Source: https://www.admody.com/urteilsdatenbank/673f03b3ce9f/Schleswig-Holsteinisches-OVG_Urteil_vom_4-September-2014_Az_4-LB-20-13
Timestamp: 2019-09-21 21:52:04+00:00

Document:
Schleswig-Holsteinisches OVG, Urteil vom 4. September 2014, Az.: 4 LB 20/13
Betreiber von Fanpages bei Facebook können mit Hilfe des von Facebook kostenfrei zur Verfügung gestellten Werkzeuges €Facebook-Insights€ anonymisierte Statistik-Informationen über Nutzer erhalten. Die durch Facebook erstellten Statistiken enthalten Angaben über die Nutzung der Fanpage. Dazu gehören Informationen über den Nutzerzuwachs, die Demographie der Nutzer und über die Nutzung der einzelnen Funktionalitäten der Fanpage (vom Beklagten Reichweitenanalyse genannt).
Nach Anhörung der Klägerin ordnete der Beklagte mit Bescheid vom 3. November 2011 gemäß § 38 Abs. 5 S. 1 BDSG gegenüber der Klägerin an, dafür Sorge zu tragen, dass die von ihr bei Facebook betriebene Fanpage deaktiviert werde. Falls die Klägerin dieser Verpflichtung nicht innerhalb von 6 Wochen nach Zustellung des Bescheides nachkomme, werde gegen sie ein Zwangsgeld in Höhe von 5.000,00 € verhängt. Zur Begründung verwies der Beklagte darauf, dass Nutzungsdaten nach § 15 TMG (u.a. IP-Adresse, die Cookie-ID aus dem Cookie €datr€, Familien- und Vorname, Geburtsname) von Nutzern, welche die Fanpage der Klägerin aufriefen, nach § 15 Abs. 3 Satz 1 TMG für Zwecke der Werbung von Facebook erhoben würden, ohne dass die Klägerin als die nach § 12 Abs. 2 TMG i.V.m. § 3 Abs. 7 BDSG für die Datenverarbeitung datenschutzrechtlich verantwortliche Stelle den Nutzer über eine Widerspruchsmöglichkeit unterrichte. Die von Facebook zur Verfügung gestellte Infrastruktur erlaube es der Klägerin schon technisch nicht, einen Widerspruchmechanismus einzurichten. Selbst bei etwaigen Widersprüchen von Fanpagebesuchern gegen die Erstellung von Nutzungsprofilen bestehe für die Klägerin keine Möglichkeit, eine solche Datenverarbeitung durch Facebook für die Zukunft auszuschließen. Die angeordnete Maßnahme sei deshalb erforderlich. Des Weiteren verarbeite Facebook gewonnene Nutzungsdaten zu pseudonymen Nutzerprofilen, so dass in diesem Zusammenhang ein Verstoß gegen § 15 Abs. 3 S. 3 TMG vorliege, da Nutzungsprofile nicht mit Daten über die Träger des Pseudonyms zusammengefasst werden dürften.
Die Klägerin leiste mit dem Anlegen der Fanpage einen willentlichen und adäquat kausalen Beitrag zu der Herbeiführung der rechtswidrigen Beeinträchtigungen der Nutzer. Die Klägerin könne sich ihrer Verantwortlichkeit nicht dadurch entziehen, dass sie den Störungszustand allein auf ein Verhalten von Facebook zurückführe. So habe das Landgericht Berlin entschieden, dass ein Nutzer, welcher E-Mail-Adressen von anderen Personen auf dem Facebook-Portal €hochlade€, den entscheidenden Beitrag dafür leiste, dass Facebook im Anschluss diese E-Mail-Adressen für Werbezwecke nutze, ohne dass hierfür eine Einwilligung der anderen Person vorliege. In diesem Zusammenhang seien Facebook und der jeweilige Nutzer als Mittäter im Sinne des § 830 Abs. 1 S. 1 BGB zu qualifizieren. Dies sei auf den vorliegenden Fall übertragbar. Selbst wenn der Klägerin die bevorstehenden Verletzungen datenschutzrechtlicher Vorschriften nicht bewusst gewesen sein sollten, so habe sie spätestens durch Veröffentlichungen und die Hinweise im Vorverfahren Kenntnis von dem mitverursachten Störungszustand erhalten. Die Aufrechterhaltung dieses Zustandes habe sie billigend in Kauf genommen. Einer Verantwortlichkeit könne die Klägerin sich auch nicht mit dem Verweis auf eine vermeintliche Einwilligung der Nutzer in die Datenverarbeitung durch Facebook entziehen.
Adressat der Verpflichtungen in §§ 13, 15 TMG sei die datenschutzrechtlich verantwortliche Stelle gemäß § 12 Abs. 3 TMG iVm § 3 Abs. 7 BDSG und Art. 2 d) RL 95/46/EG. Fanpage-Betreiber seien keine datenschutzrechtlich verantwortliche Stelle, da sie nicht über Zwecke und Mittel der Datenverarbeitung (mit-)entscheiden würden. Die Datenverarbeitung für die Insights-Funktion laufe unbeeinflusst von den Betreibern einer Fanpage ab. Diese hätten keine Entscheidungsbefugnis in Bezug auf die Zwecke und Mittel der Datenverarbeitung. Die Möglichkeit, Nutzeraktivitäten auf einer Fanpage nachzuverfolgen, die Art der Verarbeitung der Daten und sogar, dass und wie diese aufbereitet und den Fanpage-Betreibern zur Verfügung gestellt würden, habe sie unabhängig vom einzelnen Fanpage-Betreiber entschieden und in ihrer Infrastruktur angelegt. Der Entscheidungsspielraum der Fanpage-Betreiber beschränke sich einzig und allein auf die Frage, ob sie eine Fanpage anlegten oder nicht. Diese Entscheidung, eine Fanpage anzulegen, sei allein nicht als Entscheidung über die €Zwecke und Mittel der Verarbeitung von personenbezogenen Daten€ anzusehen. Im Sinne des Art. 2 d) RL 95/46/EG genüge gerade nicht jede Entscheidung, die entfernt ursächlich für das Ergebnis einer Datenverarbeitung sein könne. Vielmehr müsse die Entscheidungsbefugnis die Möglichkeit einräumen, die Datenverarbeitung selbst zu kontrollieren.
Das durch den Beklagten mit der Terminologie €gemeinsame Zwecksetzung€ suggerierte Zusammenwirken zwischen der Klägerin und ihr existiere nicht. Eine gemeinsame Zwecksetzung, wenn es sie denn tatsächlich gäbe, sei für eine gemeinsame Verantwortlichkeit ohnehin nicht ausreichend. Gemäß Art. 2 d) RL 95/46/EG sei nämlich die Entscheidung über €Zwecke und Mittel€ der Verarbeitung entscheidend, nicht über €Zwecke oder Mittel€. Die gemeinsame Zwecksetzung sei danach zwar eine notwendige, aber keine hinreichende Bedingung für das Vorliegen einer gemeinsamen Verantwortlichkeit. Auf die Mittel der Datenverarbeitung, insbesondere die im Netzwerk der Beigeladenen implementierte Insights-Funktion, habe die Klägerin aber keinen Einfluss.
Auch die vom Beklagten konstruierte allgemeine Verantwortlichkeit vergleichbar einer €Störerhaftung€ könne die fehlende datenschutzrechtliche Verantwortung der Klägerin nicht ersetzen. Die Figur einer Verantwortlichkeit für Störungszustände sei dem Datenschutzrecht fremd. Art. 2 d) RL 95/46/EG enthalte eine eigene explizite Regelung der datenschutzrechtlichen Verantwortlichkeit. Danach sei allein derjenige Verantwortlicher im datenschutzrechtlichen Sinne, der eine Datenverarbeitung steuernd in den Händen halte, in dem er maßgeblich €über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheide€. Diese Definition der Verantwortlichkeit sei bei der Umsetzung der Datenschutzrichtlinie in nationales Recht nicht erweitert worden. Vielmehr sei § 3 Abs. 7 BDSG in Anlehnung an die Terminologie des Art. 2 d) RL 95/46/EG formuliert worden. Eine national-autonome Erweiterung auf €Nichtverantwortliche€ im Sinne der RL 95/46/EG sei also nicht beabsichtigt gewesen und wäre darüber hinaus europarechtlich unzulässig.
Mit dem Begriff €Diensteanbieter€ im Sinne des Telemediengesetzes werde hinsichtlich der Bearbeitung personenbezogener Daten keine spezialgesetzliche Verantwortlichkeit abweichend von dem Begriff der verantwortlichen Stelle gemäß § 3 Abs. 7 BDSG bzw. Art. 2 d) der RL 95/46/EG (Datenschutzrichtlinie) geregelt.
Die Beigeladene sei hinsichtlich der Erhebung, Verarbeitung und Nutzung personenbezogener Daten der Nutzer der Fanpage keine Auftragnehmerin der Klägerin. Ein Auftragsverhältnis zwischen der Klägerin und der Beigeladenen bestehe insoweit nicht. Es sei nicht feststellbar, dass insoweit in irgendeiner Weise eine vertragliche Beziehung zwischen der Klägerin und der Beigeladenen bestehe. Die vertragliche Beziehung sei für das Zurverfügungstellen der Fanpage durch die Beigeladene an die Klägerin entsprechend den Nutzungsbedingungen der Beigeladenen beschränkt. Die Erhebung, Verwendung und Verarbeitung personenbezogener Daten von Nutzern der Fanpage durch die Beigeladene sei nicht Gegenstand dieser Vereinbarung. Soweit die Beigeladene der Klägerin den kostenlosen Dienst €Insights€ zur Verfügung stelle, handele es sich lediglich um eine unabhängig von einem Auftrag ausgeführte statistische Auswertung der Nutzung der Fanpage mit dem Ergebnis von anonymisierten Statistikmaterial. Das für die Annahme eines Auftragsverhältnisses wesentliche Element eines vertraglichen Weisungsrechts fehle im Vertragsverhältnis der Klägerin und der Beigeladenen. Die Klägerin sei nicht €Herrin der Daten€.
Die Klägerin sei auch nicht verantwortliche Stelle gemäß § 3 Abs. 7 1. Alt. BDSG und Art. 2 d) RL 95/46/EG, da sie nicht €gemeinsam mit anderen€ über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheiden würde.
Das Verwaltungsgericht erkenne die technischen Abläufe nur lückenhaft. Es habe nicht berücksichtigt, dass Facebook neben den genannten Cookies weitere Cookies setze. Vor diesem Hintergrund greife die Feststellung des Verwaltungsgerichts zu kurz, dass die eingesetzten Cookies einzig der Identifizierung von Mitgliedern und des Schutzes des Netzwerkes vor €böswilligen Aktivitäten€ dienten.
Für Facebook seien Fanpagebetreiber ein wichtiger Kooperationspartner, um Cookies zu verarbeiten. Die Fanpage-Angebote mit ihren Inhalten steigerten die Attraktivität des Netzwerkes für dessen Mitglieder. Vor allem aber lockten die dort präsentierten Inhalte Internetnutzer auf die von Facebook bereitgestellte Infrastruktur, die bislang keine Facebook-Mitglieder seien. Auch die Fanpagebetreiber profitierten von der Fanpage und setzen diese ein, obwohl sie wüssten, dass dadurch Profildaten der Nutzer zu Werbezwecken erhoben werden. Die Fanpage biete ihnen eine leistungsstarke Infrastruktur für die Vermarktung von Inhalten im Internet. An den im Rahmen des Netzwerkes erhobenen Nutzungsdaten partizipiere der Fanpagebetreiber unmittelbar. Er erhalte über die Funktion €Facebook-Insights€ aussagekräftige Statistiken über die Besucher seiner Fanpage und könne so die Wirksamkeit seines Werbeauftritts in der Öffentlichkeit messen.
Wann eine Stelle für die Einhaltung der Datenschutzvorschriften verantwortlich sei, regele nicht § 11 BDSG, sondern allein die allgemeine Definition aus § 3 Abs. 7 BDSG, die im Lichte von Art. 2 d) RL 95/46/EG auszulegen sei. Bei der Anwendung der Vorschrift verkenne das Verwaltungsgericht, dass die Klägerin als Fanpagebetreiberin sowohl über den Zweck als auch über die Mittel der Erhebung der Verarbeitung der Nutzungsdaten tatsächlich entscheide. Sie entscheide gemeinsam mit Facebook über den Zweck der Verarbeitung der Nutzungsdaten, indem sie ihre Fanpage angelegt habe und betreibe. Sie nutze die Fanpage für Werbezwecke und zur bedarfsgerechten Gestaltung ihrer angebotenen Telemedien. Die Zwecke könnten nicht auseinanderdividiert werden. Die Klägerin bezahle ihre öffentliche Präsentation mit den personenbezogenen Daten der Besucher der Fanpage. Die Klägerin entscheide auch über die Mittel der Datenverarbeitung im Sinne der Richtlinie. Dem stehe nicht entgegen, dass sie nicht unmittelbar auf die erhobenen Nutzungsdaten und die technischen Abläufe zugreifen könne. Die Entscheidung über die €Mittel€ müsse nicht die technischen Abläufe beinhalten, sondern einzig das €Wie€ der Datenverarbeitung. Während der Verantwortliche die technischen Details an einen Auftragsverarbeiter delegieren könne, trage die Verantwortung derjenige, der die €wesentlichen Elemente€ der Datenverarbeitung festlege. Diese Anforderung erfülle die Klägerin, da sie bewusst die Fanpage mit der darin enthaltenen €Insights-Funktion€ einsetze, zudem leisteten die Fanpagebetreiber durch das Erstellen von Inhalten einen wesentlichen Beitrag für die Erhebung und Verarbeitung der Nutzungsdaten. Die Auffassung, dass die Klägerin (mit-)verantwortliche Stelle im Sinne von Art. 2 b) und d) RL 95/46/EG sei, werde durch die Entscheidung des EuGH vom 13. Mai 2014 (C - 131/12) bestätigt. Der EuGH habe eine gemeinsame datenschutzrechtliche Verantwortlichkeit von Suchmaschinenbetreiber und Webseitenbetreiber für möglich gehalten, was zeige, dass an die Annahme einer gemeinsamen Verantwortlichkeit keine hohen Anforderungen gestellt werden dürften. Allein die technische Option, durch Aufschlussprotokolle oder Codes eine Indizierung durch den Suchmaschinenbetreiber zu verhindern, könne daher zur Annahme einer datenschutzrechtlichen Verantwortlichkeit von Suchmaschinenbetreibern und Webseitenbetreibern führen, da diese gemeinsam über die verwendeten Mittel entscheiden würden. Führe bereits dieses Zusammenwirken zwischen Suchmaschinenbetreiber und Webseitenbetreiber zur Annahme einer gemeinsamen datenschutzrechtlichen Verantwortlichkeit, so treffe dies für die dargelegte Kooperation zwischen Facebook und der Klägerin erst recht zu. Zwischen Facebook und der Berufungsbeklagten bestehe eine vertragliche Vereinbarung zum Betrieb einer Fanpage.
Die vom Verwaltungsgericht vertretene Ansicht führe zu erheblichen Schutzlücken. Das Gericht verletze die gemäß Art. 8 EU-GrCH beziehungsweise Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 GG bestehende Schutzpflicht für das Recht auf informationelle Selbstbestimmung. Die Schutzdefizite müssten jedenfalls durch die Anwendung der Grundsätze der Störerhaftung geschlossen werden. Dem stehe weder Art. 2 d) RL 95/46/EG noch die vom Verwaltungsgericht zitierte Entscheidung des EuGH (Rechtsachen C - 468/10 und C - 469/10) entgegen, da diese den Harmonisierungsgrad der Richtlinie für die in Kapitel II der Richtlinie geregelten Erlaubnisgründe beträfen. Daraus könne nicht ohne Weiteres auf den vollharmonisierenden oder gar abschließenden Charakter der Richtlinie im Ganzen geschlossen werden. Auch der Zweck der Richtlinie zwinge dazu, dass neben der datenschutzrechtlichen Verantwortlichkeit Raum für die allgemeinen Grundsätze der Störerhaftung bleibe. Art. 1 Abs. 1 RL 95/46/EG verpflichte die Mitgliedsstaaten, den Schutz der Grundrechte und Grundfreiheiten und insbesondere den Schutz der Privatsphäre natürlicher Personen bei der Verarbeitung personenbezogener Daten zu gewährleisten. Auch das BDSG gebe den für die Auslegung nötigen Raum, damit die Aufsichtsbehörden Anordnungen gegen die Störer treffen könnten. Aus dem Wortlaut des § 38 Abs. 5 BDSG folge jedenfalls nicht, dass die Behörde die Anordnung ausschließlich gegenüber verantwortlichen Stellen aussprechen dürfe. Aus dem Gesetzeszusammenhang ergebe sich zwar, dass Adressat der Maßnahmen die verantwortlichen Stellen sein können. Allein § 11 Abs. 4 S. 2 BDSG zeige aber, dass die Maßnahmen nicht allein an den Verantwortlichen, sondern auch an andere Stellen gerichtet sein könnten, wie etwa Auftragsdatenverarbeiter. Gemäß § 173 Abs. 1 LVwG führten Polizei- und Ordnungsbehörden wie das ULD zwar die Aufgabe der Gefahrenabwehr nach den besonderen Regelungen ihres jeweiligen Ordnungsrechts durch. Soweit diese aber fehlten und eine abschließende Regelung nicht enthielten, würden die allgemeinen Regeln des Gefahrenabwehrrechts aus den §§ 174 - 227 LVwG, § 173 Abs. 2 LVwG gelten. Die Klägerin erfülle mit ihrem Verhalten die Voraussetzung für die Inanspruchnahme als Zweckveranlasser, da Facebook datenschutzrechtliche Nutzungsdaten verarbeite und die Berufungsbeklagte mit dem Betrieb der Fanpage einen Beitrag leiste, der mit der Störung eine natürliche Handlungseinheit bilde. Mit dem Dienst €Facebook-Insights€ verstoße Facebook gegen geltendes Datenschutzrecht. Dabei könne dahinstehen, ob die Handlungen des Netzwerkbetreibers nach § 1 Abs. 5 S. 2 BDSG dem deutschen oder gemäß § 1 Abs. 5 S. 1 BDSG dem irischen Datenschutzrecht unterlägen. Richtig sei allerdings, dass Facebook Inc. deutsches Datenschutzrecht, insbesondere die Regelungen des TMG, beachten müsse, denn Facebook Inc. betreibe in Deutschland mit der Facebook Germany GmbH eine Niederlassung im Sinne von Art. 4 Abs. 1 a) der RL 95/46/EG. Deutsches Datenschutzrecht sei jedenfalls anwendbar, weil die amerikanische Facebook-Konzernmutter in Deutschland personenbezogene Daten verarbeite und die Anwendung deutschen Datenschutzrechts nicht gemäß § 1 Abs. 5 S. 1 1. HS BDSG durch irisches Datenschutzrecht ausgeschlossen werde.
Sie erwidert:Die Ausführungen des Beklagten zur lückenhaften technischen Bewertungsgrundlage des Verwaltungsgerichts entbehrten jeglicher Substanz. Er beschränke seinen Vortrag auf €erhebliche Zweifel€ an den Ausführungen und Erklärungen von Facebook zu Art, Umfang und Erforderlichkeit eingesetzter Cookies. Es sei nicht dargelegt und nicht ersichtlich, mit welchen Cookies und durch welche Handlungen genau Facebook gegen datenschutzrechtliche Bestimmungen verstoße. Die für Facebook zuständige Datenschutzbehörde in Irland komme zum Ergebnis der Datenschutzkonformität von Facebook.
Unberücksichtigt bleibe auch die vom Beklagten selbst zu Recht angeführte Möglichkeit eines jeden Nutzers der Plattform, durch entsprechende Browsereinstellungen die Annahme von Cookies schon vor Verwendung etwaiger Onlinedienste zu unterbinden. Unberücksichtigt bleibe des Weiteren das Informationsangebot von Facebook, das jedem Nutzer die Möglichkeit biete, sich schon vor der Registrierung über datenschutzrechtliche Aspekte auf der Plattform €Facebook€ zu informieren.
Die Klägerin sei falsche Adressatin der Anordnung. Sie bediene sich schlicht einer vorgegebenen Infrastruktur. Sie nutze diese genauso wie die User, welche die Fanpage der Klägerin aufriefen. Der Beklagte möge sich insoweit an den Betreiber von €Facebook€ wenden und sich gegebenenfalls mit der irischen Datenaufsicht ins Benehmen setzen.
Im Übrigen erschöpften sich die Ausführungen des Beklagten in nicht näher substantiierten Mutmaßungen mit Blick auf mögliche Datennutzungen durch Facebook, die über das Erforderliche hinausgingen. Tatsächliche Anhaltspunkte stützten diese Mutmaßungen nicht. Schlicht falsch sei in diesem Zusammenhang die Darstellung des Beklagten, Fanpagebetreiber seien für Facebook €Kooperationspartner, um Cookies zu verbreiten€. Richtig sei allein, dass Facebook eine technische Infrastruktur zur Verfügung stelle, die sowohl Betreiber von sogenannten Fanpages als auch deren Besucher nutzten, um sich auf dieser zur Verfügung gestellten Infrastruktur zu treffen. Ohne den als selbstverständlich vorausgesetzten Betrieb einer entsprechenden Fanpage sähe sich die Klägerin erheblichen Wettbewerbsnachteilen im Vergleich zu denjenigen Unternehmen ausgesetzt, die eine entsprechende Fanpage betreiben und auf dem Medium €Facebook€ sichtbar seien. Es gehe nicht um Kostenersparnisse, sondern allein um eine dem Markt geschuldete angemessene Sichtbarkeit im digitalen Umfeld.
Eine Auftragsdatenverarbeitung komme in der Konstellation Fanpage - Nutzer / Facebook unter keinem rechtlichen oder tatsächlichen Gesichtspunkt in Betracht. Es fehle nicht nur an entsprechenden Vereinbarungen, vielmehr liege bereits im Ausgangspunkt konstruktiv auch keine mit der Auftragsdatenverarbeitung vergleichbare Ausgangslage vor. Die Klägerin habe Facebook nicht mit der Verarbeitung irgendwelcher Daten beauftragt. Die Beklagte unterhalte lediglich ein Nutzungsverhältnis mit Facebook, das es ihr ermögliche, eine Fanpage auf der von Facebook zur Verfügung gestellten Infrastruktur zu betreiben. Sie habe gar kein Interesse daran, dass Facebook irgendwelche Daten erhebe. Wenn und soweit Facebook Daten erhebe, erfolge dies jedenfalls nicht auf Veranlassung oder im Auftrag der Klägerin. Kennzeichen für eine Auftragsdatenverarbeitung im Sinne des § 11 BDSG sei, dass Daten vom Auftragsdatenverarbeiter für einen Auftraggeber im Sinne des Auftraggebers nach Weisungen des Auftraggebers so erhoben werden, dass es sich bei den erhobenen Daten ausschließlich um solche des Auftraggebers und nicht des Auftragsnehmers handele. Vorliegend habe die Klägerin jedoch überhaupt keine Kenntnis von irgendwelchen Daten, die gegebenenfalls von Facebook erhoben werden. Sie entscheide auch nicht gemeinsam mit Facebook über den Zweck der Verarbeitung der Nutzungsdaten. Sie erhebe keine Nutzungsdaten. Soweit Facebook Daten von Nutzern erhebe und diese Nutzungsdaten zudem im Zusammenhang mit der von der Klägerin betriebenen Fanpage stehen sollten, was nach wie vor offen sei, handele es sich hierbei allein um Handlungen von Facebook. Diese Handlungen würden weder von der Klägerin unterstützt, noch liege dem gar ein gemeinsamer Entschluss der Beklagten mit Facebook zugrunde. Auch die immer wieder zitierte Facebook - Funktionalität €Facebook-Insights€ führe nicht zu einer anderen rechtlichen Beurteilung. Niemand nutze Facebook wegen €Insights€. Bei der entsprechenden Funktionalität, aufgrund derer anonymisierte Nutzerstatistiken zur Verfügung gestellt werden, handele es sich schlicht um einen €nicht abstellbaren Service€ von Facebook als Infrastrukturanbieter. Ihr fehle das für die Begründung einer eigenen Verantwortlichkeit erforderliche Bestimmungsrecht über die von Besuchern von der Fanpage von Facebook erhobenen Daten. Das Bestimmungsrecht liege ausschließlich bei Facebook. Dies sei auch ohne Weiteres für den durchschnittlichen Facebook - Nutzer erkennbar.
Die vom Beklagten vorgebrachte €Schutzlückenargumentation€ verfange nicht. Es bestehe schon kein Schutzbedürfnis. Träfen sich zwei Nutzer (Betrachter der Fanpage und Betreiber der Fanpage) auf einem gemeinsamen von beiden gewählten Medium, so unterlägen beide Nutzer den gleichen Regelungen / Einschränkungen, die durch den Plattformanbieter (Facebook) vorgegeben würden. Ein Schutzbedürfnis könne insoweit nur im Verhältnis vom Nutzer zu Facebook, nicht jedoch im Verhältnis Nutzer / Nutzer bestehen. § 3 Abs. 7 BDSG und Art. 2 d) RL 95/46/EG träfen abschließende Regelungen bezüglich der datenschutzrechtlichen Verantwortlichkeit. Ein etwaiger Rückgriff auf eine - wie auch immer geartete - Störerhaftung sei mithin ausgeschlossen. Neben Art. 2 d) ergebe sich schon aus Art. 23 RL 95/46/EG eine jedenfalls mit Blick auf die datenschutzrechtliche Verantwortlichkeit abschließende Regelung. Der Artikel stelle insoweit die Grundlage der Schadensersatzhaftung der Richtlinie dar. Art. 23 Abs. 1 RL 95/46/EG setzte als Haftungsgrund gerade eine rechtswidrige Verarbeitung der Daten voraus. Im Zusammenhang des Kriteriums €rechtswidrige Verarbeitung€ mit dem in Art. 23 Abs. 1 RL 95/46/EG benannten Passivlegitimierten als €für die Verarbeitung Verantwortlichem€ folge, dass nach dem Willen des europäischen Gesetzgebers eine Aufteilung zwischen €Rechtswidrigkeit€ und €Verantwortlichkeit€ nicht möglich sei.
Die vom Beklagten behaupteten Verstöße könnten von Facebook ohne Weiteres beseitigt werden. Unabhängig davon, ob im Verhältnis zu Facebook materielles deutsches oder irisches Datenschutzrecht anzuwenden ist (s. hierzu Beschl. d. Senats v. 22.04.2013 - 4 MB 11/13 -, NJW 2013, 1977 aber auch KG Berlin, Urt. v. 24.01.2014 - 5 U 42/12 -, K & R 2014, 208 sowie EuGH Urt. v. 13.05.2014 - C - 131/12 -, Juris), bleiben die Zuständigkeiten der Aufsichtsbehörde unberührt. Insbesondere folgt aus der Anwendung materiellen irischen Datenschutzrechtes kein Eintritt der irischen Aufsichtsbehörde. Dies ergibt sich aus § 1 Abs. 5 S. 5 BDSG, wonach § 38 Nr. 1 S. 1 BDSG unberührt bleibt (s. Dammann in Simitis, a.a.O., § 1 Rn. 239). Das Vorgehen gegen Facebook wäre auch deutlich effektiver. Auf diese Weise könnten vom Beklagten, seine Zuständigkeit unterstellt, datenschutzrechtliche Verstöße von Facebook infolge des Betriebes von Fanpages in Schleswig-Holstein beseitigt werden, unabhängig davon, ob Fanpages von öffentlichen oder nicht-öffentlichen Stellen betrieben werden. Dies gilt insbesondere dann, wenn - wie der Beklagte unter Berufung auf die Entscheidung des EuGH (Urt. v. 13.05.2014, a.a.O.) und das Urteil des Kammergerichts Berlin (Urt. v. 24.01.2014, a.a.O.) meint - für Facebook, soweit personenbezogene Daten im Inland erhoben werden, materielles deutsches Datenschutzrecht gilt und damit von Facebook auch die Regelungen des TMG zu beachten sind. Ist das nicht der Fall, kommt es auf die Regelungen des TMG von vornherein nicht an. Dann kommen aber insoweit auch keine datenschutzrechtlichen Verstöße vor, die der Klägerin zugerechnet werden könnten. Anderes gilt nur, wenn sie €Herrin der Daten€ ist, dem TMG als Diensteanbieterin unterliegt und eigenverantwortlich gegen Regelungen des TMG verstößt. Dann ist aber ihr gegenüber auch das abgestufte Verfahren des § 38 Abs. 5 BDSG einzuhalten. Davon kann nicht abgesehen werden, weil ihr von Facebook nicht die technische Möglichkeit bereitgestellt wird, die Besucher ihrer Fanpage von einer Widerspruchsmöglichkeit zu unterrichten. Als €Herrin der Daten€ wäre sie gegenüber Facebook weisungsberechtigt und könnte auf diesem Wege die festgestellten datenschutzrechtlichen Verstöße beseitigen. Sollte der Beklagte nicht die für Facebook zuständige Kontrollstelle sein, obwohl sich die Tätigkeit von Facebook auch auf Schleswig-Holstein erstreckt, was keiner abschließenden Entscheidung bedarf, kann er deshalb nicht anstelle von Facebook, abweichend vom vorgeschriebenen Verfahren, einen Dritten im Sinne des Art. 2 f) der RL 95/46/EG belangen.
Aus Art. 2 d) der RL 95/46/EG folgt nichts anderes. Danach ist €für die Verarbeitung Verantwortlicher€ jede Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet. Datenschutzrechtliche Verantwortlichkeit und Datenverarbeitung stehen danach ebenfalls in einem untrennbaren Zusammenhang. Die Klägerin trifft keine Entscheidung bezüglich der Verarbeitung von personenbezogenen Nutzerdaten durch Facebook. Insbesondere entscheidet sie nicht gemeinsam über die Zwecke und Mittel der Verarbeitung. €Zweck€ ist €das erwartete Ergebnis, das beabsichtigt ist oder die geplante Aktion leitet€ (Art. 29 - Datenschutzgruppe - WP 169, S. 16). Der Zweck der Erhebung und der Verarbeitung von personenbezogenen Nutzerdaten durch Facebook ist, die Wirtschaftlichkeit des Unternehmens Facebook zu steigern. Darauf weist auch der Beklagte hin, wenn er betont, dass die von Facebook gesetzten Cookies eine zentrale Rolle für das Geschäftskonzept von Facebook spielen. Im Rahmen der sogenannten €Insights - Funktion€ erhalten Fanpagebetreiber (ungefragt) anonymisierte und aggregierte Informationen über Nutzeraktivitäten auf ihrer Fanpage. Facebook verfolgt damit den weiteren Zweck, dass die Fanpagebetreiber ihre Page möglichst attraktiv gestalten, um auf diese Weise - mit den Worten des Beklagten - weitere Nutzer auf die von Facebook betriebene Infrastruktur zu locken. Auch die Fanpagebetreiber sind sicherlich daran interessiert, dass ihre Seiten für Nutzer attraktiv sind. Deshalb dürfte auch für die Klägerin ein Feedback von Facebook über Nutzeraktivitäten auf ihrer Fanpage nicht unwillkommen sein. Der Zweck des Betreibens einer Fanpage ist für sie aber nicht der Erhalt dieser Informationen, sondern mit Interessierten zu kommunizieren. Die Zwecke sind zu unterscheiden. Der Fanpagebetreiber entscheidet nicht über den Zweck, dass heißt das €Warum€ der Verarbeitung von personenbezogenen Daten zusammen mit Facebook, vielmehr bestimmt Facebook diesen Zweck allein. Der Fanpagebetreiber nutzt womöglich die im Rahmen der Insights-Funktion erhaltenen, anonymisierten Informationen, um allgemein besser mit Nutzern €ins Gespräch€ zu kommen. Er nutzt aber keine personenbezogenen Daten im Sinne des § 3 Abs. 5 BDSG, sondern gegebenenfalls Statistiken, die ihm Facebook aus eigenen Zwecken ungefragt zur Verfügung stellt.
Erst recht entscheidet der Fanpagebetreiber nicht über die Mittel zur Erreichung dieses Zweckes. €Mittel€ bezeichnet die €Art und Weise, wie ein Ergebnis oder Ziel erreicht wird€ (Art. 29 - Datenschutzgruppe, a.a.O.). Über das €Wie€ entscheidet Facebook ebenfalls allein. Die Fanpagebetreiber haben darauf keinerlei Einfluss. Der Fanpagebetreiber entscheidet nur, €ob€ er eine Fanpage einrichtet und betreibt. Das macht ihn aber nicht zum €für die Verarbeitung Verantwortlichen€. Eine Stelle, die weder einen rechtlichen noch einen tatsächlichen Einfluss auf die Entscheidung hat, wie personenbezogene Daten verarbeitet werden, kann nicht als für die Verarbeitung Verantwortliche angesehen werden (Art. 29 - Datenschutzgruppe - WB 169, S. 15).
Entscheidend für die Frage, ob mehrere Stellen gemeinsam für die Datenverarbeitung Verantwortliche sind, ist die Kontrolle und die Einflussnahmemöglichkeit auf die Datenverarbeitung. Diese fehlt dem Fanpagebetreiber vollständig. Er schafft zwar mit der Einrichtung und dem Betreiben einer Fanpage die unerlässliche Voraussetzung dafür, dass Facebook personenbezogene Daten über diese Page von Besuchern erheben kann, €ob€, €warum€ und €wie€ die Datenverarbeitung erfolgt, entscheidet dagegen Facebook allein.
§ 38 Abs. 5 BDSG nennt den Adressaten der Anordnung nicht ausdrücklich. Allerdings gibt bereits der Wortlaut deutliche Hinweise. Nach § 38 Abs. 5 S. 1 BDSG dient die Anordnung der Beseitigung festgestellter Verstöße bei der Erhebung, Verarbeitung und Nutzung personenbezogener Daten oder tatsächlicher oder organisatorischer Mängel. Angesprochen ist damit die Datenverarbeitung als solche. Wie bereits ausgeführt, schreibt die Vorschrift ein abgestuftes Verfahren vor. Im ersten Schritt geht es darum, festgestellte Verstöße und Mängel der Datenverarbeitung konstruktiv zu beseitigen. Dies steht allein in der Macht des Datenverarbeiters. Erst dann, wenn die verantwortliche Stelle (so ausdrücklich Gola/Schomerus, a.a.O., § 38 Rn. 26) nicht wie nach Satz 1 angeordnet innerhalb der gesetzten Frist tätig wird und auch die Verhängung eines Zwangsgelds erfolglos bleibt, hat die Aufsichtsbehörde das Recht, den Einsatz eines €ungesicherten€ Verfahrens zu untersagen (ebenso Petri, a.a.O., § 38 Rn. 73).
§ 38 BDSG ist eine Vorschrift des dritten Abschnitts. Nach § 27 Abs. 1 BDSG finden die Vorschriften dieses Abschnitts Anwendung, soweit personenbezogene Daten unter anderem durch nicht-öffentliche Stellen verarbeitet, genutzt oder erhoben werden. Auch diese Vorschrift stellt auf die Datenverarbeitung als solche ab und begrenzt den Anwendungsbereich des § 38 Abs. 5 BDSG. Sie korrespondiert mit der Regelung des § 1 Abs. 2 BDSG über den Anwendungsbereich des Gesetzes, wonach das Gesetz für die Erhebung, Verarbeitung und Nutzung personenbezogener Daten durch unter anderem nicht-öffentliche Stellen gilt (Abs. 2 Nr. 3). Der Begriff der nicht-öffentlichen Stellen wird in § 2 Abs. 4 BDSG definiert. In diesem Kontext ist auch die Begriffsbestimmung der verantwortlichen Stelle in § 3 Abs. 7 BDSG zu sehen, der als verantwortliche Stelle jede Person oder Stelle bezeichnet, die personenbezogene Daten für sich selbst erhebt, verarbeitet oder nutzt oder dies durch andere im Auftrag vornehmen lässt. Letzteres ist keine Erweiterung, sondern lediglich eine Klarstellung, dass der Auftraggeber, der nicht selbst die Datenverarbeitung durchführt, sondern einen Verarbeiter einschaltet, verantwortliche Stelle ist (Dammann, a.a.O., § 3 Rn. 227 f). Der Begriff der verantwortlichen Stelle dient mithin als Anknüpfungspunkt für vom Gesetz festgelegte Rechte und Pflichten. Mit dem Begriff €Stelle€ verweist das Gesetz auf die Begriffsbestimmung des § 2 BDSG. Bezugspunkt der Verantwortlichkeit ist der Datenumgang (Dammann, a.a.O., § 3 Rn. 224). Knüpfen Rechte und Pflichten aus dem BDSG bei der verantwortlichen Stelle an, so bedeutet dies, dass sie tätig zu werden bzw. verbotene Handlungen (§ 4 BDSG) zu unterlassen hat und damit Normadressat ist (Dammann, a.a.O., § 3 Rn. 225). Eine Stelle, die keinen Einfluss auf die Datenverarbeitung hat, ist weder verantwortlich noch kann von ihr verlangt werden, dass sie für die Einhaltung datenschutzrechtlicher Vorschriften Sorge trägt.
Dem steht nicht entgegen, dass § 11 Abs. 4 Nr. 2 BDSG für die übrigen nicht-öffentlichen Stellen (gemeint sind damit nicht-öffentliche Stellen, bei denen die öffentliche Hand nicht mehrheitsbeteiligt ist), die geschäftsmäßig im Auftrag als Dienstleistungsunternehmen personenbezogene Daten verarbeiten, § 38 BDSG gilt. Daraus lässt sich entgegen dem Vortrag des Beklagten nicht herleiten, dass Maßnahmen nicht allein an den Verantwortlichen gerichtet werden können. Die Auftragsverarbeiter sind Verantwortliche im Sinne des § 3 Abs. 7 BDSG. Ihre Verantwortlichkeit ist lediglich eingeschränkt (Dammann, a.a.O., § 3 Rn. 223). Was die Auftragsabwicklung anbelangt, gelten für den Auftragsverarbeiter diejenigen BDSG-Regelungen, die sich auf seinen Verantwortungsbereich beziehen (§ 11 Abs. 4 BDSG). Der Relativsatz in § 3 Abs. 7 BDSG, €die Daten für sich selbst erhebt€, kann nicht einschränkend dahingehend verstanden werden, dass der Auftragsverarbeiter deshalb keine verantwortliche Stelle im Sinne des § 3 Abs. 7 BDSG ist; dies würde zu der vom Gesetz in § 11 BDSG im Einzelnen geregelten Verantwortlichkeit im Widerspruch stehen (s. Dammann, a.a.O., § 3 Rn. 228). Die Richtlinie 95/46/EG unterscheidet allerdings begrifflich zwischen dem für die Verarbeitung Verantwortlichen (Art. 2 d)) und dem Auftragsverarbeiter (Art. 2 e)). Dies ändert aber nichts daran, dass der Auftragsverarbeiter eine Eigenverantwortung hat (Art. 17). Jedenfalls lässt sich aus der Vorschrift des § 11 Abs. 4 Nr. 2 BDSG nicht herleiten, dass darüber hinaus Dritte, die - im Gegensatz zum Auftragsverarbeiter - mit der Datenverarbeitung nicht befasst sind und auch keinerlei Einfluss darauf haben, wie Daten verarbeitet werden, gleichfalls Adressat einer Anordnung nach § 38 Abs. 5 BDSG sein können.
Die Richtlinie unterscheidet in Art. 2 zwischen €für die Verarbeitung Verantwortliche€ (a), €Auftragsverarbeiter€ (e) und €Dritter€ (f). Der Begriff €für die Verarbeitung Verantwortlicher€ und seine Wechselbeziehungen mit dem Begriff €Auftragsverarbeiter€ spielen eine wichtige Rolle bei der Anwendung der Richtlinie 95/46/EG, da sie bestimmen, wer für die Einhaltung der Datenschutzbestimmungen verantwortlich ist (Art. 29 - Datenschutzgruppe, WP 169 S. 1). Nach Art. 12 b) der Richtlinie garantieren die Mitgliedstaaten jeder betreffenden Person das Recht, vom für die Verarbeitung Verantwortlichen je nach Fall die Berichtigung, Löschung oder Sperrung von Daten, deren Verarbeitung nicht den Bestimmungen der Richtlinie entspricht € zu erhalten. Nach Art. 23 Abs. 1 sehen die Mitgliedstaaten vor, dass jede Person, der wegen einer rechtswidrigen Verarbeitung oder jeder anderen mit den einzelstaatlichen Vorschriften zur Umsetzung dieser Richtlinie nicht zu vereinbarenden Handlung ein Schaden entsteht, das Recht hat, von dem für die Verarbeitung Verantwortlichen Schadensersatz zu verlangen. Nach Art. 28 Abs. 3 - 2. Spiegelstrich - verfügt die Kontrollbehörde über wirksame Eingriffsbefugnisse, unter anderem über die Befugnis, die Sperrung, Löschung oder Vernichtung von Daten anzuordnen, was die betroffene Person nach Art. 12 b) von der verantwortlichen Stelle verlangen kann und auch nur der verantwortlichen Stelle möglich ist, gegebenenfalls durch Weisung an den Auftragsbearbeiter. Ausdrücklich wird die verantwortliche Stelle als Adressat einer Verwarnung oder Ermahnung genannt. Sie allein ist mithin die Adressatin einer niederschwelligen Maßnahme, was der Annahme entgegensteht, dass schwerwiegende Eingriffe auch gegenüber Dritten möglich sein sollen. Eine Haftung eines Dritten, allein weil er einen Kausalbeitrag für die rechtswidrige Verarbeitung geleistet hat, der nicht die Qualität einer Datenverarbeitung erreicht und die Schwelle zur Einflussmöglichkeit auf die Datenverarbeitung nicht überschreitet, findet in der Richtlinie keine Grundlage (s. Piltz, K & R 2014, 80).
https://www.admody.com/urteilsdatenbank/673f03b3ce9f/Schleswig-Holsteinisches-OVG_Urteil_vom_4-September-2014_Az_4-LB-20-13
<a href="https://www.admody.com/urteilsdatenbank/673f03b3ce9f/Schleswig-Holsteinisches-OVG_Urteil_vom_4-September-2014_Az_4-LB-20-13" title="Schleswig-Holsteinisches OVG, Urteil vom 4. September 2014, Az.: 4 LB 20/13">Schleswig-Holsteinisches OVG, Urteil vom 4. September 2014, Az.: 4 LB 20/13</a>
[URL=https://www.admody.com/urteilsdatenbank/673f03b3ce9f/Schleswig-Holsteinisches-OVG_Urteil_vom_4-September-2014_Az_4-LB-20-13]Schleswig-Holsteinisches OVG, Urteil vom 4. September 2014, Az.: 4 LB 20/13[/URL]
<ref name=oMbTEVDP>{{cite web|title=Schleswig-Holsteinisches OVG, Urteil vom 4. September 2014, Az.: 4 LB 20/13|url=https://www.admody.com/urteilsdatenbank/673f03b3ce9f/Schleswig-Holsteinisches-OVG_Urteil_vom_4-September-2014_Az_4-LB-20-13|publisher=Admody Rechtsanwälte Aktiengesellschaft|accessdate=21. September 2019}}</ref>
LG Dortmund, Urteil vom 15. Januar 2016, Az.: 3 O 610/15 - BPatG, Beschluss vom 5. März 2009, Az.: 30 W (pat) 81/06 - OLG Hamm, Beschluss vom 16. Mai 2011, Az.: I-8 AktG 1/11 - OLG Stuttgart, Urteil vom 10. September 2009, Az.: 2 U 11/09 - BGH, Beschluss vom 30. Juni 2004, Az.: XII ZB 227/02 - BPatG, Beschluss vom 27. September 2005, Az.: 27 W (pat) 81/05 - LG Bochum, Urteil vom 18. Oktober 2012, Az.: 17 O 62/10 - LG Düsseldorf, Urteil vom 19. November 2013, Az.: 4a O 20/10 - BPatG, Beschluss vom 30. März 2011, Az.: 26 W (pat) 24/06 - BGH, Urteil vom 5. Juli 2005, Az.: X ZR 167/03

References: § 38
 § 15
 § 15
 § 12
 § 3
 § 15
 § 830
 § 12
 § 3
 Art. 2
 Art. 2
 Art. 2
 Art. 2
 § 3
 Art. 2
 § 3
 Art. 2
 § 3
 Art. 2
 § 11
 § 3
 Art. 2
 Art. 2
 EuGH 
 EuGH 
 Art. 8
 Art. 2
 Art. 1
 Art. 2
 EuGH 
 Art. 1
 § 38
 § 11
 § 173
 § 173
 § 1
 § 1
 Art. 4
 § 1
 § 11
 § 3
 Art. 2
 Art. 2
 Art. 23
 Art. 23
 Art. 23
 EuGH 
 § 1
 § 38
 § 1
 EuGH 
 § 38
 Art. 2
 Art. 2
 § 3

§ 38
 § 38
 § 38
 § 38

§ 38
 § 27
 § 38
 § 1
 § 2
 § 3
 § 3
 § 2
 § 3
 § 3
 § 11
 § 38
 § 3
 § 3
 § 3
 § 3
 § 11
 § 3
 § 11
 § 38
 Art. 2
 Art. 12
 Art. 23
 Art. 28
 Art. 12