Datenschutzrecht: Gemeinsame Verantwortlichkeit (auch) für den „Gefällt mir“-Button

Mit Urteil vom 29. Juli 2019 hat der Europäische Gerichtshof (EuGH) in der Rechtssache C-40/17 („Fashion ID“) entschieden, dass ein Websitebetreiber, der den „Gefällt mir“-Button von Facebook in seine Seiten einbindet, für die Verarbeitung personenbezogener Daten der Websitebesucher gemeinsam mit Facebook verantwortlich ist.

Hintergrund

Gegenstand des Verfahrens, in dem das Oberlandesgericht Düsseldorf dem EuGH eine Reihe von Auslegungsfragen zur Vorabentscheidung vorgelegt hatte, ist ein sog. Social Media Plugin, der „Gefällt mir“-Button von Facebook, der zur Folge hat, dass beim Aufruf der betroffenen Website durch einen Besucher bestimmte personenbezogenen Daten dieses Besuchers an Facebook übermittelt werden. Diese Übermittlung erfolgte im konkreten Fall unabhängig davon, ob der Besucher Mitglied bei Facebook ist, das Social Media Plugin anklickt und ohne Aufklärung über die Datenweitergabe.

Die Verbraucherzentrale NRW sah in der Einbindung des „Gefällt mir“-Buttons auf den Seiten von Fashion ID, einem Online-Händler für Modeartikel, einen Verstoß gegen mehrere datenschutzrechtliche Bestimmungen.

Entscheidung

Zunächst stellt der EuGH fest, dass weder die alte Datenschutzrichtlinie noch die neue Datenschutz-Grundverordnung (DS-GVO) dem wettbewerbsrechtlichen Vorgehen der Verbraucherzentrale NRW entgegensteht.

Bei der Beurteilung der Verantwortlichkeit für die Datenverarbeitungsvorgänge im Zusammenhang mit dem „Gefällt mir“-Buttons differenziert der EuGH: Für das Erheben der in Rede stehenden Daten und deren Weiterleitung an Facebook steht der Websitebetreiber gemeinsam mit Facebook in der Haftung. Nach der Übermittlung dagegen ist Facebook alleine verantwortlich.

Hintergrund ist, dass es die Einbindung des Social Media Plugins dem Websitebetreiber ermöglicht, die eigene Werbung zu optimieren, der durch Facebook eine größere Reichweite eingeräumt wird, wenn der „Gefällt mir“-Button geklickt wird. Auf diesen wirtschaftlichen Vorteil stellt der EuGH maßgeblich ab, um  Websitebetreibern die Mitverantwortlichkeit bis zum Abschluss der Datenübermittlung an Facebook zuzusprechen. Mithin billigt der Websitebetreiber die Verarbeitung personenbezogener Daten, um dann in den Genuss der verbesserten Werbemöglichkeiten zu kommen.

Anmerkungen

In der Sache ist die Entscheidung wenig überraschend. Denn bereits mit Urteil vom 5. Juni 2018 (Rechtssache C-210/16) hatte der EuGH entschieden, dass der Betreiber einer Facebook-Fanpage gemeinsam mit Facebook verantwortlich für die Erhebung und Verarbeitung personenbezogener Daten ist. Die dieser Entscheidung zugrundeliegende Argumentation überträgt das Gericht auf die Rechtssache „Fashion ID“. Sie dürfte sinngemäß auch für weitere Social Media Plugins, die die Verarbeitung personenbezogener Daten ermöglichen, gelten.

Damit sind von Websitebetreibern, die den „Gefällt mir“-Button einbinden, bestimmte Pflichtinformationen über die damit verbundenen Datenverarbeitungsvorgänge zu erteilen. Um die Websitebetreiber dabei zu unterstützen, ist davon auszugehen, dass Facebook – wie im Nachgang zum Verfahren C-210/16 – relativ zeitnah eine Vereinbarung über die gemeinsame Verantwortlichkeit zur Verfügung stellen wird. Außerdem haben Websitebetreiber sicherzustellen, dass eine taugliche Rechtsgrundlage – in der Regel eine Einwilligung – für die Erhebung und Weitergabe der Daten an Facebook besteht. Dies könnte z.B. über entsprechend gestaltete Cookie-Banner oder die transparente Umsetzung der sog. Zwei-Klick-Lösung erfolgen.

Bemerkenswert ist die EuGH-Entscheidung jedoch noch aus einem ganz anderen Grund: Es war nicht mit Sicherheit zu erwarten, dass der EuGH der Verbraucherzentrale NRW die Verbandsklagebefugnis für das (wettbewerbsrechtliche) Vorgehen gegen Fashion ID zusprechen wird. Die Frage nach der Klagebefugnis bei Datenschutzverstößen – und damit nach deren Abmahnfähigkeit – ist seit Geltung der DS-GVO höchst umstritten und wird von den deutschen Instanzgerichten unterschiedlich bewertet. Der Bundesgerichtshof hatte mit Beschluss vom 11. April 2019 – Az. I ZR 186/17 ein anderes Verfahren gegen Facebook wegen datenschutzrechtlicher Verstöße mit Blick auf gerade diese nun vom EuGH entschiedene Frage ausgesetzt. Vorbehaltlich möglicher Einschränkungen durch den nationalen Gesetzgeber ist nunmehr zu erwarten, dass Datenschutzverstöße künftig vermehrt von Wirtschafts- und Verbraucherverbänden auf wettbewerbsrechtlichem Weg verfolgt werden. Nach wie vor nicht abschließend geklärt ist jedoch, ob auch Unternehmen klagebefugt sind, was Datenschutzverstöße ihrer Mitbewerber betrifft.

Für Websitebetreiber bedeutet dies, dass sie kritisch den Wert eines jeden Plugins überprüfen sollten und nur gezielt diejenigen verwenden, die tatsächlich einen Mehrwert verschaffen. Sollte ein solcher Mehrwert nicht festgestellt werden, sollte im Zweifel hierauf verzichtet werden, um unnötige Auseinandersetzungen zu vermeiden.