Source: https://www.aufrecht.de/urteile/datenschutzrecht/keine-datenschutzrechtliche-verantwortlichkeit-von-unternehmen-fuer-ihre-facebook-profile-urt-v-09-oktober-2013-az-8-a-21811.html
Timestamp: 2020-01-24 17:22:36+00:00

Document:
Facebook Datenschutz Verantwortlichkeit : aufrecht.de Keine datenschutzrechtliche Verantwortlichkeit von Unternehmen für ihre Facebook-Profile (Urt. v. 09. Oktober 2013; Az.: 8 A 218/11)
Az.: 8 A 218/11
Proz.-Bev.: Rechtsanwälte Dr. B., B-Straße, B-Stadt, - -
das Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein, Holstenstraße 98, 24103 Kiel, - -
F. , F-Stadt
Proz.-Bev.: Rechtsanwälte G., G-Straße, G-Stadt, - -
wegen: Datenschutzrecht
Der Ergebnisbericht der Arbeitsgruppe des AK I „Staatsrecht und Verwaltung“ zum Da-tenschutz in sozialen Netzwerken vom 04. April 2012 (S. 9; Arbeitsgruppe verschiedener Bundesländer, www.datenschutzzentrum.de/internet/20120404-AGSozNetzw-AK-I-IMK.pdf ) stellt die technischen Abläufe wie folgt dar:
Der c_user-Cookie wird von Facebook gesetzt, wenn sich das Facebook-Mitglied einloggt und enthält die Anmeldekennnummer (User-ID) des Facebook-Mitglieds. Facebook kann dadurch das Mitglied identifizieren, den Aufruf der Website der Fanpage einer konkreten Person zuordnen und auf diese Weise den Inhalt der Fanpage personalisieren (vgl. Er-gebnisbericht der Arbeitsgruppe des AK I, aaO, Seite 8).
Beim Aufruf der Fanpage (damals noch unter …………..) würden Angaben über die Nutzung der Fanpage durch Facebook-Mitglieder und -Nichtmitglieder in die USA an Facebook übermittelt. Web-Seiten-Betreiber hätten die Unterrichtungspflichten nach § 13 Abs. 1 TMG (Telemediengesetz) und die Anforderungen an die Einholung einer Einwilligung in die Datenverarbeitung nach § 13 Abs. 3 TMG einzuhalten. Dies habe bei dem von der Klägerin angebotenen Dienst, dem Betreiben der Fanpage, nicht festgestellt werden können. Die Erstellung der Nutzungsprofile (Insights) erfolge unter Verstoß gegen § 15 Abs. 3 TMG. Über die Reichweitenanalyse werde nicht informiert, eine Widerspruchsmöglichkeit existiere ebenso wenig wie eine datenschutzrechtlich wirksame Einwilligungserklärung. Die Informationen aus der Reichweitenanalyse würden mit den identifizierenden Angaben der Facebook-Mitglieder zusammengeführt. Als Betreiberin der Fanpage sei die Klägerin Diensteanbieterin iSd § 2 Nr. 1 TMG und verantwortliche Stelle nach § 3 Abs. 7 BDSG.
Mit Schreiben vom 09.11.2011 brachte die Klägerin zum Ausdruck, sie sei nicht verantwortliche Stelle iSd § 3 Abs. 7 BDSG. Weder erhebe, verarbeite oder nutze sie personen-bezogene Daten selbst, noch lasse sie eine Erhebung, Verarbeitung und Nutzung in ihrem Auftrag vornehmen. Sie komme mit personenbezogenen Daten der Nutzer der Facebook-Seite (Fanpage) nicht in Berührung.
Mit Bescheid vom 10.11.2011 ordnete der Beklagte gegenüber der Klägerin gemäß § 38 Abs. 5 Satz 1 BDSG an, dafür zu sorgen, dass die von ihr betriebene „Fanpage“ unter ………….. deaktiviert werde. Für den Fall, dass dieser Verpflichtung nicht innerhalb von sechs Wochen nach Zustellung des Bescheides nachgekommen werde, wurde ein Zwangsgeld in Höhe von 5.000 € angedroht.
Der Widerspruch der Klägerin wurde mit Widerspruchsbescheid vom 25.11.2011 zurückgewiesen. Als Betreiberin der Fanpage bei Facebook sei die Klägerin Diensteanbieterin nach § 2 Nr. 1 TMG. Sie sei neben Facebook auch die datenschutzrechtlich verantwortliche Stelle gemäß § 12 Abs. 3 TMG iVm § 3 Abs. 7 BDSG. Durch das Einrichten der Fanpage leiste die Klägerin einen aktiven und willentlichen Beitrag zur Erhebung von personenbezogenen Nutzerdaten. Es sei in diesem Zusammenhang unerheblich, dass die Klägerin nicht von allen Nutzerdaten Kenntnis erhalte. Im Datenschutzrecht werde vielmehr unabhängig vom Wissen über die Daten darauf abgestellt, wer objektiv über die Daten bestimmen könne, wer die Entscheidungsgewalt über den Zweck und die Mittel der Datenverarbeitung habe. Eine objektive Entscheidungsgewalt über den Zweck der Datenverarbeitung bestehe gerade deshalb, weil die Klägerin mit der Einrichtung der Fanpage und der dadurch initiierten Nutzung durch Fanpagebesucher die Zuführung der personen-bezogenen Nutzerdaten und damit die Erstellung der Nutzungsprofile für die Zwecke der Werbung und der bedarfsgerechten Gestaltung von Telemedien steuere. Die Klägerin erhalte auf Basis der von ihr gezielt ermöglichten Erhebung von personenbezogenen Nut-zerdaten von Facebook eine Nutzungsstatistik zur Verwendung für eigene geschäftliche Zwecke. Grundlage dieser Nutzungsstatistik seien personenbezogene Nutzerdaten der Fanpagebesucher, die Statistik könne ohne diese Daten nicht erstellt werden. Es sei nicht von Bedeutung, dass der Klägerin von Facebook ein Datenverarbeitungsergebnis nur in Form einer nicht personenbezogenen Nutzungsstatistik bereitgestellt werde und in wel-cher Form diese hiervon Gebrauch mache. Ein eigenes Erheben, Verarbeiten oder Nut-zen von Daten durch eine verantwortliche Stelle werde vom Datenschutzrecht nicht gefordert. Wie der Gesetzgeber in § 11 Abs. 1 Satz 1 BDSG deutlich mache, könnten personenbezogene Daten im Auftrag durch andere Stellen erhoben, verarbeitet oder genutzt werden, wobei der Auftraggeber für die Einhaltung der Datenschutzvorschriften verantwortlich bleibe. Es sei dabei möglich, dass sich die verantwortliche Stelle keine personen-bezogenen, sondern anonymisierte Datenverarbeitungsergebnisse bereitstellen lasse, um diese für eigene geschäftliche Zwecke zu nutzen. Nichts anderes könne im Verhältnis zweier verantwortlicher Stellen zueinander gelten, wenn die personenbezogenen Daten nur durch eine verantwortliche Stelle erhoben und/oder gespeichert würden, die andere verantwortliche Stelle jedoch diese Erhebung und Speicherung aktiv und gezielt initiiere sowie unterstütze, die Zwecke der Datenverarbeitung dadurch mitbestimme und sich von der anderen verantwortlichen Stelle ein anonymisiertes Verarbeitungsergebnis bereitstellen lasse. Mit Errichtung der Fanpage entscheide die Klägerin nicht nur über den Zweck der Erhebung, Verarbeitung und Nutzung der personenbezogenen Nutzungsdaten, sondern es werde auch über das wesentliche Mittel der Datenverarbeitung entschieden. Ohne den Betrieb der Fanpage seien die konkreten Datenverarbeitungsprozesse nicht möglich.
Es bestehe auch keine Mischform zwischen eigener und Auftragsdatenverarbeitung. § 3 Abs. 7 BDSG sehe nur die eigene Datenerhebung/-verarbeitung/-nutzung oder Auftrags-datenerhebung/-verarbeitung/-nutzung vor, jedoch keine Mischform.
Aus § 12 Abs. 1 und 2 TMG sei nicht ableitbar, dass der Diensteanbieter nicht für die Datenverarbeitung einer anderen Stelle verantwortlich sein könne. Vorliegend ergebe sich die Verantwortlichkeit für die Datenverarbeitung durch Facebook aus § 12 Abs. 3 TMG iVm § 3 Abs. 7 BDSG und Art. 2 d) RL 95/46/EG, wonach für die Verarbeitung Verantwortlicher sei, wer „allein oder gemeinsam mit anderen“ über Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheide. Die Klägerin entscheide in diesem Sinne gemeinsam mit Facebook über Zwecke und Mittel der Verarbeitung von personen-bezogenen Daten. Durch das Anlegen der Fanpage unternehme die Klägerin den entscheidenden Schritt dafür, dass u. a. die IP-Adresse des Nutzers an Facebook geleitet werde. Die Fanpage stelle damit ein wesentliches Mittel zur Datenverarbeitung dar. Die Klägerin leiste einen willentlichen und adäquat kausalen Beitrag zu den datenschutzrechtlichen Verstößen durch Facebook. Die Beklagte verweist auf das Urteil des LG B-Stadt vom 06.03.2012 (- 16 O 551/10 -, juris), das in dem Fall, dass im Rahmen des Registrierungsprozesses bei Facebook Einladungs- und Erinnerungsmails an Personen aus der Kontaktliste des sich registrierenden Nutzers versendet werden, ausgeführt hat, die Versendung der Mails beruhe nicht allein auf dem Entschluss eines Dritten, also der einladenden Nutzer. Vielmehr handelten diese und Facebook als Mittäter gemäß § 830 Abs. 1 Satz 1 BGB, da sie bewusst und gewollt bei der Versendung der E-Mail zusammenwirkten: Die Nutzer stellten die erforderlichen Adressdaten, während Facebook die Erstellung der Mails und deren Versand übernehme. Der Beklagte ist der Auffassung, dass diesel-ben Grundsätze im Verhältnis zwischen dem Fanpage-Betreiber und Facebook zur An-wendung gelangen müssten.
Adressat der Verpflichtungen in §§ 13, 15 TMG sei die datenschutzrechtlich verantwortli-che Stelle gemäß § 12 Abs. 3 TMG iVm § 3 Abs. 7 BDSG und Art. 2 d) RL 95/46/EG. Fanpage-Betreiber seien keine datenschutzrechtlich verantwortliche Stelle, da sie nicht über Zwecke und Mittel der Datenverarbeitung (mit-)entscheiden würden.
Auch der vom Beklagten angestellte Vergleich zwischen dem Betreiben einer Fanpage bei Facebook mit dem Nutzer eines Werbenetzwerkes bzw. der Inanspruchnahme von Angeboten von Online-Inhalten, die Platz auf ihren Websites an Werbenetzbetreiber vermieten (sogenanntes „Behavioural Targeting“) überzeuge nicht. Die Situation des Betreibers einer Fanpage im Netzwerk von Facebook sei nicht mit dem Betrieb einer Website im Internet vergleichbar. Eine Fanpage entstehe gerade nicht im Internet, sondern im (Parallel-)Netzwerk der Beigeladenen. Ein Fanpage-Betreiber habe daher keine mit dem Be-treiber einer Website vergleichbaren Gestaltungs- oder Entscheidungsmöglichkeiten, sondern sei gezwungen, sich an die Spielregeln der Beigeladenen zu halten. Die tatsächlichen Umstände seien somit völlig andere.
Auch die vom Beklagten konstruierte allgemeine Verantwortlichkeit vergleichbar einer „Störerhaftung“ könne die fehlende datenschutzrechtliche Verantwortung der Klägerin nicht ersetzen. Die Figur einer Verantwortlichkeit für Störungszustände sei dem Datenschutzrecht fremd. Der dem deutschen Polizei- und Ordnungsrecht entliehene Begriff der Störerhaftung finde keine Entsprechung in den europarechtlichen Harmonisierungsvorschriften für den Datenschutz. Vielmehr enthalte Art. 2 d) RL 95/46/EG eine eigene explizite Regelung der datenschutzrechtlichen Verantwortlichkeit. Danach sei allein derjenige Verantwortlicher im datenschutzrechtlichen Sinne, der eine Datenverarbeitung steuernd in den Händen halte, in dem er maßgeblich „über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheide“. Eine Verantwortlichkeit für „Störungszustände“ oder für eine Datenverarbeitung, für die allein ein Dritter verantwortlich ist, sei nicht vorge-sehen.
Zunächst ist festzustellen, dass keine Hauptsacheerledigung dadurch eingetreten ist, dass sich die Adresse der Fanpage der Klägerin nach Erlass des Bescheides vom 10.11.2011 in der Fassung des Widerspruchsbescheides vom 25.11.2011 von ……… - wie in den Bescheiden benannt - zu ……….. geändert hat.
Der Bescheid vom 10.11.2011 in der Fassung des Widerspruchsbescheides vom 25.11.2011 ist dahin auszulegen, dass die Anordnung zur Deaktivierung sich auf die je-weils von der Klägerin bei Facebook betriebene Fanpage, unabhängig von der Adressie-rung, bezieht.
Zwar dürfte sie als Betreiberin einer Fanpage als Diensteanbieter iSd § 2 Satz 1 Nr. 1 TMG anzusehen sein, wonach Diensteanbieter jede natürliche oder juristische Person ist, die eigene oder fremde Telemedien zur Nutzung bereithält oder den Zugang zur Nutzung vermittelt (zur Qualifizierung von Fanpages als Telemedien: Ergebnisbericht der Arbeits-gruppe des AK I „Staatsrecht und Verwaltung“ zum Datenschutz in sozialen Netzwerken vom 04. April 2012, Seite 9; Wissenschaftlicher Dienst des Schleswig-Holsteinischen Landtages, Stellungnahme vom 24.11.2011 zur Facebook-Kampagne des ULD , S. 12, www.datenschutzzentrum.de; Inhaber eines geschäftlich genutzten Facebook-Accounts als Diensteanbieter von Telemedien: LG Aschaffenburg, Urteil vom 19.08.2011 - 2 HKO 54/11, 2 HKO 54/11 -, juris; offengelassen durch: OLG Düsseldorf, Beschluss vom 10.05.2012 - I-20 W 20/12 -, juris), jedoch fehlt der Klägerin die datenschutzrechtliche (Mit-)Verantwortlichkeit für die durch den Besuch einer Fanpage ausgelöste Erhebung, Verwendung und Verarbeitung personenbezogener Daten (im Folgenden zusammenfassend: Datenverarbeitung) durch die Beigeladene.
§ 11 Abs. 1 Satz 1 BDSG bestimmt, dass in dem Falle, dass personenbezogene Daten im Auftrag durch andere Stellen erhoben, verarbeitet oder genutzt werden, der Auftraggeber für die Einhaltung der Vorschriften des BDSG und anderer Vorschriften über den Daten-schutz verantwortlich ist. Art. 2 e) RL 95/46/EG bestimmt, dass „Auftragsverarbeiter“ die natürliche oder juristische Person, Behörde, Einrichtung oder jede andere Stelle ist, die personenbezogene Daten im Auftrag des für die Verarbeitung Verantwortlichen verarbeitet.
Damit kann die Klägerin nicht als datenschutzrechtlich Verantwortliche für eine Auftrags-datenverarbeitung durch die Beigeladene iSd § 11 Abs. 1 Satz 1 BDSG bzw. Art. 2 e) RL 95/46/EG angesehen werden.
Gegen dieses Urteil ist das Rechtsmittel der Berufung statthaft. Die Berufung ist innerhalb eines Monats nach Zustellung dieses Urteils schriftlich oder zur Niederschrift des Urkundsbeamten der Geschäftsstelle beim

References: § 13
 § 13
 § 15
 § 2
 § 3
 § 3
 § 38
 § 2
 § 12
 § 3
 § 11
 § 3
 § 12
 § 12
 § 3
 Art. 2
 § 830
 § 12
 § 3
 Art. 2
 Art. 2
 § 2

§ 11
 Art. 2
 § 11
 Art. 2