Dem sozialen Netzwerk Facebook (Im Folgenden ist mit Facebook auch immer das Mutterunternehmen Meta Platforms Inc. gemeint.) droht in Großbritannien eine Sammelklage von bis zu 44 Millionen Nutzern. Liza Lovdahl Gormsen, eine Spezialistin für Wettbewerbsrecht vom British Institute of International and Comparative Law, will das Unternehmen für seinen Umgang mit den Daten seiner Nutzer in die Verantwortung nehmen und bemisst dabei die Schadenshöhe auf 3,2 Milliarden US-Dollar.
Der Vorwurf: Facebook habe seine marktdominierende Stellung ausgenutzt, indem das Unternehmen umfangreiche Daten seiner Nutzer sammele um dann Profite mit den Nutzerprofilen der User generierte, ohne dass das Unternehmen die betroffenen Personen dafür hinreichend kompensiere. Laut Lovdahl Gormsen seien die Bedingungen, zu denen User Facebook nutzen könnten unfair. Als Gegenleistung für die wertvollen personenbezogenen Daten der Nutzer, würden diese lediglich “kostenlosen” Zugang zum Netzwerk erhalten.
Dieser ungleiche Handel sei Facebook nur möglich, weil das Unternehmen eine marktbeherrschende Stellung innehabe und Nutzer von sozialen Netzwerken unausweichlich mit Facebook in Verbindung kämen.
Was genau hinter den Vorwürfen steckt und welche Konsequenzen sich daraus für die deutsche Rechtspraxis im Umgang mit Facebook und Co. ergeben, wird im Folgenden erläutert.
Lovdahl Gormsen: „Unfairer Preis, unfaire Geschäftsbedinungen“
Liza Lovdahl Gormsen rügt in ihrer Klagebegründung, Facebooks Dienstleistungen stünden nicht annähernd im Verhältnis zu dem Verlust, den die Nutzer des sozialen Netzwerks zu erleiden hätten. Sie spricht in diesem Zusammenhang von einem groben Missverhältnis zwischen Leistung und Gegenleistung. Spricht Lovdahl Gormsen nun von unfairen Geschäftsbedingungen meint sie damit den Umstand, dass die Verbraucher zur Herausgabe wertvoller persönlicher Daten gezwungen seien, um die Dienste von Facebook und allen anderen Meta Services nutzen zu können.
Facebook hat in seinen Nutzungsbedingungen statuiert, dass die User der Dienstleistungen ihre persönlichen Daten angeben müssten, andernfalls könnten sie die Facebookdienste nicht nutzen (Punkte 2 und 3 der Nutzungsbedingungen). Akzeptiert eine Person mit der Registrierung bei Facebook die Nutzungsbedingungen will Facebook darin die (ausdrückliche) Einwilligung in die Verarbeitung der persönlichen Daten sehen (Facebook Datenrichtlinie) Der Nutzer gibt daher – zumeist unbewusst – seine Daten „als Eintrittsgeld an der Eingangstür“ ab. Eine Praxis, die sowohl moralisch als auch rechtlich fragwürdig erscheint.
Marktbeherrschende Stellung von Meta Platforms
Facebook ist zweifelsfrei ein soziales Netzwerk mit großer Reichweite.Ein marktbeherrschendes Unternehmen ist per Definition keinem oder keinem nennenswerten Wettbewerb ausgesetzt (Cassart, in Rechtswörterbuch). Facebook verzeichnete im vierten Quartal des vergangenen Jahres fast 3 Milliarden aktive Nutzer. Kein anderes soziales Netzwerk kann derart viele Nutzer vorweisen. Im Vergleich: Alternativen zu Meta Platforms wie Snapchat, Twitter oder Telegram bringen es lediglich auf einen Bruchteil an Nutzern in einem Quartal (250 Millionen bis 1,5 Milliarden). Zahlen stehen in keinem Verhältnis zu dem gesamten Metaunternehmen, das schätzungsweise auf insgesamt ca. 6 Milliarden Nutzer pro Quartal kommt. Die Alternativunternehmen sind folglich nicht als Gefahr für das marktdominierende Unternehmen zu sehen. Eine wirtschaftliche Vormachtstellung kann Meta Platforms daher nicht abgesprochen werden.
Ausnutzen der marktbeherrschenden Stellung durch Facebook
Nun stellt sich ferner die Frage, ob Facebook und Meta Platforms ihre marktbeherrschende Stellung in Bezug auf Daten auch ausgenutzt hat.
Facebook-Social-Plugins
Zuerst lässt sich die Marktdominanz an den Facebook Plugins festmachen. Plugins sind kleine Buttons auf Webseiten, die zum Tracking von Nutzern verwendet werden können, aber auch nach Betätigung des Buttons Likes, Beiträge etc. anzeigen oder das Teilen von Inhalten und Beiträge ermöglicht. Problematisch an Social-Plugins ist, dass sobald ein Nutzer auf einen derartigen Plugin klickt, dessen IP-Adresse umgehend an Facebook gesendet wird. Dies lässt sich nicht verhindern, da das Protokoll des Internets diesen Vorgang so vorschreibt. Bereits 2017 hat der BGH jedoch entschieden, dass IP-Adressen als personenbezogene Daten zu klassifizieren sind (Az. VI ZR 135/13). Diese bedürfen für eine Weiterverarbeitung jedoch gem. Art. 6 DSGVO entweder einer Einwilligung der betroffenen Person oder einer gesetzlichen Grundlage.
Ferner nutzen die Facebook Plugins auch Cookies, die durch das Anklicken eines Plugins übertragen werden. Auch diese dürfen gemäß der e-Privacy-Richtlinie nur mit einer Einwilligung verarbeitet werden. Eine Einwilligung in die Datenverarbeitung erklärt der Nutzer im Falle von Facebook durch das Einloggen in den Facebook Account. Dieser Login setzt die Zustimmung zu den Nutzungsbedingungen voraus. Zusätzlich ist eine Einwilligung in die Nutzung von Cookies seitens Facebook erforderlich. Durch das Einsetzen der Nutzungsbedingungen versucht Facebook die Einwilligung der User (unbemerkt) einzuholen.
„Conversion-Tracking“ mithilfe von Facebook Pixel
Zudem sammelt Facebook sowohl auf seiner eigenen Plattform als auch außerhalb dieser Plattformen weitere Daten von Personen. Mit dem Mechanismus „Facebook Pixel“ bietet das Unternehmen ein sog. „Conversion Tracking“ an, mit dem Betreiber von Webseiten das Verhalten der User auf der eigenen Website tracken und analysieren können. Hierbei kann mithilfe von Cookies ein Tracking Code erzeugt werden, der dem Unternehmen darlegen kann, wie beispielsweise ein Kunde vom Klicken auf eine geschaltete Werbung zum Kauf eines Produkts kommt. Hierbei sind der Analyse keine Grenzen gesetzt: Ob die Anmeldung zu einem Newsletter oder der Kauf eines Produkts. Das Unternehmen kann sämtliche Bewegungen auf seiner Website nachverfolgen. Zudem können die Betreiber auch die Datenbasis von Facebook mit ihren getrackten Kundendaten anreichern. Datenschutzrechtlich ist das „Werbe-Tool“ problematisch zu sehen. So werden beim „Conversion-Tracking“ die Daten der User nicht anonymisiert verarbeitet. Vielmehr werden personenbezogenen Daten von Facebook erhoben, mit dem Userprofil der betroffenen Person unmittelbar verknüpft und schließlich dem werbenden Unternehmen zur Verfügung gestellt. Dabei werden die Daten des Users mit hoher Wahrscheinlichkeit in unsichere Drittländer (im Fall von Facebook die USA)übertragen, ohne dass der betroffenen Person die vollständige Tragweite einer solchen Übermittlung, insbesondere der hiermit verbundenen Risiken bei der Registrierung und der Akzeptanz der Nutzungsbedingungen bewusst ist. Das diesen Vorgängen bald ein Riegel vorgeschoben werden soll, ist zumindest noch nicht absehbar. Die Sammelklage von Liza Lovdahl Gormsen kann jedoch ein Schritt in diese Richtung sein.
Konsequenzen für Deutschland
Doch was kann diese Klageeinreichung für die deutsche Rechtspraxis bedeuten? Fest steht, in Deutschland gibt es keine Sammelklagen, wie es sie in Großbritannien gibt. Aus zivilrechtlicher Sicht sind deutschen Datenschützern die Hände gebunden: Nach §147 ZPO ist zwar eine Prozessverbindung möglich, eine Klage vom Ausmaß der Klage von Liza Lovdahl Gormsen ist in Deutschland jedoch höchst unwahrscheinlich. Öffentlich-rechtlich ist eine Verbandsklage nach Art. 80 DSGVO zumindest denkbar, wurde jedoch bis jetzt kaum in Anspruch genommen.
Die weitere Entwicklung in Deutschland bleibt aus zivilrechtlicher Sicht daher abzuwarten. Sollte eine Sammelklage in Großbritannien jedoch zum Erfolg führen, ist denkbar, dass es auch in Deutschland zu vergleichbaren Vorgängen kommen wird.
Welche Folgen ergeben sich hieraus für deutsche Unternehmen?
Zuerst ist festzustellen, dass eine oberflächliche Behandlung der Thematik schnell zu einem Problem führen kann. Jedes Unternehmen, das Plugins für Werbung oder für das Hochladen von Kundendaten etc. benutzt, muss seine Kunden ausdrücklich über das Vorgehen informieren. Hier genügt es nicht, zwei kurze Sätze in den Nutzungsbedingungen oder in der Datenschutzerklärung zu verfassen und rudimentär auf Plugins hinzuweisen. Ferner gibt es auch keine gesetzliche Grundlage, auf der die Verarbeitung von Nutzer-/Kundendaten erlaubt wäre. Möchte ein Unternehmen dennoch Facebook Pixel verwenden, muss es dies dem Nutzer im Rahmen der, vor Übermittlung dessen personenbezogener Daten an Facebook, einzuholenden Einwilligung mitteilen. Nur bei erteilter Einwilligung darf die Übermittlung vorgenommen werden. Zu den Anforderungen an eine wirksame Einwilligung im Rahmen der Nutzung einer Webpräsenz sei auf die Urteile des EuGH und BGH in Sachen Planet 49 und die Handreichung der Datenschutzaufsicht Niedersachsen betreffend die Anforderungen an ein Consent-Layer verwiesen. Schließlich ist in der Datenschutzerklärung der Vorgang in transparenter Form zu beschreiben.
Zu beobachten ist, dass das Thema des Datenschutzes bei Facebook gerade aufgrund seiner marktbeherrschenden Stellung zumindest auf dem Radar der Behörden ist. Aber auch andere Unternehmen, die derartige Plugins für Werbung und Tracking verwenden sollten aus dem laufenden Verfahren gegen Facebook seine Lehren ziehen. Eine Einwilligung ist nur als solche gültig, wenn diese auch freiwillig ausgesprochen wird. Versucht man eine Einwilligung mit versteckten Klauseln in z.B. Nutzungsbedingungen konkludent einzuholen, kann dieses Verhalten rasch zum Compliance-Risiko werden.
Ausblick
Wie geht es nun mit der Sammelklage weiter? Zunächst sind die Chancen auf eine Klagezulassung nicht gering. Gerade hat ein US-amerikanisches Gericht eine Kartellklage gegen Facebook zugelassen, mit der die Monopolstellung Facebooks bekämpft werden soll. Man sieht: Es bewegt sich etwas im Kampf gegen das „übermächtige Meta“ und dessen Praktiken. Eine Prognose hinsichtlich eines Erfolgs der Sammelklage ist jedoch nur schwer möglich, dafür ist es schlichtweg noch zu früh und die Klage erst in den Startlöchern.
Für uns bedeutet es jedoch auch: die Ereignisse in Großbritannien sollten aufmerksam verfolgt werden. Auch wenn man vielleicht denkt, dass das Verfahren in Großbritannien durch den Brexit in weite Ferne gerückt ist, kann diese Klage ein Wegweiser für eine Vielzahl von Ländern sein, in denen die Nutzer von Meta Platforms Probleme hinsichtlich ihrer Daten haben. Das Präzedenzfall-Potenzial der Klage ist auf jeden Fall hoch.
