Der Europäische Gerichtshof hat mit Urteil vom 05.06.2018 festgestellt, dass Betreiber einer Facebook-Fanpage für die Erhebung von personenbezogenen Daten der Seitenbesucher als Mit-Verantwortlicher zu werten sind.
Problemstellung
Bekannt ist, dass das Werbesystem von Facebook darauf beruht, dass Facebook das Surfverhalten von Facebookseiten analysiert und hierzu vielen verschiedenen Stellen über den Einsatz verschiedener Tracking-Tools personenbezogene Daten erhebt. Dies betrifft insbesondere auch Facebook-Fanpages, die Betreiber auf dem Facebook-Portal unterhalten.
Die Kritik an Facebook bezog sich bislang vor allem darauf, dass Facebook keine hinreichende Transparenz an den Tag legt, wie, in welchem Umfang und zu welchen Zwecken personenbezogene Daten erhoben werden. Bislang beschränkte sich die Kritik allerdings darauf, dass die Verantwortung für eine hinreichende Aufklärung bei Facebook liegt, nicht bei den Nutzern solcher Services.
Mit dem aktuellen Urteil des EuGH ändert sich diese Rechtspraxis. Danach bilden Facebook und der Betreiber einer Fan-Page eine Verantwortlichkeitsgemeinschaft, innerhalb derer beide Seiten für die Datenverarbeitung und eine hinreichende Aufklärung durch die jeweils andere Seite mitverantwortlich sind. Es liegt demnach in der Mitverantwortung des Seitenbetreibers, die Vorgaben der Datenschutzgrundverordnung (DSGVO) umzusetzen. Nach Art. 26 Abs. 1 DSGVO besteht insbesondere eine Verpflichtung, eine Vereinbarung abzuschließen, wer welche Verpflichtung gemäß erfüllt, insbesondere was die Wahrnehmung der Rechte der betroffenen Person angeht, und wer welchen Informationspflichten gemäß den Artikeln 13 und 14 nachkommt.
Reaktion von Facebook
Facebook hat auf https://www.facebook.com/legal/terms/page_controller_addendum eine sog. „Seiten-Insights-Ergänzung bezüglich des Verantwortlichen“ veröffentlicht. Es handelt sich um eine Ergänzung der Facebook-Nutzungsbedingungen, mit denen die Vorgaben aus Art. 26 DSGVO erfüllt werden sollen. Danach soll die primäre Verantwortlichkeit bei Facebook liegen.
Keine Problemlösung
Der Abschluss einer Vereinbarung zwischen Mitverantwortlichen ist eine Maßnahme, die eine Anforderung der DSGVO lediglich in formeller Hinsicht erfüllt. An dem grundlegenden Problem, dass Facebook sich nicht in die Karten schauen lässt und keine transparente Informationen über Art, Umfang und Zweck der Datenverarbeitung erteilt, ändert sich nichts.
Aufgrund der laufenden Facebook-Debatte, wird man sich vorübergehend noch darauf berufen können, dass die rechtlichen Vorgaben zumindest noch nicht eindeutig feststehen. In letzter Konsequenz muss man den Tatsachen aber wohl in die Augen sehen, dass Facebook-Fanpages nicht rechtskonform betrieben werden können, solange Facebook nicht bereit ist, grundlegende Datenschutzstandards umzusetzen.
Fazit
Verlinken Sie die Ihre Datenschutzhinweise auf die „Seiten-Insights-Ergänzung bezüglich des Verantwortlichen“ von Facebook (https://www.facebook.com/legal/terms/page_controller_addendum).
Nehmen Sie einen Hinweis in Ihre Datenschutzerklärung auf, die „nach bestem Wissen und Gewissen“ über die Datenverarbeitung informiert. Vergegenwärtigen Sie sich, dass für den Fall, dass sich die Datenschutzaufsichtsbehörde gegen den Betrieb Ihrer Facebook-Fanpage wendet, Facebook-Fanpage in letzter Konsequenz abgeschaltet werden muss.
