aus folgendem Grund.

Facebook erzielt den größten Teil seiner Einnahmen mit gezielter Werbung. Diese Werbung erfordert ein aggressives Profiling der Nutzer auf der Grundlage ihres Verhaltens auf und außerhalb der Plattformen.

Nach den allgemeinen Bestimmungen der Datenschutz-Grundverordnung (DSGVO) muss für diese Profilerstellung eine rechtliche Grundlage vorliegen, z. B. eine rechtliche Verpflichtung, die Erfüllung eines Vertrags oder die Einwilligung des Nutzers (die eine von mehreren Rechtsgrundlagen ist und nicht immer für die Verarbeitung personenbezogener Daten erforderlich ist, wie wir in einem älteren Blog erläutert haben).

Die Menschen mögen keine invasive Nachverfolgung und Profilerstellung, daher wollte Meta den Nutzern keine echte und faire Wahl in dieser Angelegenheit lassen. Aus diesem Grund hat Meta es bisher vermieden, sich auf eine Einwilligung zu stützen.

Bis April dieses Jahres berief sich Meta auf die Rechtsgrundlage der vertraglichen Notwendigkeit, um gezielte Werbung auf Facebook und Instagram zu schalten. Mit anderen Worten: Meta behauptete, dass die Bereitstellung gezielter Werbung unbedingt notwendig war, um die Nutzungsbedingungen mit den Nutzern einzuhalten.

Der Europäische Datenschutzausschuss (d. h. die EU-Einrichtung, in der alle europäischen Datenschutzbehörden zusammengeschlossen sind) stimmte dem nicht zu. Meta wurde mit einer Geldstrafe in Höhe von insgesamt 390 Mio. EUR belegt und gezwungen, seine Rechtsgrundlage im April in seiner neuen Datenschutzerklärung in "berechtigtes Interesse" zu ändern.

Die Erfüllung eines Vertrags oder warum der EDSB Recht hatte

Der EuGH nahm die Werbepraktiken von Meta unter die Lupe und stellte fest, dass sie für die Erfüllung des Vertrags mit dem Nutzer nicht erforderlich sind. Mit anderen Worten: Er bestätigte, dass die vertragliche Notwendigkeit eine gezielte Werbung nicht rechtfertigen kann.

Der EDSB hatte bereits darauf hingewiesen, aber das Urteil ist dennoch wichtig, weil der EuGH das letzte Wort bei der Auslegung der Datenschutz-Grundverordnung (und des EU-Rechts im Allgemeinen) hat. Der EDSB ist sehr einflussreich, aber das Wort des EuGH hat grundsätzlich Vorrang vor allem anderen.

Das Bunderskartellamt sagt also nichts Neues zur vertraglichen Notwendigkeit, sondern bestätigt "offiziell" die Position des EDSB. Nachdem der EuGH dieselbe Haltung eingenommen hat, gibt es einfach keinen Raum mehr, um für die vertragliche Notwendigkeit zu argumentieren.

Dies betrifft Meta nicht wirklich, da sie die vertragliche Notwendigkeit bereits abgeschafft haben. Aber es ist eine schlechte Nachricht für Big Tech, denn andere Unternehmen, die ein Geschäftsmodell verwenden, bei dem man für seine Daten bezahlen muss, werden es sehr, sehr schwer haben zu argumentieren, dass die vertragliche Notwendigkeit eine gültige Rechtsgrundlage für Werbung ist.

Bye bye, vertraglicher Zwang. Wir werden Sie nicht vermissen.

Auch das berechtigte Interesse funktioniert nicht

Aber was ist mit Metas neuer Rechtsgrundlage - dem berechtigten Interesse? Das funktioniert doch sicher, oder?

Nein: Das Bundeskartellamt hat auch das berechtigte Interesse abgeschmettert! Die Gründe dafür zu erläutern, würde diesen Blog in ein Buch verwandeln, aber sagen wir einfach, dass es umso unwahrscheinlicher ist, dass ein berechtigtes Interesse eine gültige Rechtsgrundlage ist, je invasiver man Daten verarbeitet. Und Metas Profiling ist so invasiv, wie es nur sein kann.

In Wahrheit war es die ganze Zeit über offensichtlich, dass das berechtigte Interesse in diesem Szenario keine tragfähige Rechtsgrundlage ist. Meta wusste das und hat seine Datenschutzrichtlinien nur geändert, um Zeit zu gewinnen.

Das Bundeskartellamt wird es Meta schwerer machen, Zeit zu gewinnen, weil es die Aufsichtsbehörden (sprich: die irische Datenschutzbehörde) unter Druck setzen wird, gegen Meta zu entscheiden, wenn die Frage des berechtigten Interesses auftaucht. Und das wird der Fall sein. noyb - die Datenschutz-NGO, die zu der 390-Millionen-Euro-Geldbuße führte - beabsichtigt, Meta wegen seiner neuen Datenschutzpolitik erneut anzufechten.

Es sollte daher nicht überraschen, dass Meta vor kurzem angekündigt hat, sich bei der Bereitstellung gezielter Werbung auf die Zustimmung zu verlassen!

Wie steht es mit der Einwilligung?

Das Urteil des Bundeskartellamts prüft im Wesentlichen alle plausiblen Rechtsgrundlagen für gezielte Werbung und lässt nur die Grundlage der Einwilligung unberücksichtigt.

Aber der EuGH hat nicht einfach gesagt: "Ja, die Einwilligung ist dafür in Ordnung, wir sind einverstanden." Der Gerichtshof betonte, dass die Einwilligung eine echte Entscheidung der Nutzer sein muss und nicht von einer Plattform erpresst werden darf - etwas, was Meta und andere Monopolisten gerne tun. Insbesondere die Praktiken von Monopolisten zur Einholung von Einwilligungen müssen sehr, sehr sorgfältig geprüft werden, um sicherzustellen, dass die Einwilligung frei ist und nicht erpresst wird.

Wenn man zwischen den Zeilen liest, hat der EuGH eindeutig vorausschauend gehandelt. Er wusste, dass Meta irgendwann zur Einwilligung übergehen würde, und erwartete, dass das Unternehmen die Einwilligung erpressen würde, indem es seinen Nutzern ein "Nimm es oder lass es" vorschlägt. Mit anderen Worten: Entweder du stimmst zu, dass du für Werbung profiliert wirst, oder du kannst nicht auf Facebook sein - tut mir leid.

Indem der EuGH betonte, dass die Einwilligung frei und nicht abwertend sein muss, gab er einen klaren Hinweis darauf, dass er als Nächstes eine echte und sinnvolle Einwilligung sehen möchte und dass er dasselbe von den Datenschutzbehörden und anderen Gerichten erwartet. Dies ist ein Problem für Meta, denn die Menschen mögen es nicht, wenn man ihnen ein Profil erstellt, und sagen oft "nein", wenn sie eine echte und faire Wahl haben.

Fairerweise muss man sagen, dass es einen gewissen Spielraum gibt, um über die freie Einwilligung zu streiten. Auf dem Papier lässt die Datenschutz-Grundverordnung aufgrund des (ärgerlich vagen) Wortlauts von Artikel 7 Absatz 4 einen gewissen Spielraum für die Erpressung der Einwilligung. Die "präventiven" Bemerkungen des EuGH zur Einwilligung deuten jedoch darauf hin, dass der Gerichtshof wahrscheinlich eine härtere Gangart einlegen und es Unternehmen nicht erlauben wird, die Einwilligung durch einen "Nimm-es-oder-lass-es-Ansatz" zu erzwingen - insbesondere, wenn es um Monopolisten wie Meta

Was bedeutet das für die gezielte Werbung auf sozialen Plattformen? Wie lässt sie sich nach der DSGVO rechtfertigen?

Die vertragliche Notwendigkeit ist nicht mehr gegeben, ebenso wenig wie ein berechtigtes Interesse. An die Einwilligung werden sehr hohe Anforderungen gestellt, was zu hohen Opt-out-Raten und Einnahmeverlusten führen wird. Wie wird Big Tech das "Pay-with-your-data"-Geschäftsmodell rechtfertigen? Ist das zum jetzigen Zeitpunkt überhaupt möglich?

Bundeskartellamt schlägt bereits Wellen

Die Entscheidung des Bundeskartellamts hat bereits Auswirkungen auf die gezielte Werbung. Einen Monat nach dem Urteil kündigte Meta an, die Rechtsgrundlage für gezielte Werbung auf die Einwilligung umzustellen - ein weiterer Beleg dafür, dass die neue Compliance-Strategie, die auf dem berechtigten Interesse aufbaut, bereits im Sande verläuft.

Außerdem hat die norwegische Datenschutzbehörde (Datatilsynet) zwei Wochen nach dem Urteil gezielte Werbung auf Facebook und Instagramvorläufig verboten.

Bei der Anordnung handelt es sich um eine Eilentscheidung, mit der die normalen Zuständigkeitskriterien der Datenschutz-Grundverordnung umgangen wurden. Aus diesem Grund wird die Behörde um eine Bestätigung ihrer Entscheidung durch den Europäischen Datenschutzausschuss ersuchen - die Organisation, die alle Datenschutzbehörden der EU und des EWR zusammenführt. Sollte die Entscheidung bestätigt werden, wäre es nicht verwunderlich, wenn andere Behörden dem Beispiel von Datatylsinet folgen und die Werbung von Meta einstellen, bis Meta seinen angekündigten Schritt zur Einwilligung vollzieht.

Datenschutz und Wettbewerbsrecht

Ob Sie es glauben oder nicht, das Urteil hat noch mehr zu bieten. Ja - man könnte ein Buch darüber schreiben.

Nach Ansicht des Gerichts kann eine Kartellbehörde Verstöße gegen die DSGVO bei der Beurteilung des Missbrauchs einer marktbeherrschenden Stellung berücksichtigen, sofern eine gewisse Zusammenarbeit mit der zuständigen Datenschutzbehörde besteht.

Dieser Hinweis ist etwas vage. Es könnte also eine Weile dauern, um herauszufinden, was sie genau bedeutet und welche Arten von Verstößen gegen die DSGVO in Betracht kommen. Vielleicht könnten die Kartellbehörden damit beginnen, Verstöße gegen die DSGVO im Zusammenhang mit unlauteren Datenschutzrichtlinien und Nutzungsbedingungen zu untersuchen - im Grunde die Art von Dingen, die die Grenzen zwischen Datenschutz- und Verbraucherschutzgesetzen verwischen. Aber das ist wirklich nur mein Gefühl, also nehmen Sie es mit Vorsicht zur Kenntnis.

Mit Sicherheit bedeutet das Bundeskartellamt Ärger für Big Tech. Tech-Giganten haben oft eine beherrschende Stellung auf einem oder mehreren Märkten. Google zum Beispiel ist ein Monopolist auf dem Suchmaschinen- und Online-Werbemarkt, und Meta ist so etwas wie ein Monopolist für soziale Netzwerke (TikTok ist wohl ein Konkurrent, aber bei näherer Betrachtung ist das vielleicht ein etwas anderer Markt).

Big Tech schert sich wenig oder gar nicht um das Datenschutzrecht. Manchmal gibt es nur wenige oder gar keine Alternativen zu ihren Diensten, so dass sie den Nutzern furchtbare Bedingungen auferlegen können und damit durchkommen, weil die Nutzer keine andere Wahl haben. Außerdem lieben sie es, bei jeder Gelegenheit gegen das Kartellrecht zu verstoßen - so sind sie schließlich zu Monopolisten geworden.

Wenn sich Datenschutz- und Kartellrecht überschneiden, haben sie ein Problem. Deshalb könnte das Bundeskartellamt auf lange Sicht eine wichtige Rolle bei Kartellverfahren spielen.

Was bedeutet das alles für Meta und Big Tech?

Zunächst einmal ist die neue Datenschutzrichtlinie von Meta nach nur 4 Monaten im Sande verlaufen.

Aber das Bundeskartellamt ist viel, viel größer als Meta. Die Schlussfolgerung ist, dass Big Tech im Rahmen der Datenschutz-Grundverordnung nicht mit Mord davonkommen kann. Dies ist die implizite, aber konsequente Annahme hinter allen Feststellungen des Gerichts - von den Rechtsgrundlagen für Werbung bis hin zu den Überschneidungen zwischen Kartell- und Datenschutzrecht. Jedes Wort dieses Urteils ist eine schlechte Nachricht für Big Tech.

Von nun an wird es schwieriger denn je sein zu argumentieren, dass das weit verbreitete Geschäftsmodell "Bezahlen mit deinen Daten" mit der Datenschutz-Grundverordnung vereinbar ist, es sei denn, man gibt den Nutzern eine faire und sinnvolle Wahlmöglichkeit, sich dagegen zu entscheiden. In diesem Fall werden sich viele Nutzer dagegen entscheiden, mit katastrophalen Folgen für die Einnahmen. Das Urteil ist also ein schwerer Schlag für das Geschäftsmodell "Daten als Zahlungsmittel ", das häufig von Big Tech genutzt wird.

Als ob das nicht schon genug wäre, können die Wettbewerbsbehörden bei der Beurteilung des Missbrauchs einer marktbeherrschenden Stellung auch Verstöße gegen die DSGVO berücksichtigen. Dies ist eine schlechte Nachricht für Big Tech, da sie oft im Fadenkreuz sowohl der Datenschutz- als auch der Wettbewerbsbehörden stehen.

Schlussfolgerung

Es ist inzwischen allgemein bekannt, dass die Durchsetzung der DSGVO unzureichend ist. Entscheidungen dauern oft ewig, weil die Datenschutzbehörden chronisch unterfinanziert und überlastet sind, und zahllose grenzüberschreitende Fälle werden durch ineffiziente Zusammenarbeit zwischen den Behörden verzögert oder entgleisen ganz.

Doch es gibt auch einen Silberstreif am Horizont. Wir sehen vielleicht nicht so viele Entscheidungen wie nötig, aber die Entscheidungen, die wir sehen, sind oft recht gut.

Viele Aufsichtsbehörden haben verstanden, dass die Datenschutz-Grundverordnung keine Wäscheliste mit Papierkram ist, die ein Unternehmen erledigen muss, sondern vielmehr ein wichtiges Gesetz, das eine entscheidende Rolle beim Schutz des Grundrechts auf Datenschutz spielt. Sie erwarten von den Unternehmen, dass sie sich an den Geist der Verordnung halten, und lassen sie nicht wegen technischer Details vom Haken. Wenn Sie etwas falsch machen, werden Sie sich wahrscheinlich nicht mit einem Anwalt aus der Patsche helfen können.

DasBundeskartellamt ist ein Paradebeispiel für gute Durchsetzung. Es beweist, dass der EuGH die Datenschutz-Grundverordnung ernst nimmt, und deutet darauf hin, dass die Verordnung in naher Zukunft endlich auch Big Tech die Zähne zeigen könnte - was eine schlechte Nachricht für Big Tech und eine gute Nachricht für alle anderen ist.

In der Zwischenzeit können auch Unternehmen den Weg der EU in Richtung Datenschutz unterstützen. Für viele weit verbreitete und datenhungrige Dienste gibt es ausgezeichnete, datenschutzfreundliche Alternativen - und Google Analytics sollte ein Hauptkandidat für die Abschaffung sein!

Wir haben Simple Analytics entwickelt, weil wir glauben, dass Webanalyse nicht invasiv sein muss! Wir sind stolz darauf, unseren Kunden alle Einblicke zu geben, die sie benötigen, um ihr Geschäft auszubauen und ihre Online-Präsenz zu fördern - und das alles, ohne persönliche Daten zu sammeln oder Nutzer zu verfolgen. Wenn sich das für Sie gut anhört, probieren Sie uns doch einfach mal aus!