Datenschutzrecht: Unternehmen haften für Facebook-Fanpages

Der Betreiber einer Facebook-Fanpage ist nach einer aktuellen Entscheidung des EuGH gemeinsam mit Facebook verantwortlich für die Erhebung und Verarbeitung personenbezogener Daten. Auf Unternehmen mit einer Facebook-Präsenz kommen damit unüberschaubare Haftungsrisiken zu.

Hintergrund

Mit Anordnung vom 3. November 2011 untersagte das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein (ULD) der Wirtschaftsakademie Schleswig-Holstein (WAK) den Betrieb einer Facebook-Fanpage mit der Begründung, weder die WAK noch Facebook würden die Besucher der Fanpage darauf hinwiesen, dass Facebook mittels sog. „Cookies“ ihre personenbezogenen Daten erhebe und diese Daten danach verarbeite, um Besucherauswertungen für die WAK zu erstellen und auf Basis der Auswertung zielgerichtete Werbung für die WAK auf Facebook zu ermöglichen.

Gegen diese Anordnung ging die WAK über zwei Instanzen mit Erfolg vor, bevor das Bundesverwaltungsgericht die Revision aussetzte und dem Europäischen Gerichtshof (EuGH) mehrere Fragen im Wege des Vorabentscheidungsverfahrens zur Klärung vorlegte. Neben der Frage der Zuständigkeit der verschiedenen Datenschutzaufsichtsbehörden bei grenzüberschreitenden Sachverhalten war dabei die Frage nach der datenschutzrechtlichen Verantwortung der involvierten Akteure von zentraler Bedeutung.

Entscheidung des EuGH – Rs. C-210/16

Mit seiner Entscheidung vom 5. Juni 2018 (Rs. C-210/16) schloss sich der EuGH den Schlussanträgen des Generalanwalts Yves Bot vom 24. Oktober 2017 an und bestätigte die ursprüngliche Anordnung des ULD. Das ULD durfte selbständig in Schleswig-Holstein gegen einen dort ansässigen Fanpage-Betreiber wegen eines Verstoßes durch Facebook, niedergelassen in Irland, vorgehen.

Der EuGH stellt maßgeblich darauf ab, dass der Fanpage-Betreiber von Facebook demografische Daten über seine Zielgruppe verlangen und damit sein Informationsangebot so zielgerichtet wie möglich gestalten kann. Es befreit ein Unternehmen nicht von der Beachtung seiner Verpflichtungen im Bereich des Schutzes personenbezogener Daten, dass die Auswertungen über das Nutzerverhalten von Facebook angeboten werden. „Noch höher“ ist die Verantwortlichkeit des Fanpage-Betreibers, wenn bei Facebook unterhaltene Fanpages von Personen besucht werden, die über kein Nutzerkonto bei dem sozialen Netzwerk verfügen, da auch in diesen Fällen das bloße Aufrufen der Fanpage automatisch die Verarbeitung ihrer personenbezogenen Daten auslöst, indem Cookies bei ihnen gesetzt werden.

Da die WAK ihren Sitz in Schleswig-Holstein hat, war das ULD für die Anordnung vom 3. November 2011 auch zuständig; es kam nicht auf die Niederlassung von Facebook in Irland – und damit eine möglicherweise entgegenstehende Zuständigkeit der irischen Aufsichtsbehörden – an, da sich die Anordnung des ULD nicht gegen Facebook selbst richtete.

Anmerkungen

Wer sich als Unternehmen sozialer Medien bedient, um mit Dritten in Kontakt zu treten, ist dafür verantwortlich, was die Betreiber der sozialen Medien mit den Daten der Dritten unternimmt. Ein Verweis auf die Eigenverantwortlichkeit der Nutzer, die sich bewusst für den Kontakt über die sozialen Medien entschieden haben, reicht nicht aus, um sich der eigenen Verantwortlichkeit zu entledigen.

Zwischen den Schlussanträgen, denen der EuGH weitgehend folgte, und der Urteilsverkündung liegt über ein halbes Jahr. Es kann darüber spekuliert werden, ob der EuGH seine Entscheidung wohl bewusst so getimt hat, dass sie damit nur knapp nach der Geltung der Datenschutz-Grundverordnung (DS-GVO) ergangen ist. Auch wenn die Entscheidung zur Rechtslage vor Inkrafttreten der DS-GVO ergangen ist, sind keine Gründe ersichtlich, dass die Ausführungen sich nicht ohne weiteres auf die aktuelle Rechtslage übertragen lassen. Damit ist der Anreiz, gegen Datenschutzschutzverstöße durch bzw. über Facebook vorzugehen, seit 25. Mai 2018 sowohl für betroffene Facebook-Mitglieder, als auch für Behörden und Mitbewerber noch einmal erheblich gestiegen.

Jedes Unternehmen ist daher spätestens durch die Entscheidung des EuGH gehalten, seine Aktivitäten in sozialen Medien kritisch zu hinterfragen. Denn gerade in Zeiten, in denen Facebook mit Datenskandalen für Negativschlagzeilen sorgt, wirkt das Urteil des EuGH wie ein Weckruf. Unternehmen können keine Facebook-Fanpage rechtssicher betreiben; zu ungewiss ist, wie Facebook mit personenbezogenen Daten umgeht. Ob dies nun dazu führt, dass Unternehmen dem sozialen Netzwerk den Rücken zuwenden, wird sich zeigen, wobei nicht zuletzt die Bereitschaft von Facebook eine Rolle spielen wird, sich hinsichtlich der Nutzung von Daten zurückzunehmen. Gleiches gilt für viele weitere Plattformen, die dasselbe Geschäftsmodell wie Facebook verfolgen

Fest steht, dass für Verstöße seitens Facebook deutsche Betreiber gegenüber den deutschen Behörden einzustehen haben. Die Entscheidung hinsichtlich der Zuständigkeit mag auf den ersten Blick unspektakulär klingen, verdeutlicht jedoch die Bereitschaft, formale Hürden im Hinblick auf die Durchsetzung des Datenschutzrechtes zu beseitigen. Damit setzt der EuGH bereits den Willen des europäischen Gesetzgebers um, eine effektive Durchsetzung des Datenschutzrechtes zu gewährleisten. Auch dies muss jedem Unternehmen bewusst sein.