Bild
Text
Ein Beitrag von Kai Bodensiek, Partner BvM Berlin
Der Europäische Gerichtshof hatte in einer Vorlagesache des Bundesverwaltungsgerichts über die Frage zu entscheiden, ob ein Unternehmen, das eine "Fanpage" auf Facebook unterhält, Addressat von datenschutzrechtlichen Verfügungen im Hinblick auf die Datenerhebung und Verarbeitung von Facebook sein kann. Konkret hatte das Unabhängigen Landeszentrums für Datenschutz Schleswig-Holstein (ULD) eine Unterlassungsverfügung gegen einen privaten Bildungsträger, die Wirtschaftsakademie Schleswig-Holstein GmbH, erlassen, da diese eine Fanpage auf Facebook betrieb und das ULD davon ausging, dass die Wirtschaftsakademie gemeinsam mit Facebook für die Datenerhebung verantwortlich sei.
Das Bundesverwaltungsgericht war sich hinsichtlich der Auslegung der EU Datenschutz-Richtlinie aus dem Jahr 1995 (Richtlinie 95/46/EG - "DS-RL") im Bezug auf die Verantwortlichkeit nicht sicher und legte daher die Frage dem EuGH vor. In der Entscheidung vom 05. Juni 2018 stellte der EuGH nunmehr fest, dass der Betreiber der Fanpage gemeinsam mit Facebook für die - unstreitig - allein durch Facebook vorgenommene Datenerhebung verantwortlich ist. Das Verfahren bezog sich also noch auf die alte Rechtslage nach dem alten Bundesdatenschutzgesetz nicht auf die DSGVO. Allerdings ist abzusehen, dass es hier in der Rechtsprechung keine erheblichen Unterschiede geben wird.
Der EuGH leitet diese Verantwortlichkeit aus einem von Facebook gestellten Analysetool ("Insights") ab, in dem anonymisierte Statistiken zu den Besuchern der Fanpage zur Verfügung gestellt werden. Der Betreiber der Fanpage - so der EuGH - leiste durch die Auswahl seiner Analysekriterien bei Ansicht der Statistiken einen Betrag zur Entscheidung über die Zwecke und Mittel der Verarbeitung der personenebezogenen Daten und sei damit ebenfalls vereantwortliche Stelle im Sinne des Datenschutzrechtes.
Text
Diese Ansicht darf wohl kritisch hinterfragt werden, denn es ist richtig, dass man durch Filtereinstellungen die Statistiken beeinflussen kann, die Daten sind aber so oder so bei Facebook vorhanden und zwar zum Zweck der statistischen (anonymisierten) Auswertung. Es wird also keine neue Analyse durchgeführt, sondern nur Darstellungsparameter verändert. Inwiefern die Daten zu diesem Zeitpunkt, da der Betreiber der Fan-Page so "Einfluss" nimmt, nicht bereits anonymisiert sind, hinterfragt der EuGH nicht. Der EuGH stellt aber klar, dass es für ihn irrelevant ist, dass der Betreiber keinen Einfluss auf die Erhebung und Verarbeitung der Daten hat und auch selbst keinen Zugriff auf personenbezogene Daten hat.
Text
Auch nicht eindeutig ist, ob der EuGH für die Verantwortlichkeit allein auf die Analysetools der Seitenbetreibers abstellt oder ob allein schon das Einrichten der Seite auch ohne Analysetools aufgrund des "Anlockens" der Nutzer zu einer Mitverantwortung führt. Hier bleibt der EuGH erstaunlich unklar, was möglicherweise auch damit zu tun hat, dass die technischen Hintergründe der Verarbeitung nicht geklärt wurden oder nicht geklärt werden konnten.
Schließlich weisst der EuGH ausdrücklich darauf hin, dass die beiden gemeinsam Verantwortlichen (Facebook und der Seitenbetreiber) aufgrund ihrer sehr unterschiedlichen Beiträge auch im Grad der Verantwortung unterschiedlich zu behandeln sein. Ob das dazu führen soll, dass einzelne Ansprüche der Betroffenen nicht gegen den Seitenbetreiber durchsetzbar sein sollen oder ob dies zu einer Beschränkung bei Schadensersatzansprüchen und Bußgeldern führen soll, läßt der EuGH erneut offen. Auskunfts-, Löschungs- und Berichtigungsansprüche wird der Seitenbetreiber so oder so schon rein tatsächlich nicht erfüllen können. Selber bei Löschung der Fanpage ist nicht gesagt, dass die Daten nicht bei Facebook erhalten bleiben.
Text
In der Konsequenz bleibt einem Unternehmen, dass keinerlei Risiken eingehen will, nur die Facebook Seite offline zu nehmen und abzuwarten, wie Facebook und auch das Bundesverwaltungsgericht auf diese Rechtsausführungen reagieren. Einen Rechtsverstoß durch Facebook hat der EuGH nämlich nicht festgestellt, was aber auch nicht Gegenstand der Vorlagefrage war. Es ist also nicht gesagt, ob die Gerichte die aktuellen Datenschutzhinweise durch Facebook nach Einführung der DSGVO nicht für ausreichend erachten. Es empfiehlt sich zumindest auf Fanpages auf diese in der Info Rubrik zu verweisen.
Text
Erfahrungsgemäß - wie auch in anderen Fällen, z.B. nach der Entscheidung zu Safe Harbor - wird das Urteil aber zunächst keine Welle der Unterlassungsverfügungen auslösen, sondern es wird den Beteiligten zunächst die Möglichkeit eingeräumt auf diese neue Rechtslage zu reagieren. Es ist zu erwarten, dass Facebook zunächst den Betreibern von Fanseiten die Möglichkeit gibt, die Anlayse durch "Insights" abzuschalten. Ob das allerdings von der Verantwortung befreit, wird nur ein weiteres Verfahren zeigen. Aus politischer Sicht ist die Entscheidung des EuGH aber ein klares Signal an die großen US-Unternehmen, dass der EuGH bereit ist, ihren Markt auszutrocknen, soweit sie sich nicht an europäisches Recht halten wollen.
Zur Person: