Archivbeitrag – Rechtsstand 2019. Die Einbindung von Social Plugins und anderen Drittinhalten ist heute zusätzlich an § 25 TDDDG zu messen und bedarf regelmäßig einer Einwilligung. Für Übermittlungen in die USA gilt seit Juli 2023 das Data Privacy Framework. Mehr auf unserer Seite Cookies und Tracking.
Der Europäische Gerichtshof hat am 29. Juli 2019 in der Rechtssache Fashion ID (C-40/17) entschieden. Der Online-Modehändler Fashion ID hatte auf seiner Website den Gefällt-mir-Button von Facebook eingebunden. Schon beim Aufruf der Seite wurden dadurch die IP-Adresse und der Browser-String der Besucher an Facebook übermittelt, unabhängig davon, ob sie den Button anklickten oder ein Facebook-Konto hatten. Die Verbraucherzentrale NRW klagte auf Unterlassung. Das OLG Düsseldorf legte dem EuGH mehrere Fragen vor.
Gemeinsame Verantwortung, aber begrenzt
Der EuGH bestätigt seine Linie aus dem Fanpage-Urteil (C-210/16) vom Juni 2018. Der Betreiber einer Website, der ein Social Plugin einbindet, das den Browser des Besuchers veranlasst, Daten an den Anbieter des Plugins zu übermitteln, ist gemeinsam mit diesem verantwortlich. Er entscheidet mit der Einbindung über die Mittel der Verarbeitung und verfolgt mit der verbesserten Sichtbarkeit seiner Produkte in dem sozialen Netzwerk einen eigenen wirtschaftlichen Zweck.
Diese gemeinsame Verantwortung ist aber auf die Vorgänge beschränkt, über deren Zwecke und Mittel der Betreiber tatsächlich mitentscheidet. Das sind das Erheben der Daten und ihre Weitergabe durch Übermittlung an Facebook. Für die anschließende Verarbeitung durch Facebook ist der Website-Betreiber nicht verantwortlich.
Einwilligung und Information durch den Betreiber
Soweit eine Einwilligung erforderlich ist, muss sie nach dem EuGH der Website-Betreiber einholen, und zwar bevor die Daten erhoben und übermittelt werden. Ebenso muss er die Informationspflichten erfüllen. Es wäre nicht sachgerecht, diese Pflichten dem Plugin-Anbieter aufzuerlegen, der beim Aufruf der Seite noch gar nicht beteiligt ist.
Stützen sich die Beteiligten auf berechtigte Interessen, muss jeder von ihnen ein eigenes berechtigtes Interesse verfolgen. Ob dieses überwiegt, hat der EuGH nicht entschieden. Weil die Übertragung beim Like-Button mit dem Setzen und Auslesen von Cookies verbunden ist, liegt nach der parallel anhängigen Frage zu Planet49 eine Einwilligungspflicht nahe.
Verbandsklagen sind zulässig
Der EuGH hat außerdem entschieden, dass die Datenschutzrichtlinie 95/46/EG nationalen Regelungen nicht entgegensteht, die Verbraucherschutzverbänden eine Klagebefugnis gegen mutmaßliche Datenschutzverstöße einräumen. Für die DSGVO enthält Art. 80 DSGVO dazu eine eigene Regelung. Die Entscheidung stärkt die Position der Verbände.
Was Website-Betreiber jetzt tun sollten
- Prüfen Sie alle eingebundenen Drittinhalte: Like- und Share-Buttons, eingebettete Videos, Karten, Schriftarten, Chat-Widgets und Analyse-Skripte.
- Binden Sie Social Plugins nur so ein, dass beim bloßen Seitenaufruf keine Daten übertragen werden, etwa mit einer Zwei-Klick-Lösung oder einfachen Links ohne Skript.
- Holen Sie vor dem Laden eine Einwilligung ein, wenn Cookies gesetzt oder ausgelesen werden.
- Ergänzen Sie die Datenschutzerklärung um die konkreten Datenflüsse und den Hinweis auf die gemeinsame Verantwortung.
- Schließen Sie mit dem Anbieter eine Vereinbarung nach Art. 26 DSGVO, soweit dieser sie anbietet.
Fragen dazu? Wir prüfen die auf Ihrer Website eingebundenen Dienste und gestalten Einwilligungslösungen. Nutzen Sie unsere Onlineberatung oder lesen Sie mehr zu Datenschutzrecht, Cookies und Tracking und Online-Marketing.
Schreibe einen Kommentar