Source: https://kremer-rechtsanwaelte.de/2018/06/12/eugh-betreiber-einer-facebook-fanpage-und-facebook-als-gemeinsam-verantwortliche/
Timestamp: 2018-11-19 09:15:22+00:00

Document:
EUGH: Betreiber einer Facebook-Fanpage und Facebook als gemeinsam Verantwortliche – Kremer Rechtsanwälte
Art. 2 lit. d EG-Richtlinie 95/46 ist derart auszulegen, dass Betreiber einer Facebook-Fanpage zusammen mit Facebook als gemeinsam Verantwortliche gelten können. Dies hat der Europäische Gerichtshof (EuGH) mit Urteil vom 5.6.2018 (Az. C-210/16) entschieden.
Anlass für die Entscheidung des EuGH war der Bescheid des Unabhängigen Landeszentrum für Datenschutz Schleswig-Holstein (ULD), der von der Wirtschaftsakademie Schleswig-Holstein GmbH (Wirtschaftsakademie) die Deaktivierung ihrer bei Facebook betriebenen Fanpage verlangte, da weder Facebook noch die Wirtschaftsakademie als Betreiberin der Fanpage die Besucher der Fanpage darüber informierten, welche Daten beim Besucher erhoben und verarbeitet wurden.
Nachdem die Wirtschaftsakademie Schleswig-Holstein GmbH erfolglos Widerspruch gegen den Bescheid einlegt hatte, erhob sie anschließend beim Verwaltungsgericht Schleswig Klage auf Aufhebung des Bescheids. Das Verwaltungsgericht hob mit Urteil vom 9.10.2013 (Az. 8 A 14/12) den angefochtenen Bescheid wieder auf. Die Aufhebung des Bescheids stützte das Verwaltungsgericht dabei auf das Argument, dass Betreiber einer Fanpage nicht als verantwortliche Stelle im Sinne des § 3 Abs. 7 BDSG gelten können.
Auch das Oberverwaltungsgericht stützte mit Urteil vom 04.09.2014 (Az. 4 LB 20/13) die Auffassung des Verwaltungsgerichts und entschied, dass allein Facebook über den Zweck und die Mittel der Verarbeitung entscheide. Das daraufhin vom ULD angerufene Bundesverwaltungsgericht setzte das Revisionsverfahren aus und rief den EuGH im Rahmen eines Vorabentscheidungsverfahrens (Art. 267 AEUV) hinsichtlich der Auslegung der entscheidungserheblichen europäischen Normen an. Der EuGH musste u.a. entscheiden, ob Art. 2 lit. d der EG-Richtlinie 95/46 (Datenschutzrichtlinie) so auszulegen ist, dass von einer gemeinsamen Verantwortlichkeit von sozialem Netzwerk und Fanpage-Betreibern ausgegangen werden kann (s. Pressemitteilung vom 25.2.2016).
Fanpages sind Facebookseiten von Unternehmen oder Privatpersonen, die den Zweck haben, sich im sozialen Netzwerk den Nutzern präsentieren zu können. Dabei dient die von Facebook zwar kostenfrei aber nicht abdingbar zur Verfügung gestellte Funktion Facebook Insight zum Erhalt und zur Auswertung anonymisierter Daten der Nutzer dieser Seiten. Die Sammlung dieser Daten erfolgt durch sog. Cookies, die einen für zwei Jahre gültigen Benutzercode enthalten und der direkt auf dem Computer oder einem anderen Datenträger der Nutzer der Fanpage gespeichert werden und von dort aus Daten sammeln. Die Verarbeitung soll für Facebook die Verbesserung der im sozialen Netzwerk geschalteten Werbung mit sich bringen. Dem Fanpage-Betreiber soll der Erhalt von Statistiken ermöglicht werden, um Kenntnis von den Profilen der Nutzer seiner Fanpage zu erlangen mit dem Ziel, diesen passgenauere Inhalte bereitzustellen.
Der EuGH stellte fest, dass der Begriff „des für die Verarbeitung Verantwortlichen“ grundsätzlich weit zu verstehen sei und es maßgeblich auf die Entscheidung von Zweck und Mittel der Verarbeitung personenbezogener Daten ankomme.
Der Betreiber der Fanpage kann mithilfe von durch Facebook bereitgestellte Filter Kriterien zur Erstellung der Statistiken festlegen oder die Auswertung bestimmter Kategorien personenbezogener Daten verlangen. Das wertet der EuGH als einen wesentlichen Beitrag des Fanpage-Betreibers an der Verarbeitung und stuft den Fanpage-Betreiber als Verantwortlichen ein. Insbesondere könne der Fanpage-Betreiber demografische Daten (Alter, Geschlecht, Beziehungsstatut, berufliche Situation, Lebensstil, Interessen, Online-Kaufverhalten, Interessen für Kategorien von Waren und Dienstleistungen) und geografische Daten (Möglichkeit der Durchführung spezieller Werbeaktionen, Organisation von Veranstaltungen) erlangen. Ihm werde dadurch ermöglicht, sein Informationsangebot so zielgerichtet wie möglich zu gestalten.
Die Übermittlung der Statistiken erfolge zwar ausschließlich in anonymisierter Form, dabei sei aber zu beachten, dass die Erstellung der Statistik auf Grundlage der Erhebung nach Platzierung der Cookies mit eindeutigem Benutzercode erfolge.
Laut EuGH sei eine Verantwortlichkeit der Fanpage-Betreiber bei dem Besuch der Fanpage durch Nutzer, die keine Facebook-Nutzer seien und die Fanpage gleichwohl über ihren Browser aufrufen können, noch höher, da bereits das bloße Aufrufen der Fanpage schon mit der Verarbeitung personenbezogener Daten verknüpft sei.
Das ist doch Schnee von gestern, oder etwa nicht?
Nein – auch wenn der EuGH Art. 2 lit. d EG-Richtlinie 95/46 zugrunde legt. Auch unter der seit dem 25.5.2018 wirksamen Datenschutz-Grundverordnung (DSGVO) ist der Begriff der „Verantwortlichkeit“ nicht anders zu behandeln als der Begriff der „verantwortlichen Stelle“ i.S.d. EG-Richtlinie 95/46 oder in § 3 Abs. 7 BDSG a.F. Gemeinsame Verantwortlichkeit erfordert auch unter der DSGVO eine gemeinsame Entscheidung der Verantwortlichen über Zweck und Mittel der Verarbeitung; notwendig ist insofern eine steuernde und kontrollierende Einflussnahme der Verantwortlichen.
Der EuGH hat herausgestellt, dass grundsätzlich die Akteure „in verschiedenen Phasen und in unterschiedlichem Ausmaß“ eine Verantwortlichkeit treffen kann. Diese Aussage wird auch unter der DSGVO gelten. So vorteilhaft dies im Innenverhältnis zwischen den beiden Verantwortlichen auch erscheinen mag, so unerheblich ist es jedoch im Außenverhältnis zur betroffenen Person. An dieser Stelle sei darauf hingewiesen, dass im Außenverhältnis die betroffene Person grundsätzlich gegenüber jedem Verantwortlichen ihre Rechte umfassend geltend machen kann (Art. 26 Abs. 3 DSGVO).
Achtung: Das Urteil des EuGH verdeutlicht mit der Einstufung des Fanpage-Betreibers als „gemeinsam Verantwortlicher“, dass Fanpage-Betreiber auch gegenüber betroffenen Personen dann haften müssen, wenn Facebook sich nicht datenschutzkonform verhält oder sie bereits mangels Informationen über die bei Facebook erfolgende Verarbeitung keine umfassende Information für die Nutzer auf ihrer Fanpage abbilden können. Es sind mithin weitreichende Folgen in der Praxis für Fanpage-Betreiber zu erwarten.
Jana Schminder Allgemein, Datenschutz und Datensicherheit, News, Social Media Art. 2 lit. d EG-Richtlinie 95/46, Art. 26 DSGVO, Facebook, Fanpage, Fanpage-Betreiber, Joint Controllership, Verantwortlicher, Verantwortlichkeit
EuGH zur datenschutzrechtlichen Verantwortung beim Facebook Like-Button – Kremer Rechtsanwälte 15. November 2018 at 12:03	Antworten
[…] Der EuGH legte fest, dass es sich bei den Fanpage-Betreibern um (Mit-) Verantwortliche gemäß § 3 Abs. 7 Bundesdatenschutzgesetz (BDSG) a.F. handelt (Entscheidung vom 5.6.2018, Az. C-210/16). Es ging im Kern um die Frage, ob Art. 2 lit. d der EG-Richtlinie 95/46 (Datenschutzrichtlinie) so auszulegen ist, dass von einer gemeinsamen Verantwortlichkeit von sozialem Netzwerk und Fanpage-Betreibern ausgegangen werden kann, wenn Daten verarbeitet werden. Der EuGH legte in seiner Entscheidung den Begriff „des für die Verarbeitung Verantwortlichen“ großzügig aus. Das Ziel der Bestimmung besteht nach Auffassung des EuGH nämlich darin, durch eine weite Definition des Begriffs des „Verantwortlichen“ einen wirksamen und umfassenden Schutz der betroffenen Personen zu gewährleisten. Nach dem EuGH reicht es aus, wenn ein wesentlicher Beitrag zur Datenerhebung durch den Fanpage-Betreiber unterstützt wird. Dies ist der Fall, wenn über die Zwecke und Mittel einer Verarbeitung personenbezogener Daten entschieden werden kann. Dies war in dem konkreten Fall gegeben. Nach Ansicht des Gerichtshofs könne der Umstand, dass ein Betreiber einer Fanpage die von Facebook eingerichtete Plattform nutze, um die dazugehörigen Dienstleistungen in Anspruch zu nehmen, diesen nicht von der Beachtung seiner Verpflichtungen im Bereich des Schutzes personenbezogener Daten befreien. Die Verarbeitung personenbezogener Daten ermöglicht dem Betreiber einer Fanpage, zum Zwecke der Steuerung der Vermarktung seiner Tätigkeit Statistiken, die Facebook erstellt, zu erhalten. Damit profitiert auch der Betreiber der Fanpage von der Verarbeitung der personenbezogenen Daten. Mit der Entscheidung des EuGH steht also fest, dass sowohl Facebook als auch der Betreiber der Fanpage gemeinsam datenschutzrechtlich verantwortlich sind. Wir berichteten über die Entscheidung und die Hintergründe hier. […]
128.211 Besuche

References: Art. 2
 EuGH 
 § 3
 EuGH 
 EuGH 
 Art. 2
 EuGH 
 EuGH 
 EuGH 
 EuGH 
 § 3
 EuGH 
 EuGH 
 Art. 2
 Art. 26

EuGH 
 EuGH 
 § 3
 Art. 2
 EuGH 
 EuGH 
 EuGH 
 EuGH