Source: https://diercks-digital-recht.de/2018/06/update-entschliessung-der-dsk-zum-eugh-urteil-c-210-16-im-hinblick-auf-eine-gemeinsame-verantwortung-von-facebook-und-seitenbetreibern-spoiler-sie-muessen-was-tun/
Timestamp: 2020-03-31 05:59:16+00:00

Document:
Update: Entschließung der DSK zum EuGH-Urteil C-210/16 im Hinblick auf eine gemeinsame Verantwortung von Facebook und Seitenbetreibern - Spoiler: Sie müssen was tun | Diercks Digital Recht
Die Zeit der Verantwortungslosigkeit ist vorbei:
EuGH bestätigt gemeinsame Verantwortung von Facebook und Fanpage-Betreiber
Die Überschrift lässt den weiteren Inhalt schon ahnen, die DSK will mit dieser Entschließung die harte Kante zeigen. Doch in welche Richtung, das sehen wir uns nun genauer an. (Selbstverständlich können Sie sich das DSK auch einfach selbst durchlesen, Sie finden es unter dem oben stehenden Link.)
Was steht in dem DSK-Papier?
Zunächst hält die DSK klipp und klar fest, dass sich die vom EuGH fest gestellte gemeinsame Verantwortung auch auf das geltende Recht erstreckt. (Soweit nichts bahnbrechend Neues, das sagte uns schon Art. 26 DSGVO.)
Das heißt dann natürlich auch, dass die der gemeinsamen Verantwortung unterliegenden Parteien jeweils Ihren nach der DSGVO bestehenden Informationspflichten nachkommen und den Betroffenen in Ihren Rechten abhelfen können müssen. Wie das konkret auszusehen hat, dazu lässt sich die DSK wie folgt ein (ich übersetze nachfolgend ein wenig, das Original können Sie hier selbst lesen):
Wer eine Fanpage besucht, muss über die Datenverarbeitung transparent informiert werden (d.h. der Betreiber sollte entsprechende Informationen zur Datenverarbeitung (IDV) nach Art. 12, 13 DSGVO, besser bekannt als „Datenschutzerklärung“, im Hinblick auf seine Facebook-Seite vorhalten, z.B. in dem ein Link auf die IDV der Webseite gesetzt wird, auf der sich dann eine Passage zu der Datenverarbeitung auf der Facebook-Page findet.)
Wer eine Fanpage betreibt, muss sich als Betreiber selbst versichern, dass Facebook die Informationen zur Verfügung stellt, die zur Erfüllung der genannten Informationspflichten benötigt werden. (*Pruuuuusst. ‚Tschuldigung, geht schon wieder. Aber haben Sie mal versucht irgendwie mit Facebook in Kontakt zu treten?)
Wenn über die Facebook-Seite ein Tracking stattfindet, gleich ob durch Cookies oder User-IDs oder die Speicherung der IP-Adresse, dann ist grundsätzlich eine Einwilligung einzuholen. (Hier sträuben sich mir die Nackenhaare und zwar vorwiegend deswegen, weil die DSK schon wieder ohne jede Differenzierung jegliche Trackingformen über einen Kamm schert, mehr kritische Anmerkungen dazu finden Sie hier)
Zwischen Facebook und den Fanpage-Betreibern ist ein Vertrag nach Artikel 26 DSGVO (Joint Control Contract, JCC) zu schließen, in dem festgelegt wird, wer welche Verpflichtungen zu erfüllen hat; die wesentlichen Elemente des Vertrages sind den Betroffenen, also den Nutzern, zu Verfügung zu stellen. (Ja, das ergibt sich alles aus Art. 26 DSGVO.)
Schließlich wird betont, dass die DSK einen dringenden Handlungsbedarf bei den Betreibern von Fanpages sieht. Jedoch heißt es darauf hin sogleich:
Dabei ist nicht zu verkennen, dass die Fanpage-Betreiber ihre datenschutzrechtlichen Verantwortung nur erfüllen können, wenn Facebook selbst an der Lösung mitwirkt und ein datenschutzkonformes Produkt anbietet, das die Rechte der Betroffenen wahrt und einen ordnungsgemäßen Betrieb in Europa ermöglich.
Mit diesem Satz endet die Entschließung der DSK.
Was heißt denn das nun?
Das heißt, dass die DSK der Auffassung ist, dass
Sie einen Vertrag gemäß Art. 26 DSGVO mit Facebook abschließen müssen.
Und nein, Sie rennen jetzt bitte immer noch nicht schreiend im Kreis. Aus den folgenden Gründen:
Wenn man eine gemeinsame Verantwortung annimmt, dann ist die Folge, dass Sie über die Datenverarbeitung aufklären müssen nur logisch, bzw. vielmehr in Art. 12, 13 DSGVO festgelegt. Das nervt zwar vielleicht. Aber es ist, wie es ist. Derzeit können Sie jedoch überhaupt nicht ordentlich über die Datenverarbeitung aufklären. Sie wissen ja selbst nichts. Außer das, was Facebook in seinen Informationen zur Datenverarbeitung bereit hält. Und das ist herzlich wenig und immer noch herzlich wenig durchschaubar.
Ob Sie bezüglich des „Trackings“ eine Einwilligung einholen müssen, kann man schon dem Grunde nach trefflich streiten (siehe hier). Vorliegend können Sie das selbst verständlich schon rein technisch nicht. Sie haben ja gar keinen Zugriff auf die Seiten bzw. die Technik selbst. Sowas muss schon Facebook anbieten.
Und damit sind wir bei dem vorgenannten Punkt 3 und dem letzten Satz der DSK-Entschließung. Facebook muss mit den Seitenbetreibern einen Vertrag nach Art. 26 DSGVO schließen und darin muss festgelegt werden, wer welche Pflichten übernimmt. Da Facebook hier an dieser Stelle der einzige ist, der tatsächlich Informationen über die Datenverarbeitung bereitstellen kann und der die technischen Voraussetzungen zum Abschalten eines Trackings durch den Seitenbetreiber oder aber einer Einwilligungs-Lösung schaffen kann, ist ziemlich eindeutig, wer die Informationen bereitstellen und die Tracking-Problematik umsetzen muss. Ihnen bleibt dann nur noch Ihre Nutzer zu informieren. Das sollte nicht so schwierig sein.
Vor diesem Hintergrund wird klar, dass die DSK zwar die Seitenbetreiber anspricht, aber den Ball ziemlich weit in das Feld von Facebook gelegt hat.
Und damit hätte dann meine magische Glaskugel dann im Ergebnis doch Recht: Facebook wird sich wohl doch noch bewegen und die Joint Control Contracts aus der Tasche ziehen und die eine oder andere Pflicht gegenüber den Seitenbetreibern übernehmen müssen.
Ja, ja, ja. Aber: Müssen wir unsere Facebook-Seite nun abschalten oder nicht?!
Ehrlich gesagt, diese Entscheidung kann ich Ihnen nicht abnehmen. Nach Auffassung der DSK befinden Sie sich mit Ihrer Facebook-Seite gerade im grauen Niemandsland, wenn nicht sogar eher auf der dunklen Seite. Wenn Sie ganz, ganz sicher sein wollen, dann nehmen Sie die Seite vorerst offline. Ich bin allerdings immer noch der Meinung, dass dies übervorsichtig wäre, denn:
Die DSK hat klar statuiert, dass Rechtskonformität nur mit Facebook zu erreichen ist. Alles, was Sie derzeit tun können, ist Ihren Informationspflichten soweit nachzukommen, wie es derzeit eben möglich ist. Und das ist nicht viel mehr als auf die Informationen zur Datenverarbeitung von Facebook zu verweisen. Wenn Sie dies tun und die Angelegenheit weiter im Auge behalten, insbesondere, wie Facebook nun reagieren wird, sehe ich nicht, dass Ihnen unmittelbar mehr droht als ein Hinweis der für Sie zuständigen Datenschutzbehörde. Ich werde jedenfalls – vorerst – die Facebook-Seite zum Blog online lassen. Und befinde mich damit – jedenfalls noch 😉 – in guter Gesellschaft, denn das Bundesministerium für wirtschaftliche Zusammenarbeit und Entwicklung ist ebenso noch online wie das Bundesministerium der Justiz und für Verbraucher.
(Achso, Abmahner lassen wir jetzt mal außen vor. Auch hier sehe ich einfach keine Abmahnwelle. Außerdem ist es nun wirklich spät….)
keep on breathing. Winter is not coming (yet).
Update – 08.08.2018 –
Über Neuigkeiten und aktuelle Geschehnisse berichten wir in diesem Blogbeitrag.

References: EuGH 
 EuGH 
 Art. 26
 Art. 12
 Art. 26
 Art. 26
 Art. 12
 Art. 26