The Beauty and the Beast - Anmerkungen zum Facebook-"Fallbericht" des Bundeskartellamts

Die datenschutzrechtliche Einwilligung hat seit jeher zwei Gesichter. Einerseits erscheint sie als perfektes Instrument des selbstbestimmten Handelns. Andererseits steht sie unter dem Verdacht einer Mogelpackung, die zur übereilten Preisgabe persönlicher Daten verleitet.

Polarisierung datenschutzrechtlicher Einwilligung

Für ihre Freunde ist die Einwilligung sakrosankt. Sie ist die perfekte Verwirklichung der Selbstbestimmung und leitet sich aus dem Grundrecht auf informationelle Selbstbestimmung zwanglos ab. „Meine Daten gehören mir“. Und „ich“ verfüge über „meine Daten“, indem ich deren Verwendung erlaube oder verbiete.

Kritiker der Einwilligung sprechen von einem Einwilligungsfetisch (Härting, Datenschutzrecht: Verbotsprinzip und Einwilligungsfetisch, AnwBl. 2012, 716, 719 f.). Denn der Einwilligung werden Kräfte zugeschrieben, die sie von Natur aus nicht besitzt. Die Realität der Einwilligung besteht aus Klickfeldern, Häkchen und langen Texten, die selten gelesen werden.

Vorgabe der DSGVO

Nach der Datenschutz-Grundverordnung (DSGVO) ist die Einwilligung nur einer von sechs alternativen Rechtsgrundlagen für eine Datenverarbeitung. Alternativen zur Einwilligung sind insbesondere:

• die Datenverarbeitung zur Vertragserfüllung (Art. 6 Abs. 1 Satz 1 lit. b DSGVO) und
• die Verarbeitung von Personendaten auf der Grundlage berechtigten Interessen (Art. 6 Abs. 1 Satz 1 lit. f DSGVO).

Konträre Lesarten

Ein Rangverhältnis zwischen den einzelnen Rechtsgrundlagen lässt sich Art. 6 DSGVO nicht entnehmen. Dennoch gibt es zwei sehr unterschiedliche Lesarten der DSGVO, die von einem solchen Rangverhältnis ausgehen und den Stellenwert der Einwilligung ganz gegensätzlich beurteilen:

• Schwächste Rechtsgrundlage: Kritiker der Einwilligung betonen die Einschränkungen, die die DSGVO eingeführt hat. Zu nennen sind insbesondere die freie und jederzeitige Widerruflichkeit (Art. 7 Abs. 3 Satz 1 DSGVO), die Unwirksamkeit bei „klarem Ungleichgewicht“ (Erwägungsgrund 43 Satz 1 DSGVO) und das Kopplungsverbot (Art. 7 Abs. 4 DSGVO), dessen Reichweite im Einzelnen streitig ist. Der Blick auf die Einschränkungen legt den Schluss nahe, dass die Einwilligung die schwächste Rechtsgrundlage für eine Datenverarbeitung ist, die die DSGVO bietet (vgl. Härting, Trilog erfolgreich, Einwilligung tot, LTO vom 16.12.2015). Und es überrascht daher nicht, dass viele Unternehmen seit dem Wirksamwerden der DSGVO auf Einwilligungen verzichten und stattdessen bei der Verarbeitung von Personendaten auf Vertragserfüllung und berechtigte Interessen setzen.
• Stärkste Rechtsgrundlage: Freunden der Einwilligung fällt der Abschied schwer. Sie wittern hinter jedem Einwilligungsverzicht eine Umgehung und legen alternative Rechtsgrundlagen restriktiv aus. Das – als quasi naturgegebene – Erfordernis der Einwilligung dürfe nicht durch eine trickreiche Vertragsgestaltung umgangen werden. Die Vertragserfüllung rechtfertige eine Datenverarbeitung daher nur, wenn die Verarbeitung von Personendaten unverzichtbar sei. Und eine Datenverarbeitung aufgrund berechtigter Interessen sei nur zulässig, wenn es ausnahmsweise angemessen und zumutbar erscheine, auf eine Einwilligung zu verzichten.

Ansatz des BKartA

In seiner Facebook-Entscheidung hat sich das Bundeskartellamt (BKartA) auf die Seite der Einwilligungsfreunde geschlagen. Dies geht aus dem „Fallbericht“ hervor, den das BKartA am vergangenen Freitag veröffentlicht hat (BKartA, "Facebook; Konditionenmissbrauch gemäß § 19 Abs. 1 GWB wegen unangemessener Datenverarbeitung", 15.2.2019).

Auf Seite 9 des „Fallberichts“ zeigt sich das BKartA von einem individuellen Selbstbestimmungsrecht überzeugt, aus dem sich ein Einwilligungsvorbehalt ableiten lässt:

„Es (das Datenschutzrecht) weist dem Einzelnen zum Schutz seines Grundrechts auf informationelle Selbstbestimmung das Recht zu, selbstbestimmt und ohne Ausübung von Zwang Dritter freiwillig über den Umgang mit seinen personenbezogenen Daten zu entscheiden.“ (Hervorhebungen hinzugefügt)

Die Vertragserfüllung (Art. 6 Abs. 1 Satz 1 lit. b DSGVO) möchte das BKartA nur im Ausnahmefall als „Ersatz“ für eine Einwilligung anerkennen:

„Dieser Rechtfertigungsgrund ist eng auszulegen. Es ist insoweit bereits eine Abwägung erforderlich, die auch die einseitige Festlegung des Vertragsinhalts zu berücksichtigen hat. Insbesondere kann eine Erforderlichkeit des hier ermittelten Ausmaßes der Datenverarbeitung nicht mit ihrer Effizienz und ihren Vorteilen für die Personalisierung des Dienstes begründet werden. Diese Sichtweise würde dazu führen, dass die Datenverarbeitung eines Unternehmens allein wegen des gewählten Geschäftsmodells und der Produkteigenschaften sowie der Vorstellung des Unternehmens über die Qualität des Produktes unbegrenzt möglich wäre.“ (Hervorhebungen hinzugefügt)

Auch berechtigte Interessen (Art. 6 Abs. 1 Satz 1 lit. f DSGVO) kann ein mächtiges Unternehmen nach Auffassung des BKartA nicht geltend machen, wenn es auf Einwilligungen verzichten möchte:

„Zu berücksichtigen war … auch, dass Facebook als marktbeherrschendes Unternehmen eine Verhandlungsmacht gegenüber den Nutzern innehat und den Nutzern weitreichende Datenverarbeitungskonditionen einseitig auferlegen kann, ohne dass die Nutzer dies etwa durch zusätzliche Steuerungsmöglichkeiten verhindern könnten. Eine solche Datenverarbeitung kann nicht mehr ohne eine freiwillige Einwilligung der Nutzer gerechtfertigt werden.“ (Hervorhebungen hinzugefügt)

Kritik

Für Einwilligungsskeptiker sind diese Argumente alles andere als überzeugend. Die Vertragserfüllung und berechtigte Interessen sind nach Art. 6 Abs. 1 DSGVO gleichwertige Alternativen zur Einwilligung. Und wenn das BKartA von einem Marktriesen die Einholung „freiwilliger“ Einwilligungen verlangt, klingt dies nach einer Quadratur des Kreises.

Fazit

Das Ringen um den Stellenwert der Einwilligung geht nach der Entscheidung des BKartA weiter. Rechtsunsicherheit bleibt.