Datenschutz und Interoperabilität: Zwischenbericht der Sektoruntersuchung zu Messenger- und Video-Diensten

Das Bundeskartellamt (BKartA) untersucht derzeit, ob Messenger- und Video-Dienste gegen Datenschutz- und Verbraucherrechte verstoßen. Die Ermittlungen sollen auch aufklären, welche konkreten Auswirkungen und Möglichkeiten eine Kommunikation über die verschiedenen Dienste hinweg hätte. Am 4.11.2021 veröffentlichte das BKartA dazu nun einen Zwischenbericht.

Struktur und Rahmenbedingungen

Die Digitalwirtschaft ist immer stärker in den Fokus der Wettbewerbsbehörden gerückt. Das hat sich sowohl in Änderungen der kartellrechtlichen Grundlagen (wir berichteten hier, hier und hier) als auch in konkreten Verfahren (wir berichteten) bemerkbar gemacht. Diese Bemühungen werden nun auch aus der Verbraucherschutzperspektive vorangetrieben: Messenger- und Video-Dienste sind inzwischen für viele Menschen ein unverzichtbarer Teil der alltäglichen Kommunikation und mit der Pandemie hat diese Form der Kommunikation auch Einzug in die Arbeitswelt gefunden. Diese Entwicklung führt zu neuen Fragen bezogen auf die Datensicherheit dieser Dienste, etwa bei der Verschlüsselung von Nachrichten oder im Hinblick auf die Weitergabe von Kontaktdaten. Auch eine mangelhafte Information durch Anbieter über sicherheitsrelevante Aspekte des Dienstes kann eine unzulässige Irreführung darstellen.

In einem ersten Schritt hat das BKartA daher die Struktur und die Rahmenbedingungen der Branche beleuchtet, um darauf aufbauend mögliche Verbraucherrechtsverstöße im Bereich von Datenschutz und Datensicherheit zu identifizieren. Die Ergebnisse dazu gibt es allerdings erst mit dem Abschlussbericht, der für 2022 angekündigt ist.

Branche vielgestaltig und heterogen

Die Ermittlungen des BKartA zeigen, dass Messenger- und Video-Dienste unterschiedliche technische Kriterien wie Netzwerkstruktur, Protokolle, Server, Verschlüsselung oder Identifier verwenden, die für die Datensicherheit und den Datenschutz eines Messengers maßgeblich sind. Darüber hinaus gehen sie auch nicht einheitlich mit (Meta)Daten um.

Dennoch verfügt die Branche über eine gewisse Selbstorganisation zur Standardisierung technischer Aspekte. Dazu zählen etwa die Freiwilligenvereinigung, die aus Netzwerktechnikern, Herstellern, Netzbetreibern, Forschern und Auswanderern besteht, oder die Internet Engineering Task Force (IETF), deren Schwerpunkt auf der Standardisierung der im Internet eingesetzten Kommunikationsprotokolle liegt. Die Mitgliedsorganisation World Wide Web Consortium (W3C) zur Standardisierung der Techniken im Internet und Definition der Sammlung von Kommunikationsprotokollen und Programmierschnittstellen ermöglicht die Echtzeitkommunikation über Rechner-Rechner-Verbindungen.

Aufgrund der Heterogenität und bereits vorhandener brancheneigener Standards kommt das BKartA zu der vorläufigen Auffassung, dass politische Maßnahmen und rechtliche Vorgaben die Vielgestaltigkeit der Marktteilnehmer im Blick behalten müssen, weil diese für die betroffenen Unternehmen und Anwendungen sehr unterschiedliche Auswirkungen haben würden.

Stimmungsbild Interoperabilität

In Zusammenarbeit mit dem Bundesamt für Sicherheit in der Informationstechnik (BSI) stellt das BKartA fest, dass viele der Messenger- und Video-Dienste als technisch geschlossenes System konzipiert und damit nicht interoperabel sind. Interoperabilität meint in diesem Kontext die Möglichkeit, mit Nutzern anderer Dienste kommunizieren zu können, ohne die jeweilige App oder Software dieses anderen Dienstes installiert oder sich dort registriert zu haben.

Interoperabilität soll den Wechsel zu datenschutzfreundlichen Messenger-Diensten erleichtern und damit die Datenschutzqualität in diesem Bereich fördern. Das BKartA erhofft sich davon Wettbewerbsvorteile und ein erhöhtes Datenschutzniveau. Gleichzeitig stellt es jedoch fest, dass sich eine Pflicht zur Interoperabilität innovationsdämpfend und in der Folge auch negativ auf das Datenschutzniveau auswirken könnte, wenn weltweit einheitliche Standards oder Protokolle, die bei der Verschlüsselung hinter den bestehenden Standards zurückbleiben, sowie Identifier auf Basis des kleinsten gemeinsamen Nenners verwendet werden müssten.

Ein Großteil der Branche ist ebenfalls der Ansicht, dass eine gesetzliche Verpflichtung zur Interoperabilität mehr schaden als nützen würde. Es würden insofern negative Effekte auf die Innovationstätigkeit und damit auch auf das Datensicherheits- und Datenschutzniveau beim Messaging und Videoconferencing erwartet. Insgesamt lehnten die betroffenen Unternehmen Interoperabilität aber nicht durchweg ab. Das zeige sich bereits im Zusammenschluss zu verschiedenen Standardisierungsgremien, in denen technische Grundlagen für Interoperabilität in globalem Kontext eruiert werden.

Vorläufiges Fazit und Ausblick

Im Hinblick auf mögliche Datenschutz- und Verbraucherrechtsverstöße ist der Abschlussbericht abzuwarten, der sich am geltenden Recht wie der Datenschutz-Grundverordnung (DS-GVO) orientieren wird.

Auch ohne abschließendes Ergebnis des BKartA  zu den Auswirkungen einer Pflicht zur Interoperabilität kann die Bundesnetzagentur (BNetzA) die Telekommunikationsanbieter bereits ab Dezember 2021 unter bestimmten Voraussetzungen zur Interoperabilität verpflichten. Grundlage ist der dann geltende § 21 Abs. 2 TKG. Nach den Rückmeldungen und vorliegenden Erkenntnissen aus der Branche in diesem Zwischenbericht bleibt aber offen, ob das BKartA eine generelle Interoperabilitätspflicht empfehlen wird.

Wichtig wird in der kommenden Zeit zudem der Ausgang des Facebook-Verfahrens. Der richterliche Streit zwischen dem Bundesgerichtshof (BGH) und dem Oberlandesgericht (OLG) Düsseldorf hat im März 2021 zur Vorlage an den Europäischen Gerichtshof (EuGH) geführt. Dort wird nicht nur über die Auslegung der DS-GVO, sondern auch über die Zuständigkeit der Kartellbehörden entschieden.

Ansprechpartner*innen: Dr. Tigran Heymann/Dr. Holger Hoch