EUGH: Betreiber einer Facebook-Fanpage und Facebook als gemeinsam Verantwortliche

Art. 2 lit. d EG-Richtlinie 95/46 ist derart auszulegen, dass Betreiber einer Facebook-Fanpage zusammen mit Facebook als gemeinsam Verantwortliche gelten können. Dies hat der Europäische Gerichtshof (EuGH) mit Urteil vom 5.6.2018 (Az. C-210/16) entschieden.

Hintergrund der Entscheidung

Anlass für die Entscheidung des EuGH war der Bescheid des Unabhängigen Landeszentrum für Datenschutz Schleswig-Holstein (ULD), der von der Wirtschaftsakademie Schleswig-Holstein GmbH (Wirtschaftsakademie) die Deaktivierung ihrer bei Facebook betriebenen Fanpage verlangte, da weder Facebook noch die Wirtschaftsakademie als Betreiberin der Fanpage die Besucher der Fanpage darüber informierten, welche Daten beim Besucher erhoben und verarbeitet wurden.

Nachdem die Wirtschaftsakademie Schleswig-Holstein GmbH erfolglos Widerspruch gegen den Bescheid einlegt hatte, erhob sie anschließend beim Verwaltungsgericht Schleswig Klage auf Aufhebung des Bescheids. Das Verwaltungsgericht hob mit Urteil vom 9.10.2013 (Az. 8 A 14/12) den angefochtenen Bescheid wieder auf. Die Aufhebung des Bescheids stützte das Verwaltungsgericht dabei auf das Argument, dass Betreiber einer Fanpage nicht als verantwortliche Stelle im Sinne des § 3 Abs. 7 BDSG gelten können.

Auch das Oberverwaltungsgericht stützte mit Urteil vom 04.09.2014 (Az. 4 LB 20/13) die Auffassung des Verwaltungsgerichts und entschied, dass allein Facebook über den Zweck und die Mittel der Verarbeitung entscheide. Das daraufhin vom ULD angerufene Bundesverwaltungsgericht setzte das Revisionsverfahren aus und rief den EuGH im Rahmen eines Vorabentscheidungsverfahrens (Art. 267 AEUV) hinsichtlich der Auslegung der entscheidungserheblichen europäischen Normen an. Der EuGH musste u.a. entscheiden, ob Art. 2 lit. d der EG-Richtlinie 95/46 (Datenschutzrichtlinie) so auszulegen ist, dass von einer gemeinsamen Verantwortlichkeit von sozialem Netzwerk und Fanpage-Betreibern ausgegangen werden kann (s. Pressemitteilung vom 25.2.2016).

Gemeinsame Verantwortlichkeit?

Fanpages sind Facebookseiten von Unternehmen oder Privatpersonen, die den Zweck haben, sich im sozialen Netzwerk den Nutzern präsentieren zu können. Dabei dient die von Facebook zwar kostenfrei aber nicht abdingbar zur Verfügung gestellte Funktion Facebook Insight zum Erhalt und zur Auswertung anonymisierter Daten der Nutzer dieser Seiten. Die Sammlung dieser Daten erfolgt durch sog. Cookies, die einen für zwei Jahre gültigen Benutzercode enthalten und der direkt auf dem Computer oder einem anderen Datenträger der Nutzer der Fanpage gespeichert werden und von dort aus Daten sammeln. Die Verarbeitung soll für Facebook die Verbesserung der im sozialen Netzwerk geschalteten Werbung mit sich bringen. Dem Fanpage-Betreiber soll der Erhalt von Statistiken ermöglicht werden, um Kenntnis von den Profilen der Nutzer seiner Fanpage zu erlangen mit dem Ziel, diesen passgenauere Inhalte bereitzustellen.

Der EuGH stellte fest, dass der Begriff „des für die Verarbeitung Verantwortlichen“ grundsätzlich weit zu verstehen sei und es maßgeblich auf die Entscheidung von Zweck und Mittel der Verarbeitung personenbezogener Daten ankomme.

Der Betreiber der Fanpage kann mithilfe von durch Facebook bereitgestellte Filter Kriterien zur Erstellung der Statistiken festlegen oder die Auswertung bestimmter Kategorien personenbezogener Daten verlangen. Das wertet der EuGH als einen wesentlichen Beitrag des Fanpage-Betreibers an der Verarbeitung und stuft den Fanpage-Betreiber als Verantwortlichen ein. Insbesondere könne der Fanpage-Betreiber demografische Daten (Alter, Geschlecht, Beziehungsstatut, berufliche Situation, Lebensstil, Interessen, Online-Kaufverhalten, Interessen für Kategorien von Waren und Dienstleistungen) und geografische Daten (Möglichkeit der Durchführung spezieller Werbeaktionen, Organisation von Veranstaltungen) erlangen. Ihm werde dadurch ermöglicht, sein Informationsangebot so zielgerichtet wie möglich zu gestalten.

Die Übermittlung der Statistiken erfolge zwar ausschließlich in anonymisierter Form, dabei sei aber zu beachten, dass die Erstellung der Statistik auf Grundlage der Erhebung nach Platzierung der Cookies mit eindeutigem Benutzercode erfolge.

Laut EuGH sei eine Verantwortlichkeit der Fanpage-Betreiber bei dem Besuch der Fanpage durch Nutzer, die keine Facebook-Nutzer seien und die Fanpage gleichwohl über ihren Browser aufrufen können, noch höher, da bereits das bloße Aufrufen der Fanpage schon mit der Verarbeitung personenbezogener Daten verknüpft sei.

Das ist doch Schnee von gestern, oder etwa nicht?

Nein – auch wenn der EuGH Art. 2 lit. d EG-Richtlinie 95/46 zugrunde legt. Auch unter der seit dem 25.5.2018 wirksamen Datenschutz-Grundverordnung (DSGVO) ist der Begriff der „Verantwortlichkeit“ nicht anders zu behandeln als der Begriff der „verantwortlichen Stelle“ i.S.d. EG-Richtlinie 95/46 oder in § 3 Abs. 7 BDSG a.F. Gemeinsame Verantwortlichkeit erfordert auch unter der DSGVO eine gemeinsame Entscheidung der Verantwortlichen über Zweck und Mittel der Verarbeitung; notwendig ist insofern eine steuernde und kontrollierende Einflussnahme der Verantwortlichen.

Der EuGH hat herausgestellt, dass grundsätzlich die Akteure „in verschiedenen Phasen und in unterschiedlichem Ausmaß“ eine Verantwortlichkeit treffen kann. Diese Aussage wird auch unter der DSGVO gelten. So vorteilhaft dies im Innenverhältnis zwischen den beiden Verantwortlichen auch erscheinen mag, so unerheblich ist es jedoch im Außenverhältnis zur betroffenen Person. An dieser Stelle sei darauf hingewiesen, dass im Außenverhältnis die betroffene Person grundsätzlich gegenüber jedem Verantwortlichen ihre Rechte umfassend geltend machen kann (Art. 26 Abs. 3 DSGVO).

Achtung: Das Urteil des EuGH verdeutlicht mit der Einstufung des Fanpage-Betreibers als „gemeinsam Verantwortlicher“, dass Fanpage-Betreiber auch gegenüber betroffenen Personen dann haften müssen, wenn Facebook sich nicht datenschutzkonform verhält oder sie bereits mangels Informationen über die bei Facebook erfolgende Verarbeitung keine umfassende Information für die Nutzer auf ihrer Fanpage abbilden können. Es sind mithin weitreichende Folgen in der Praxis für Fanpage-Betreiber zu erwarten.

Haben Sie Fragen? Hier finden Sie unsere Ansprechpartner.