Archivbeitrag – Rechtsstand 2018. Das BVerwG hat das Ausgangsverfahren 2019 an das OVG Schleswig zurückverwiesen. Der Streit um die Zulässigkeit von Fanpages, auch von Behörden, dauert bis heute an; zudem sind Cookies heute an § 25 TDDDG zu messen. Mehr auf unserer Seite Cookies und Tracking.
Der Europäische Gerichtshof hat am 5. Juni 2018 in der Rechtssache Wirtschaftsakademie Schleswig-Holstein (C-210/16) entschieden. Das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein (ULD) hatte der Wirtschaftsakademie 2011 aufgegeben, ihre Facebook-Fanpage abzuschalten. Facebook setze bei Besuchern Cookies und erstelle Statistiken, ohne dass die Besucher darüber informiert würden. Die Wirtschaftsakademie hielt sich für nicht verantwortlich, weil allein Facebook die Daten verarbeite. Das Bundesverwaltungsgericht legte die Frage dem EuGH vor.
Gemeinsame Verantwortung trotz fehlenden Datenzugriffs
Der EuGH sieht den Fanpage-Betreiber als gemeinsam mit Facebook Verantwortlichen im Sinne von Art. 2 lit. d der Datenschutzrichtlinie 95/46/EG. Durch die Einrichtung der Fanpage gibt der Betreiber Facebook die Möglichkeit, Cookies bei den Besuchern zu platzieren. Über die Einstellungen für die Besucherstatistik (Insights) wirkt er zudem an der Festlegung der Zwecke und Mittel der Verarbeitung mit, etwa indem er Zielgruppen nach Alter, Geschlecht oder Interessen definiert.
Dass der Betreiber selbst keinen Zugriff auf die personenbezogenen Daten hat, sondern nur anonymisierte Statistiken erhält, ändert daran nichts. Gemeinsame Verantwortung setzt nicht voraus, dass jeder Beteiligte Zugang zu den Daten hat. Sie bedeutet aber auch nicht, dass alle Beteiligten in gleichem Maße verantwortlich sind.
Zugleich bestätigt der EuGH, dass die deutsche Aufsichtsbehörde gegen die in Deutschland ansässige Stelle vorgehen durfte, ohne zuvor die irische Aufsicht einzuschalten, bei der Facebook seine europäische Hauptniederlassung hat.
Übertragung auf die DSGVO
Das Urteil ist zur alten Richtlinie ergangen, gilt in der Sache aber auch unter der DSGVO, die seit dem 25. Mai 2018 anwendbar ist. Art. 26 DSGVO verlangt von gemeinsam Verantwortlichen eine Vereinbarung, in der festgelegt wird, wer welche Pflichten erfüllt, insbesondere die Informationspflichten und die Bearbeitung von Betroffenenanfragen. Das Wesentliche dieser Vereinbarung ist den Betroffenen zur Verfügung zu stellen. Eine solche Vereinbarung bietet Facebook derzeit nicht an.
Was Fanpage-Betreiber jetzt tun sollten
Die Datenschutzkonferenz hat noch am Tag des Urteils erklärt, dass Fanpage-Betreiber ihre Verantwortung wahrnehmen müssen. Unmittelbare Abschaltverfügungen gegen jedes Unternehmen erwarten wir nicht. Das Risiko steigt aber, insbesondere bei Beschwerden von Nutzern. Wir empfehlen:
- eine eigene Datenschutzinformation für die Fanpage, die über die Verarbeitung durch Facebook und die eigene Nutzung der Statistiken aufklärt,
- die Einstellungen der Besucherstatistik so zurückhaltend wie möglich zu wählen,
- eine Rechtsgrundlage für die Verarbeitung zu dokumentieren und die Interessenabwägung festzuhalten,
- Facebook aufzufordern, eine Vereinbarung nach Art. 26 DSGVO zur Verfügung zu stellen, und die Anfrage zu dokumentieren,
- Anfragen von Betroffenen nicht mit dem Hinweis auf Facebook abzuweisen, sondern selbst zu beantworten oder weiterzuleiten.
Behörden und öffentliche Stellen sollten besonders sorgfältig prüfen, ob eine Fanpage für ihre Öffentlichkeitsarbeit erforderlich ist.
Folgen für andere Dienste
Die Argumentation des EuGH ist nicht auf Facebook beschränkt. Sie dürfte auch auf andere Plattformen, eingebundene Social Plugins und Analyse-Dienste übertragbar sein. Ein weiteres Vorabentscheidungsverfahren zum Like-Button (Fashion ID, C-40/17) ist beim EuGH anhängig.
Fragen dazu? Wir prüfen Ihre Social-Media-Präsenz und erstellen passende Datenschutzinformationen. Nutzen Sie unsere Onlineberatung oder lesen Sie mehr zu Datenschutzrecht, Online-Marketing und Plattformrecht.
Schreibe einen Kommentar