x Hilfe schließen

EuGH: Ihr Unternehmen ist für Fanseiten bei Facebook mitverantwortlich

EuGH: Ihr Unternehmen ist für Fanseiten bei Facebook mitverantwortlich © fotolia, Production Perig

Datenschutzrechtliche Anforderungen sind in der Regel keine, die man mal so eben nebenbei umsetzen kann. Es spielen nicht nur die rechtlichen Rahmenbedingungen eine Rolle. Oft ist auch die Rechtsprechung von besonderer Bedeutung. So etwa auch zur Frage, wer eigentlich für eine Facebook-Fanseite verantwortlich ist. Der Europäische Gerichtshof (EuGH) hat unter anderem diese Frage nun geklärt (Urteil vom 5.6.2018, Az. C-2010/16).

Über den Autor

Mehr als 12 Jahre Berufserfahrung als Vollzeit-Datenschützer im Unternehmen. Darüber hinaus ist er seit vielen Jahren als Chefredakteur von "Datenschutz aktuell" tätig und zeigt seinen Lesern wie sich Datenschutz pragmatisch umsetzen lässt.

Datenschutzrechtliche Anforderungen sind in der Regel keine, die man mal so eben nebenbei umsetzen kann. Es spielen nicht nur die rechtlichen Rahmenbedingungen eine Rolle. Oft ist auch die Rechtsprechung von besonderer Bedeutung. So etwa auch zur Frage, wer eigentlich für eine Facebook-Fanseite verantwortlich ist. Der Europäische Gerichtshof (EuGH) hat unter anderem diese Frage nun geklärt (Urteil vom 5.6.2018, Az. C-2010/16).

Das ging der Entscheidung voraus

Die Wirtschaftsakademie Schleswig-Holstein GmbH betrieb eine sogenannte Fanseite beim sozialen Netzwerk Facebook. Die Datenschutzaufsichtsbehörde, das Unabhängige Landeszentrum für Datenschutzaufsicht Schleswig-Holstein (ULD), ordnete gegenüber der Wirtschaftsakademie an, die Fanseite zu deaktivieren. Der Grund: Weder Facebook noch die Wirtschaftsakademie würden Besucher im erforderlichen Umfang über die Datenverarbeitung auf der Webseite und durch Cookies informieren. Die Wirtschaftsakademie legte Widerspruch gegen den Bescheid ein, den das ULD im Dezember 2011 ablehnte. Das ULD ordnete die Wirtschaftsakademie weiterhin als Verantwortlichen ein, der einen aktiven und willentlichen Beitrag zur Erhebung personenbezogener Daten dieser Fanpage durch Facebook leistet und von den von Facebook zur Verfügung gestellten Statistiken profitiert.

Verfahren geht durch die Instanzen

Die Wirtschaftsakademie klagte zunächst vor dem Verwaltungsgericht und erhielt recht. Das ULD ging in Berufung vor das Oberverwaltungsgericht und unterlag erneut. Dennoch verfolgte das ULD weiter sein Ansinnen und ging vor dem Bundesverwaltungsgericht (BVerwG) in Revision. Das BVerwG setzte das Verfahren aus und legte dem EuGH mehrere Fragen rund um die Verantwortlichkeit der Wirtschaftsakademie und die Befugnisse des ULD als Aufsichtsbehörde zur Vorabentscheidung vor.

So entschied der EuGH

Der Begriff des Verantwortlichen ist weit zu verstehen, damit ein wirksamer und umfassender Schutz der Betroffenen gewährleistet ist. Als „für die Verarbeitung Verantwortlicher“ gilt derjenige der allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet. Das heißt, es muss sich nicht zwangsläufig um eine einzelne Stelle handeln. Es können auch mehrere Akteure beteiligt sein. Im konkreten Fall hat die Wirtschaftsakademie mit der Eröffnung der Fanseite einen Beitrag zur Entscheidung über die Zwecke und Mittel der Verarbeitung der personenbezogenen Daten der Besucher der Fanseite geleistet. Daher ist die Wirtschaftsakademie als „für die Verarbeitung Verantwortlicher“ im Sinne des Art. 2 Buchst. d der Datenschutzrichtlinie 95/46/EG anzusehen.

Wirtschaftsakademie entscheidet mit

Die Wirtschaftsakademie erhält zwar nur anonymisierte Statistiken zur Fanseite. Allerdings gehen der Erstellung der Statistiken eine Erhebung und Verarbeitung von personenbezogenen Daten, etwa auf Basis gesetzter Cookies, voraus. Weil die Wirtschaftsakademie mit der Aktivierung der Fanseite Festlegungen zum Zielpublikum trifft, ist sie an der Entscheidung über die Zwecke und Mittel der Verarbeitung personenbezogener Daten der Besucher seiner Fanseite beteiligt. Daher ist die Wirtschaftsakademie gemeinsam mit Facebook Ireland als „für die Verarbeitung Verantwortlicher“ anzusehen. Dabei ist es allerdings nicht so, dass automatisch Facebook und die Wirtschaftsakademie eine gleichwertige Verantwortung haben müssen. Die Verantwortung kann in verschiedenen Phasen und in unterschiedlichem Ausmaß gegeben sein. Insofern muss der Grad der Verantwortlichkeit unter Berücksichtigung aller Umstände des Einzelfalls beurteilt werden.

So können Sie das Urteil einordnen

  • Der EuGH hat mehrere Vorlagefragen des BVerwG beantwortet. Die Antworten benötigt das BVerwG, um seine Entscheidung im Rechtsstreit zwischen der Wirtschaftsakademie und dem ULD treffen zu können. Diese Entscheidung steht noch aus.
  • Die Entscheidung basiert zwar auf der nicht mehr geltenden Datenschutzrichtlinie 95/46/EG. Sie hat aber dennoch Bedeutung in Zeiten der Datenschutz-Grundverordnung (DSGVO). Der Begriff des „für die Verarbeitung Verantwortlichen“ ist in die DSGVO übernommen worden.
  • Ihr Unternehmen braucht nicht sofort Fanseiten bei Facebook oder andere Seiten in sozialen Netzwerken und Portalen (z. B. bei YouTube) zu deaktivieren. Wer welche Verantwortung trägt, ist noch unklar und muss etwa vom BVerwG entschieden werden. Ggf. werden die Betreiber dann Vereinbarungen vorlegen, die eine gemeinsame Verantwortung im Sinne des Art. 26 DSGVO regeln. Auch hier heißt es also: abwarten.
  • Auch wenn erste Berichte nach dem Urteil schon das Schlimmste erwarten ließen: Ob es ein gewisses Abmahnrisiko wegen „unzulässiger“ Fanseiten gibt, muss sich in der Praxis zeigen. Allerdings dürfte das nicht allzu hoch ausfallen, wenn es überhaupt besteht. Der Grund: Die Rechtslage ist unklar und die Entscheidung des BVerwG steht noch aus. Auch für Abmahner besteht bei einer noch unklaren Rechtslage das Risiko, mit der Abmahnung falschzuliegen. Und das kann für sie teuer werden.

Bildquelle: fotolia, Urheber: Production Perig

© 2019 TeachToProtect