Source: https://www.kt.at/rechtskonformer-einsatz-von-social-plugins/
Timestamp: 2020-01-18 09:45:46+00:00

Document:
Rechtskonformer Einsatz von Social Plugins - Knyrim Trieb Rechtsanwälte
Beitrag verfasst von Dr. Claudia Gabauer am 03.09.2019 – KTR-Newsletter Sept 2019
EuGH 29.7.2019, C-40/17, Fashion ID GmbH & Co KG/Verbraucherzentrale NRW e.V.
Da sich nicht nur die nationalen Gerichte mit Datenschutzrecht befassen, sondern auch der EuGH erneut mit einer Datenverarbeitung durch einen Facebook-Dienst in seinem Urteil ZUM URTEIL (curia.europa.eu) vom 29. Juli 2019 (Rechtssache C-40/17, Fashion ID GmbH & Co KG/Verbraucherzentrale NRW e.V.) und dort grundlegende Aussagen zu den Anforderungen an die datenschutzrechtskonforme Einbettung von sogenannten „Social Plugins“ auf Webseiten trifft, haben wir unsere Rechtsanwaltsanwärterin Dr. Claudia Gabauer, LL.M. gebeten, dieses Urteil für Sie zu analysieren und Handlungsempfehlungen für dessen Umsetzung in der Praxis zu geben:
Ausgangsfall dieses Urteils ist die Einbindung von „Gefällt mir“-Buttons von Facebook Ireland („Facebook“) auf der Webseite des bekannten Modeunternehmens. Der EuGH stellt fest, dass die Einbindung dieses Social Plugins zur Folge hat, dass bereits beim Aufruf der Fashion ID-Webseite die personenbezogenen Daten der Besucher an Facebook übermittelt werden. Offenbar erfolgt diese Übermittlung, ohne dass sich die Besucher dessen bewusst sind und unabhängig davon, ob sie Mitglieder des sozialen Netzwerks Facebook sind oder den „Gefällt mir“-Button angeklickt haben.
Zur gemeinsamen Verantwortlichkeit von Facebook und Webseiten-Betreiber
Der EuGH hält fest, dass ein Webseiten-Betreiber, der den „Gefällt mir“-Button von Facebook auf seiner Webseite eingebunden hat, für die Vorgänge des Erhebens der personenbezogenen Daten der Besucher der Webseite (IP-Adresse des Rechners des Besuchers sowie technische Informationen des Browsers) und deren Weiterleitung durch Übermittlung an Facebook als gemeinsam mit Facebook verantwortlich iSd Art 2 lit d Datenschutz-Richtlinie 95/46/EG („Datenschutz-Richtlinie“) angesehen werden kann, da der Webseiten-Betreiber und Facebook gemeinsam über die Zwecke und Mittel der Datenverarbeitung entscheiden. Dahingegen ist der Webseiten-Betreiber nicht verantwortlich für Vorgänge, die Facebook nach der Übermittlung dieser Daten vorgenommen hat, wenn der Webseiten-Betreiber nicht über die Zwecke und Mittel der Verarbeitung der personenbezogenen Daten entscheidet.
Der EuGH weist darauf hin, dass nach Art 5 Abs 3 der Datenschutzrichtlinie für elektronische Kommunikation 2002/58/EG („e-Privacy-RL“) die Mitgliedstaaten sicherstellen müssen, dass die Speicherung von Informationen oder der Zugriff auf Informationen, die bereits im Endgerät eines Teilnehmers oder Nutzers gespeichert sind, nur gestattet ist, wenn der betreffende Teilnehmer oder Nutzer auf Grundlage von klaren und umfassenden Informationen, die er gemäß der Datenschutz-Richtlinie u.a. über die Zwecke der Verarbeitung erhält, seine Einwilligung gegeben hat. Kann der Anbieter eines Social Plugins auf Informationen zugreifen, die im Endgerät des Besuchers der Webseite des Betreibers gespeichert sind, so bedarf es demnach einer Einwilligung des Besuchers.
Wem gegenüber muss die Einwilligung erklärt werden?
Der EuGH stellt klar, dass die Einwilligung gemäß Art 2 lit h und Art 7 lit a der Datenschutz-Richtlinie vor dem Erheben der Daten der betroffenen Person und deren Weitergabe durch Übermittlung erklärt werden muss. Daher obliegt es dem Betreiber der Webseite und nicht dem Anbieter des Social Plugins, diese Einwilligung einzuholen, da der Verarbeitungsprozess der personenbezogenen Daten dadurch ausgelöst wird, dass ein Besucher diese Webseite aufruft. Die Einwilligung, die dem Betreiber gegenüber zu erklären ist, betrifft jedoch nur jene Vorgänge der Verarbeitung personenbezogener Daten, für die er tatsächlich über die Zwecke und Mittel entscheidet.
Wen trifft die Informationspflicht?
Das Gleiche gilt für die Informationspflicht nach Art 10 der Datenschutz-Richtlinie. Aus dem Wortlaut dieser Bestimmung ergibt sich, dass der Verantwortliche – oder sein Vertreter – der Person, bei der die Daten erhoben werden, mindestens die in dieser Bestimmung genannten Informationen bereitstellen muss. Es scheint somit, dass der Verantwortliche diese Information sofort zu geben hat, d.h. zum Zeitpunkt des Erhebens der Daten. Daraus folgt für den vorliegenden Fall, dass die Informationspflicht nach Art 10 der Datenschutz-Richtlinie den Webseiten-Betreiber trifft, wobei dieser die betroffene Person jedoch nur in Bezug auf jene Datenverarbeitungsvorgänge informieren muss, für die dieser Betreiber tatsächlich über die Zwecke und Mittel entscheidet.
Obwohl sich das Urteil auf die Datenschutz-Richtlinie bezieht, lassen sich die vom EuGH gezogenen Schlüsse auch auf die Rechtslage nach der DSGVO übertragen, da die materielle Rechtslage im Vergleich zur Vorgängerbestimmung im Wesentlichen unverändert geblieben ist. Daher ist bei einer Einbindung von Social Plugins auf Webseiten von einer gemeinsamen Verantwortlichkeit gemäß Art 26 DSGVO des Webseiten-Betreibers und des Anbieters des Social Plugins auszugehen ist. Für die Frage der Einwilligungsbedürftigkeit von Social Plugins ist es ausschlaggebend, ob das Social Plugin Cookies platziert oder auf vorhandene Cookies zugreift. Nur wenn keine Cookies involviert sind, könnte eine andere Rechtsgrundlage für die Datenverarbeitung – wie z.B. berechtigte Interessen gemäß Art 6 Abs 1 lit f DSGVO – unter Umständen in Betracht gezogen werden.
Überprüfen Sie die Social Plugins sowie Plugins anderer Drittanbieter auf Ihrer Webseite und klären Sie ab, ob bereits mit dem Aufruf der Webseite personenbezogene Daten an den Drittanbieter übermittelt werden
Abschluss einer Vereinbarung nach Art 26 DSGVO
Aufgrund der gemeinsamen Verantwortlichkeit des Webseiten-Betreibers und des Anbieters des Social Plugins ist der Abschluss einer Vereinbarung nach Art 26 DSGVO erforderlich
Der Webseiten-Betreiber hat den Besuchern seiner Webseite nach Art 13 DSGVO Informationen über die Erhebung und die Übermittlung ihrer personenbezogenen Daten an den Anbieter des Social Plugins zur Verfügung zu stellen. Die Datenschutzinformation auf der Webseite sollte daher – sofern erforderlich – entsprechend adaptiert und ergänzt werden.
Werden im Rahmen des Social Plugins Cookies gesetzt, ist hierfür eine Einwilligung der betroffenen Personen erforderlich, die gegenüber dem Webseiten-Betreiber erteilt werden muss. Eine Einwilligung gilt nicht bereits mit dem Aufruf der Webseite als erteilt, sondern muss unmissverständlich in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung erfolgen (vgl. Art 4 Z 11 DSGVO). Es gibt verschiedene Optionen, wie die Einwilligung eingeholt werden kann. Eine Einwilligung kann z.B. durch den Einsatz von Cookie-Konsensmanagern erteilt werden, wobei hier auf die rechtskonforme Umsetzung geachtet werden sollte. Im Fall der sog. „Zwei-Klick-Lösung“ werden Daten erst mit Aktivierung und Anklicken des Social Plugins an den Anbieter des Social Plugins übermittelt. Eine datenschutzfreundliche Lösung bietet die sog. „Shariff-Lösung“, mit der der Nutzer über ein Bildsymbol direkt auf die Webseite des Social Media Anbieters weitergeleitet wird.
Bei dieser Hilfestellung handelt es sich um eine unverbindliche Serviceleistung unserer Kanzlei und um keine verbindliche anwaltliche Auskunft. Das Dokument erhebt keinen Anspruch auf Vollständigkeit. Bei Bedarf können wir Sie gerne bei der Umsetzung dieser Maßnahmen unterstützen, wir haben Umsetzungspakete sowohl für Facebook Fanpages als auch der Gefällt-mit – Buttons, die wir anbieten können. – Anfragen bitte an kt@kt.at oder 01/9093070.
Österr. Anwalt startet DSGVO-Abmahnwelle Das DVR wird abgedreht

References: EuGH 
 EuGH 
 EuGH 
 EuGH 
 EuGH 
 EuGH 
 EuGH