Mit seiner Entscheidung C-210/16 vom 05.06.2018, hat der EuGH – kurz nach Inkrafttreten der DSGVO – die Netzgemeinde weiter verunsichert. Denn wer eine Fanpage auf dem sozialen Netzwerk Facebook betreibt, wird ab sofort als s.g. „verantwortliche Stelle“ für die Verarbeitung von personenbezogenen Daten behandelt.

Fanpages können über letztlich jeden Lebenssachverhalt geführt werden (so z.B. Bands, Hobbies, Personen, Unternehmen etc.) geführt. Auf ihnen können Inhalte (z.B. Fotos, Videos, Statusmeldungen u.a.) geteilt und veröffentlicht werden.

Eine solche Fanpage betrieb im jetzt entschiedenen Fall die Wirtschaftsakademie Schleswig-Holstein. Zum Betrieb dieser Fanpage stellt das soziale Netzwerk – als nicht abdingbaren Teil der Nutzungsbedingungen – „Facebook Insight“ zur Verfügung. Diese Funktion ermöglicht es dem Fanpagebetreiber, anonymisierte statistische Daten über das Nutzungsverhalten der Besucher zu erhalten. Dazu werden beim Aufruf der Fanpage Cookies, also kleine Textdateien zur Wiedererkennung, im Browser des Besuchers gesetzt, die  Nutzungsdaten erheben und übermitteln.

Streit um Fanpages bei Facebook – worum es ging

Die Wirtschaftsakademie Schleswig-Holstein wurde mit Bescheid vom 03.11.2011 seitens des Unabhängigen Landeszentrums für Datenschutz Schleswig Holstein aufgefordert, ihre Fanpage zu deaktivieren. Zur Begründung wurde ausgeführt, dass die Akademie keinen Hinweis auf die Setzung der Insight-Cookies vorgehalten habe. Darauf setzte sich die Wirtschaftsakademie mittels Klage gegen den Bescheid zur Wehr. Die Klägerin machte für sich geltend, dass ihr die Verarbeitung von personenbezogenen Daten durch Facebook nicht zugerechnet werden kann, da sie die Datenverarbeitung nicht in Auftrag gegeben und durch die starren Nutzungsbedingungen auch sonst keine Möglichkeit habe, auf die Datenverarbeitung Einfluss zu nehmen.

Urteil des EuGH zum Thema

Der EuGH erkennt zunächst einmal an, dass Facebook und seine Tochtergesellschaften unzweifelhaft als Verantwortliche für die Datenverarbeitung anzusehen sind. Da sie in erster Linie über die Verarbeitung der personenbezogenen Daten entscheiden, stehe dies außer Frage.

Jedoch ist nach der Auffassung der europäischen Richter allerdings die Wirtschaftsakademie – also der Fanpage-Betreiber – gemeinsam mit dem sozialen Netzwerk für die fragliche Datenverarbeitung verantwortlich.  Da sie als Betreiber der Fanpage ein bestimmtes Zielpublikum ansprechen, seien sie dadurch an der Entscheidung über den Zweck und die Mittel der Verarbeitung beteiligt. Insbesondere könne der Fanpagebetreiber u.a. Zielgruppen-Daten verlangen, demografische Daten, Daten über den Lebensstil und geografische Daten. Die Verpflichtung zum Schutz der personenbezogenen Daten erlösche daher nicht durch die Benutzung einer von Dritten eingerichteten Plattform. Die Anerkennung einer gemeinsamen Verantwortung war, so der EUGH, notwendig, um einen umfassenden Schutz personenbezogener Daten sicherzustellen.

Bemerkenswert ist diesbezüglich vor allen Dingen, dass sich das Urteil noch auf die – mittlerweile außer Kraft getretene –  Richtlinie 95/46 zum Schutz personenbezogener Daten bezieht. Diese ist durch die – grundsätzlich strengere – DSGVO ersetzt worden, sodass die Entscheidung erst recht auch nach neuer Rechtslage Bestand haben dürfte.

Die Zukunft der Fanpage auf Facebook

Das Problem beim Betrieb einer Fanpage auf besteht darin, dass derzeit die Funktion „Facebook Insight“ durch den Seitenbetreiber nicht deaktivierbar ist. Facebook macht keine Angaben darüber, welche Daten zu welchem Zweck erhoben werden, wie lange diese gespeichert werden oder wer die Daten einsehen kann. Das macht es für Fanpagebetreiber schwierig, wenn nicht gar unmöglich, einen rechtskonformen Datenschutz anzubieten.

Eine Umsetzung der Betroffenenrechte ist ebenfalls kompliziert, da der Fanpagebetreiber weder Auskunft über die gespeicherten Daten geben kann, noch in der Lage ist, eine Löschung dieser Daten zu veranlassen, geschweige denn selbst durchzuführen.

Die DSK (Konferenz der unabhängigen Datenschutzbehörden von Bund und Ländern) gibt folgende Handlungsempfehlung:

„Für die Bereiche der gemeinsamen Verantwortung von Facebook und Fanpage-Betreibern ist in einer Vereinbarung festzulegen, wer von ihnen welche Verpflichtung der DS-GVO erfüllt. Diese Vereinbarung muss in wesentlichen Punkten den Betroffenen zur Verfügung gestellt werden, damit diese ihre Betroffenenrechte wahrnehmen können.“

Jedoch ist nicht bekannt, das Facebook solche Vereinbarungen mit Fanpagebetreibern eingeht.

Auch erklärt die DSK:

„Die deutschen Aufsichtsbehörden weisen darauf hin, dass nach dem Urteil des EuGH dringender Handlungsbedarf für die Betreiber von Fanpages besteht. Dabei ist nicht zu verkennen, dass die Fanpage-Betreiber ihre datenschutzrechtlichen Verantwortung nur erfüllen können, wenn Facebook selbst an der Lösung mitwirkt und ein datenschutzkonformes Produkt anbietet, das die Rechte der Betroffenen wahrt und einen ordnungsgemäßen Betrieb in Europa ermöglicht.“

Damit ist Facebook in der Pflicht, zeitnah eine Lösung anzubieten. Facebook muss nicht nur seine Transparenz bei der Datenverarbeitung erhöhen und eine DSGVO-gerechte Datenschutzerklärung anbieten, sondern auch eine Vereinbarung mit jedem Fanpagebetreiber abschließen. Der Datenkonzern dürfte ein großes Interesse daran haben, dass europäische Fanpagebetreiber nicht in großer Zahl ihre Seiten abschalten, da Facebook von diesen Seiten selbst profitiert.

Am 15.06.2018 veröffentlichte Facebook eine Stellungnahme in seinem Newsroom und kündigte an, dass notwendige Schritte eingeleitet werden. Facebook erkennt an, dass den Fanpagebetreibern nicht eine gleichberechtigte Verantwortung auferlegt werden kann. Deswegen wird Facebook seine Nutzungsbedingungen anpassen, so dass Fanpagebetreiber ihre Seite datenschutzkonform betreiben können. Wie lange das allerdings in Anspruch nehmen wird, ist derzeit nicht bekannt. Wir werden Sie an dieser Stelle auf dem Laufenden halten.

Sind Sie Betreiber einer Fanpage auf Facebook und haben Fragen zum Datenschutz? Zögern Sie nicht, uns zu kontaktieren!