Source: https://www.datenschutz-berlin.de/infothek-und-service/themen-a-bis-z/facebook-fanpages/
Timestamp: 2019-01-17 08:29:47+00:00

Document:
Facebook-Fanpages - Berliner Beauftragte für Datenschutz und Informationsfreiheit
Hintergrund zu den Facebook-Fanpages
Am 5. Juni 2018 hat der Europäische Gerichtshof entschieden (Rechtssache C-210/16), dass die Betreiberin / der Betreiber einer Facebook-Fanpage gemeinsam mit Facebook für die Verarbeitung personenbezogener Daten der Besucherinnen und Besucher der Fanpage datenschutzrechtlich verantwortlich ist. Der EuGH hat diese Entscheidung auf die Auslegung des Art. 2 Buchst. d der EU-Datenschutz-Richtlinie (DSRL) 95/46/EG gestützt. Die Erwägungen des Urteils lassen sich jedoch in vollem Umfang auf die seit dem 25. Mai 2018 geltende Rechtslage übertragen, denn die Definition der verantwortlichen Stelle in Art. 2 Buchst. d der DSRL 95/46/EG, als eine Stelle, die „allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet“, ist deckungsgleich mit der Definition des Verantwortlichen in Art. 4 Nr. 7 Datenschutz-Grundverordnung (DS-GVO). Vor diesem Hintergrund hat die Entscheidung auch nach Gültigkeit der DS-GVO Bestand.
Im Falle der gemeinsamen Verantwortung sieht die DS-GVO zusätzliche Anforderungen vor, die in Art. 26 DS-GVO niedergelegt sind. Danach sind gemeinsam Verantwortliche verpflichtet, in einer Vereinbarung transparent festzulegen, wer welche Verpflichtungen nach der DS-GVO erfüllt. Darüber hinaus müssen gem. Art. 26 Abs. 2 DS-GVO die jeweiligen tatsächlichen Funktionen und Beziehungen der gemeinsam Verantwortlichen gegenüber den betroffenen Personen in der Vereinbarung gebührend widergespiegelt und das Wesentliche der Vereinbarung muss den Betroffenen zur Verfügung gestellt werden.
Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) hat am 5. September 2018 einen Beschluss zur Thematik gefasst (siehe Anlage) und dabei festgestellt, dass der Betrieb einer Fanpage, wie sie derzeit von Facebook angeboten wird, ohne Vereinbarung nach Art. 26 DS-GVO rechtswidrig ist. Die DSK machte deutlich, dass Fanpage-Betreiberinnen und -Betreiber (unabhängig davon, ob es sich um öffentliche oder nicht-öffentliche Verantwortliche handelt) die Rechtmäßigkeit der gemeinsam zu verantwortenden Datenverarbeitung gewährleisten und dies nachweisen (Art. 5 Abs. 2 DS-GVO) können müssen. Zudem können betroffene Personen ihre Rechte aus der DS-GVO bei und gegenüber jedem Verantwortlichen geltend machen (Art. 26 Abs. 3 DS-GVO). Zusammen mit dem Beschluss hatte die DSK daher eine Reihe von Fragen veröffentlicht, die Fanpage-Betreiberinnen und -Betreiber beantworten können sollten.
Am 11. September 2018 veröffentlichte Facebook eine sog. „Seiten-Insights-Ergänzung bezüglich des Verantwortlichen“ (abrufbar unter: https://www.facebook.com/legal/terms/page_controller_addendum; im Folgenden „Insights-Ergänzung“) sowie „Informationen zu Seiten Insights“ (abrufbar unter: https://www.facebook.com/legal/terms/information_about_page_insights_data; im Folgenden „Insights-Information“). Vor dem Hintergrund der EuGH-Entscheidung vom 5. Juni 2018 sowie des o. g. Beschlusses der DSK geht die Berliner Beauftragte für Datenschutz und Informationsfreiheit davon aus, dass Facebook mit der „Seiten-Insights-Ergänzung bezüglich des Verantwortlichen“ seinen Verpflichtungen aus Art. 26 DS-GVO nachkommen möchte, ohne dabei direkt auf Art. 26 DS-GVO zu verweisen.
Fragenkatalog der Anhörungen (siehe Pressemitteilung „Berliner Datenschutzbeauftragte eröffnet umfassende Prüfung des Betriebs von Facebook-Fanpages“, vom 16. November 2018):
EuGH Urteil (C-210/16)

References: EuGH 
 Art. 2
 Art. 2
 Art. 4
 Art. 26
 Art. 26
 Art. 26
 Art. 26
 Art. 26

EuGH