Source: https://www.recht.help/2018/05/23/unternehmerseite-auf-facebook-was-ist-zu-beachten/
Timestamp: 2020-02-17 22:42:17+00:00

Document:
Unternehmerseite / Fanpage auf Facebook? - Was ist zu beachten?
Der EuGH (Urteil vom 5.6.18 - C‑210/16) hat entschieden, dass Betreiber einer Unternehmerseite / Fanpage bei Facebook für die dortige Verarbeitung personenbezogener Daten mitverantwortlich ist. Was dies bedeutet und welche Anforderungen nunmehr an die Betreiber zu stellen sind, soll nachfolgender Artikel beleuchten.
Warum sind Betreiber einer Unternehmerseite / Fanpage für die Datenverarbeitung bei Facebook mitveranwortlich?
Das Bundesverwaltungsgericht befasste sich mit der Frage, ob Fanpage-Betreiber für die Datenverarbeitung personenbezogener Daten bei Facebook (mit-)verantwortlich sind. Da der Datenschutz eine starke europarechtliche Ausprägung aufweist, fragte das Gericht sodann bei dem EuGH nach.
Der EuGH entschied, dass ein Betreiber einer Unternehmerseite (sogenannt Fanpage) bei Facebook, für die Verarbeitung personenbezogener Daten neben Facebook mitverantwortlich ist.
[Der Begriff der Verarbeitung ist im Übrigen sehr weit gefasst und beginnt bereits bei der Erhebung (=Erfassen der Personeninformation) und geht über die Verwendung und Verwahrung bis hin zur vollständigen Löschung (siehe Art. 4 Nr.2 DSGVO).]
Diese Feststellung traf der EuGH aufgrund folgender Überlegungen:
Der Fanpage-Betreiber geht mit Facebook einen Nutzungsvertrag ein. Hierdurch gestattet es der Fanpage-Betreiber dem Unternehmen Facebook zwangsläufig, sogenannte Cookies auf den Endgeräten der Besucher der Fanpage zu platzieren. Über diese Cookies erhebt Facebook dann personenbezogene Daten und stellt sie dem Fanpage-Betreiber als anonymisierte Statistik dar.
Auch wenn die Fanpage-Betreibern eigentlich nur diese anonymisierte Auswertung der Daten seitens Facebook erhalten, reicht dies nach dem EuGH für eine eine Mitveranwortlichkeit aus. Der Begriff der (Mit-)Verantwortlichkeit ist nämlich im Sinne des Datenschuitzes weit auszulegen.
Ich betreibe eine Facebook-Seite! - Was soll ich tun?
Die Entscheidung des EuGH hat in erster Linie erst einmal keine Bedeutung für die Nutzung von Facebook für private Zwecke.
Insbesondere Selbstständige und Unternehmer, die sich oder Ihr Produkt über Facebook bewerben, sollten sich zunächst einmal über die Ihre Mitverantwortlichkeit der Verarbeitung in Sozialen Medien bewusst werden. Dieses ist Urteil ist nämlich nicht nur auf Facebook begrenzt, sondern erstreckt sich auch auf andere Plattformen wie instagram, twitter, youtube, etc.
Grundsätzlich ist die Abschaltung dieser Fanpages in rechtlicher Hinsicht natürlich der sicherste Weg, einer Mitveranwortlichkeit zu entgehen.
Es muss jedoch beachtet werden, dass gerade die eigene Fanpage bei Facebook ein wichtiges Marketinginstrument darstellt und eine Abschaltung mit erheblichen Umsatzeinbußen einhergehen könnte.
Solange das Urteil nicht in dem Verfahren vor dem Bundesverwaltungsgericht gesprochen ist, ist eine Abschaltung der Fanpage allein aus praktikablen Gründen nicht ratsam.
Denn einerseits bleibt abzuwarten, wie Facebook auf dieses Urteil reagiert. Anderseits stellt der EuGH eben auch klar, dass die Annahme der gemeinsamen Verantwortlichkeit für Datenschutzverstöße nicht zu einer Gleichwertigkeit zwischen Fanpage-Betreibern und Facebook führe. Der Grad der jeweiligen Verantwortlichkeit dürfte vor dem Hintergrund der Frage, welche personenbezogenen Daten wer wie verarbeitet, in jedem Einzelfall individuell zu beurteilen. Der EuGH äußert sich wie folgt:
„Klarzustellen ist, dass das Bestehen einer gemeinsamen Verantwortlichkeit, wie der Generalanwalt in den Nrn. 75 und 76 seiner Schlussanträge ausgeführt hat, aber nicht zwangsläufig eine gleichwertige Verantwortlichkeit der verschiedenen Akteure zur Folge hat, die von einer Verarbeitung personenbezogener Daten betroffen sind. Vielmehr können diese Akteure in die Verarbeitung personenbezogener Daten in verschiedenen Phasen und in unterschiedlichem Ausmaß in der Weise einbezogen sein, dass der Grad der Verantwortlichkeit eines jeden von ihnen unter Berücksichtigung aller maßgeblichen Umstände des Einzelfalls zu beurteilen ist.“ (siehe EuGH, Urteil vom 5.6.18 - C‑210/16, RN 43; siehe unten)
Das Urteil klingt zunächst einmal nach einem Paukenschlag, aber Fanpage-Betreiber sollten aus praktikabelen Gesichtpunkten heraus erst einmal das tun, was sie können: Die eigene Datenschutzerklärung auf der eigenen Internetseite entsprechend anpassen und sodann bei Facebook verlinken. In der Facebook-Seiteninformation unter "Datenschutzrichtlinie" kann die eigene, extern gespeicherte Datenschutzerklärung verlinkt werden.
Das Urteil (EuGH, Urteil vom 5.6.18 - C‑210/16) gibt es hier:
Der Auftraggeber hat sich vor Beginn der Datenverarbeitung und sodann regelmäßig von der Einhaltung der beim Auftragnehmer getroffenen technischen und organisatorischen Maßnahmen zu überzeugen. Das Ergebnis ist zu dokumentieren. …“
Ist in Fällen, in denen ein außerhalb der Europäischen Union ansässiger Mutterkonzern in verschiedenen Mitgliedstaaten rechtlich selbständige Niederlassungen (Tochtergesellschaften) unterhält, nach Art. 4 und Art. 28 Abs. 6 der Richtlinie 95/46 die Kontrollstelle eines Mitgliedstaats (hier: Deutschland) zur Ausübung der nach Art. 28 Abs. 3 dieser Richtlinie übertragenen Befugnisse gegen die im eigenen Hoheitsgebiet gelegene Niederlassung auch dann befugt, wenn diese Niederlassung allein für die Förderung des Verkaufs von Werbung und sonstige Marketingmaßnahmen mit Ausrichtung auf die Einwohner dieses Mitgliedstaats zuständig ist, während der in einem anderen Mitgliedstaat (hier: Irland) gelegenen selbständigen Niederlassung (Tochtergesellschaft) nach der konzerninternen Aufgabenverteilung die ausschließliche Verantwortung für die Erhebung und Verarbeitung personenbezogener Daten im gesamten Gebiet der Europäischen Union und damit auch in dem anderen Mitgliedstaat (hier: Deutschland) obliegt, wenn tatsächlich die Entscheidung über die Datenverarbeitung durch den Mutterkonzern getroffen wird?
Sind Art. 4 Abs. 1 Buchst. a und Art. 28 Abs. 3 der Richtlinie 95/46 dahin auszulegen, dass in Fällen, in denen der für die Verarbeitung Verantwortliche eine Niederlassung im Hoheitsgebiet eines Mitgliedstaats (hier: Irland) besitzt und eine weitere, rechtlich selbständige Niederlassung in dem Hoheitsgebiet eines anderen Mitgliedstaats (hier: Deutschland) besteht, die u. a. für den Verkauf von Werbeflächen zuständig ist und deren Tätigkeit auf die Einwohner dieses Staates ausgerichtet ist, die in diesem anderen Mitgliedstaat (hier: Deutschland) zuständige Kontrollstelle Maßnahmen und Anordnungen zur Durchsetzung des Datenschutzrechts auch gegen die nach der konzerninternen Aufgaben- und Verantwortungsverteilung für die Datenverarbeitung nicht verantwortliche weitere Niederlassung (hier: in Deutschland) richten kann, oder sind Maßnahmen und Anordnungen dann nur durch die Kontrollbehörde des Mitgliedstaats (hier: Irland) möglich, in dessen Hoheitsgebiet die konzernintern verantwortliche Stelle ihren Sitz hat?
Sind die Art. 4 Abs. 1 Buchst. a sowie Art. 28 Abs. 3 und 6 der Richtlinie 95/46 dahin auszulegen, dass in Fällen, in denen die Kontrollbehörde eines Mitgliedstaats (hier: Deutschland) eine in ihrem Hoheitsgebiet tätige Person oder Stelle nach Art. 28 Abs. 3 dieser Richtlinie wegen der nicht sorgfältigen Auswahl eines in den Datenverarbeitungsprozess eingebundenen Dritten (hier: Facebook) in Anspruch nimmt, weil dieser Dritte gegen Datenschutzrecht verstoße, die tätig werdende Kontrollbehörde (hier: Deutschland) an die datenschutzrechtliche Beurteilung der Kontrollbehörde des anderen Mitgliedstaats, in dem der für die Datenverarbeitung verantwortliche Dritte seine Niederlassung hat (hier: Irland), in dem Sinne gebunden ist, dass sie keine hiervon abweichende rechtliche Beurteilung vornehmen darf, oder darf die tätig werdende Kontrollstelle (hier: Deutschland) die Rechtmäßigkeit der Datenverarbeitung durch den in einem anderen Mitgliedstaat (hier: Irland) niedergelassenen Dritten als Vorfrage des eigenen Tätigwerdens selbständig auf seine Rechtmäßigkeit prüfen?
Soweit der tätig werdenden Kontrollstelle (hier: Deutschland) eine selbständige Überprüfung eröffnet ist: Ist Art. 28 Abs. 6 Satz 2 der Richtlinie 95/46 dahin auszulegen, dass diese Kontrollstelle die ihr nach Art. 28 Abs. 3 dieser Richtlinie übertragenen wirksamen Einwirkungsbefugnisse gegen eine in ihrem Hoheitsgebiet niedergelassene Person oder Stelle wegen der Mitverantwortung für die Datenschutzverstöße des in einem anderen Mitgliedstaat niedergelassenen Dritten nur und erst dann ausüben darf, wenn sie zuvor die Kontrollstelle dieses anderen Mitgliedstaats (hier: Irland) um die Ausübung ihrer Befugnisse ersucht hat?
Quelle: EuGH, siehe hier.
Bitte beachten Sie, dass trotz sorgfältiger Recherche keine Gewähr für die inhaltliche Richtigkeit oder Aktualität, etc. der Informationen übernommen werden kann. Ebenso wird jegliche Haftung ausgeschlossen. Diese Informationen ersetzen keine Rechtsberatung. Die Informationen sind allgemein gehalten, während eine Rechtsberatung sich inhaltlich ganz konkret mit Ihrem persönlichen Anliegen auseinandersetzt. Es ist daher dringend zu empfehlen, dass Sie sich, soweit Sie konkret betroffen sind, unverzüglich mit einem Rechtsanwalt in Verbindung setzten. Insbesondere wird um Beachtung gebeten, dass das Thema Datenschutz - auch im Zuge der Einführung DSGVO- viele Fragen aufwirft, die bisher noch nicht rechtssicher geklärt sind. Es handelt sich insoweit um eine Rechtsansicht, die geäußert wird. Stand der Information: Juni 2018.
tagPlaceholderTags: Datenschutzrecht

References: EuGH 
 EuGH 
 EuGH 
 Art. 4
 EuGH 
 EuGH 
 EuGH 
 EuGH 
 EuGH 
 Art. 4
 Art. 28
 Art. 28
 Art. 4
 Art. 28
 Art. 4
 Art. 28
 Art. 28
 Art. 28
 Art. 28