Source: https://www.legalsmart.de/blog/fanpage-betreiber-sind-datenschutzrechtlich-auch-verantwortliche/
Timestamp: 2019-07-17 18:26:01+00:00

Document:
Fanpage-Betreiber sind datenschutzrechtlich auch Verantwortliche | LEGAL SMART Online Blog
Gestern hat der Europäische Gerichtshof (EuGH) für eine aufsehenerregende Entscheidung (AZ: C-210/16) gesorgt und dabei zwei entscheidende Aussagen getroffen:
1. Der Betreiber einer Facebook-Fanpage ist mit Facebook gemeinsam datenschutzrechtlich Verantwortlicher im Sinne der Richtline 95/46/EG.
2. Datenschützer können auch in Deutschland gegen Facebook vorgehen und müssen sich nicht an die zuständige Kontrollstelle des europäischen Hauptsitzes des Unternehmens in Irland wenden.
Das dem Verfahren zu Grunde liegende Vorabentscheidungsersuchen des Oberverwaltungsgerichts betrifft die Auslegung der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (ABl. 1995, L 281, S. 31).
Die Entscheidung des EuGH erging im Rahmen eines Rechtsstreits zwischen dem Unabhängigen Landeszentrum für Datenschutz Schleswig-Holstein (im Folgenden: ULD) und der Wirtschaftsakademie Schleswig-Holstein GmbH, einem privatrechtlich organisierten Bildungsunternehmen (im Folgenden: Wirtschaftsakademie), über die Rechtmäßigkeit einer Anordnung des ULD gegenüber der Wirtschaftsakademie, mit der dieser aufgegeben wurde, eine auf der Website des sozialen Netzwerks Facebook (im Folgenden: Facebook) unterhaltene Fanpage zu deaktivieren. Das ULD bemängelte, dass dort Nutzerdaten erfasst würden, ohne dass die Besucher ausreichend darüber informiert würden. Dafür sei nicht nur Facebook, sondern auch der Betreiber der Fanpage verantwortlich.
Nachdem die Vorinstanzen der Wirtschaftsakademie zunächst Recht gegeben hatten und keine Verantwortlichkeit für die Datenerhebung sahen, urteilte der EuGH nun im Sinne des ULD. Seitenbetreiber erhalten detaillierten Einblick in die Besucherstatistiken und erfahren so unter anderem demografische Merkmale ihrer Nutzer. Die Erfassung dieser Daten lässt sich nicht deaktivieren. Dementsprechend sei nicht nur Facebook, sondern auch der Betreiber dafür verantwortlich, so der EuGH. Dem Urteil ging ein entsprechender Schlussantrag des Generalanwalts voraus: Er sieht den Betreiber der Fanpage in der Verantwortung, da er durch die Öffnung der Seite Einfluss auf die Datenverarbeitung nehme. Dies könne der Fanpage-Seitenbetreiber auch ganz einfach verhindern, indem er seine Seite schließt, so der Generalanwalt.
In seiner Entscheidung führt der EuGH wörtlich aus:
„Wie aus den dem Gerichtshof vorgelegten Akten hervorgeht, erfolgt die im Ausgangsverfahren in Rede stehende Datenverarbeitung im Wesentlichen in der Weise, dass Facebook auf dem Computer oder jedem anderen Gerät der Personen, die die Fanpage besucht haben, Cookies platziert, die die Speicherung von Informationen in den Web-Browsern bezwecken und für die Dauer von zwei Jahren wirksam bleiben, sofern sie nicht gelöscht werden. Außerdem geht aus den Akten hervor, dass in der Praxis Facebook die in den Cookies gespeicherten Informationen empfängt, aufzeichnet und verarbeitet, insbesondere wenn eine Person die „Facebook-Dienste, Dienste, die von anderen Mitgliedern der Facebook-Unternehmensgruppe bereitgestellt werden, und Dienste, die von anderen Unternehmen bereitgestellt werden, die die Facebook-Dienste nutzen“, besucht. Außerdem können andere Stellen wie Facebook-Partner oder sogar Dritte „auf den Facebook-Diensten Cookies verwenden, um [diesem sozialen Netzwerk direkt] bzw. den auf Facebook werbenden Unternehmen Dienstleistungen bereitzustellen“.
Unter diesen Umständen ist festzustellen, dass der Betreiber einer auf Facebook unterhaltenen Fanpage wie die Wirtschaftsakademie durch die von ihm vorgenommene Parametrierung u. a. entsprechend seinem Zielpublikum sowie den Zielen der Steuerung oder Förderung seiner Tätigkeiten an der Entscheidung über die Zwecke und Mittel der Verarbeitung der personenbezogenen Daten der Besucher seiner Fanpage beteiligt ist. Daher ist der Betreiber im vorliegenden Fall als in der Union gemeinsam mit Facebook Ireland für diese Verarbeitung Verantwortlicher im Sinne von Art. 2 Buchst. d der Richtlinie 95/46 einzustufen.“
Was bedeutet diese Entscheidung nun für Betreiber von Facebook-Fanseiten?
Das Urteil könnte nach der Ansicht der Süddeutschen Zeitung weitreichende Auswirkungen haben. Seitenbetreiber müssen Besucher darüber informieren, welche Daten Facebook erfasst und wie diese verarbeitet werden. Das Problem an dieser Stelle besteht darin, dass Seitenbetreibern regelmäßig nicht bekannt ist, welche Daten in welcher Weise durch Facebook verarbeitet werden. Außerdem können Nutzer datenschutzrechtliche Ansprüche auch direkt gegen die Betreiber geltend machen.
Gleichwohl sollte auch in diesem Fall mit Bedacht den Panikwellen begegnet werden, welche gestern bereits im Internet veröffentlicht wurden. Aus den Ausführungen des EuGH geht zunächst hervor, dass die Landesdatenschutzbehörden Betreibern von Facebook-Fanpages aufgeben können diese Seite zu deaktivieren. Dass die Landesdatenschutzbehörden dies nun in flächendeckendem Umfang machen werden ist jedoch nicht ersichtlich. Darüber hinaus muss beachtet werden, dass sich die Entscheidung des EuGH auf die Rechtslage vor dem 25. Mai 2018 und damit vor Inkrafttreten der DSGVO bezieht. Dass die Ausführungen des EuGH jedoch auch im Rahmen der DSGVO in gleicher Weise gilt, hat der EuGH gerade nicht ausgeführt. Denn die DSGVO regelt die Verantwortlichkeiten abschließend.
Abmahnungen von Mitbewerbern dürften ebenfalls nicht in besonders großer Zahl zu befürchten sein. Denn auch die Mitbewerber, die regelmäßig auch Facebook-Fanpages betreiben, müssten diese vorher schließen oder datenschutzkonform über die Verarbeitung der Daten informieren, womit sie vor demselben Problem stehen würden. Darüber hinaus ist aktuell umstritten, ob derartige Abmahnungen überhaupt berechtigt wären. Eine Entscheidung der Gerichte hierzu bleibt nämlich abzuwarten.
Handlungsbedarf besteht nun jedoch in jedem Fall zunächst für die sozialen Netzwerke, allen voran, Facebook selbst, die eine Lösung für ihre Nutzer präsentieren müssen, mit der die Betreiber von Facebook-Fanpages in der Lage sein werden, ordnungsgemäß auf die Datenschutzhinweise aufmerksam zu machen. Gleichzeitig müsste Facebook und andere soziale Netzwerke offenlegen, welche Datenverarbeitung zu welchem Zweck tatsächlich stattfindet.
Bis dahin sollten Betreiber einer Facebook-Fanpage, welche diese weiteren Anforderungen nun erfülle möchten, eine Datenschutzerklärung auf ihrer Facebook-Fanpage integrieren und über die Datenverarbeitung informieren, soweit dies möglich ist und „im Übrigen“ auf die Datenschutzerklärung von Facebook verweisen, die nach Angaben von Facebook DSGVO-konform sein soll. Hierdurch würden Betreiber von Facebook-Fanpages zumindest das entstandene Risiko minimieren. Gleichwohl bleibt ein gewisses Restrisiko, dass ein Nutzer gegenüber dem Fanpage-Betreiber seine Rechte geltend macht und dieser Anspruch nicht vollständig erfüllt werden kann, mangels ausreichender Informationen von Facebook.
Sollten Sie hierzu weitere Fragen haben oder Unterstützung bei der Erstellung einer Datenschutzerklärung für Ihre Fanpage benötigen, steht Ihnen die Kanzlei WK LEGAL hierfür jederzeit zur Verfügung.

References: EuGH 
 EuGH 
 EuGH 
 Art. 2
 EuGH 
 EuGH 
 EuGH 
 EuGH