Source: https://www.datenschutzzentrum.de/artikel/1186-.html
Timestamp: 2020-02-26 14:15:01+00:00

Document:
Anordnung der sofortigen Vollziehbarkeit von Untersagungsverfügungen im Hinblick auf den Klarnamenzwang bei Facebook - ULD
Auszüge aus den Schreiben vom 18.01.2013 des
an das Verwaltungsgericht Schleswig
in den Verwaltungsrechtssachen gegen Facebook Inc und Facebook Ireland Ltd.
(Az. 8 B 61/12 und 8 B 60/12)
Maßgebend ist Art. 4 Abs. 1 c) der Richtlinie 95/46/EG, wonach jeder Mitgliedstaat die Vorschriften, die er zur Umsetzung dieser Richtlinie erlässt, auf alle Verarbeitungen personenbezogener Daten anwendet, die von einem für die Verarbeitung Verantwortlichen ausgeführt werden, der nicht im Gebiet der Gemeinschaft niedergelassen ist und zum Zwecke der Verarbeitung personenbezogener Daten auf automatisierte oder nicht automatisierte Mittel zurückgreift, die im Hoheitsgebiet des betreffenden Mitgliedstaats belegen sind, es sei denn, dass diese Mittel nur zum Zweck der Durchfuhr durch das Gebiet der EG verwendet werden. Mit der Richtlinienbestimmung soll verhindert werden, dass Verantwortliche für die Verarbeitung, die ihre Tätigkeit im Gemeinschaftsgebiet entfalten, sich der Anwendung des harmonisierten Datenschutzrechts durch Verlegung ihres Sitzes entziehen können (Dammann/Simitis, Kommentar zur EG-Datenschutzrichtlinie, 1. Aufl., 1997, Art. 4, S. 129). Davon erfasst ist auch Facebook Inc./USA, welche ihren Sitz außerhalb der EU bzw. des EWR hat.
c) Zugriff auf automatisierte Mittel/Erhebung personenbezogener Daten
In einem Vertrag zwischen der Facebook Inc./USA und der Facebook Ireland Ltd. „Data Transfer and Processing Agreement" (Vertrag zur Übermittlung und Verarbeitung von Daten) wird Facebook Ireland Ltd. als Datenexporteur und Facebook Inc./USA als Datenimporteur bezeichnet. Außerdem besteht ein "Data Hosting Services Agreement" zwischen der Facebook Inc./USA und der Facebook Ireland Ltd. als Diensteanbieter ("service provider"). Beide Verträge gelten seit September 2010. Die irische Datenschutzaufsichtsbehörde hat diese geprüft und aus ihrer Sicht "für in Ordnung befunden". Weitere präzisierende Ausführungen wurden von der irischen Datenschutzaufsichtsbehörde nicht gemacht, vgl. Report of Audit vom 21. Dezember 2011, S. 25 (http://dataprotection.ie/viewdoc.asp?DocID=1182&m=f). Insbesondere enthält die Prüfung der irischen Datenschutzaufsichtsbehörde keine Aussage, dass auf der Grundlage dieser Verträge Facebook Ireland Ltd. ausschließliche verantwortliche Stelle sei und Facebook Inc./USA ausschließlich die Funktion eines Auftragnehmers erfüllt.
In Bezug auf die Facebook Ireland Ltd. erläuterte der irische Datenschutzbeauftragte in seinem Bericht von 2011, dass seine Bestätigung der Zuständigkeit für die Facebook Ireland Ltd. nicht dahingehend verstanden werden darf, er habe die ausschließliche Zuständigkeit über Facebooks Aktivitäten in der Europäischen Union (Report of Audit vom 21. Dezember 2011, S. 21). Vielmehr sei der Facebook Ireland Ltd. von September 2010 eine "verstärkte Verantwortlichkeit" hinsichtlich der Nutzer außerhalb von USA und Kanada zugewiesen worden (Report of Audit vom 21. Dezember 2011, S. 25).
Ein Vertrag zwischen der Facebook Inc./USA und der Facebook Ireland Ltd. über eine wirksame Auftragsdatenverarbeitung müsste vor allem konkret Folgendes darlegen:
Diesen Anforderungen dürften die oben genannten Verträge, die dem ULD trotz Aufforderung von Facebook bis heute nicht vorgelegt wurden, nicht genügen. So ist auf Grund der bisher vorliegenden Quellen zu vermuten, dass in dem Vertrag personenbeziehbare Daten zu Nicht-Facebook-Mitgliedern, die bei der Facebook Inc./USA über das Setzen von Cookies oder durch die Speicherung von sonstigen Identifikatoren anfallen, nicht erfasst sind. Angesichts der Zugriffsrechte, die sich US-Behörden auf im Auftrag in den USA verarbeiteten Daten vorbehalten, muss die Sicherstellung der nötigen Vertraulichkeit in Frage gestellt werden. Angesichts des Umstandes, dass Facebook generell die Verpflichtung zur Beachtung von Zweckbindungsgrundsätzen ignoriert, ist davon auszugehen, dass entsprechende Sicherheiten nicht gegeben sind. Es bestehen hinreichende Indizien, dass die Safe-Habor-Prinzipien von Facebook missachtet werden, so wie dies das ULD der zuständigen US-Verbraucherbehörde FTC (Federal Trade Commission) mit Schreiben vom 21. August 2012 mitteilte.
Facebook behauptet, Facebook Ireland Ltd. weise Facebook Inc./USA an, die Daten europäischer Nutzer "in Übereinstimmung mit irischem Datenschutzrecht zu verarbeiten". Würde Facebook Ireland Ltd. feststellen, dass insofern Verstöße mit dem irischen Recht stattfinden, so würde es "die notwendigen Schritte unternehmen, einschließlich des Abbruchs solcher Verarbeitungsaktivitäten" (Schreiben der Facebook Ireland Ltd. vom 6. Dezember 2012, S. 2 f.).
Über die konkrete Auftragsabwicklung zwischen der Facebook Ireland Ltd. und der Facebook Inc./USA gibt es keine Nachweise oder Dokumente. Dessen ungeachtet sprechen alle vorliegenden Indizien dafür, dass Facebook Inc./USA eigenständige Entscheidungen über die Datenverarbeitung trifft und hierzu Facebook Ireland Ltd. allenfalls informiert und beteiligt, und sich nicht auf die Durchführung vordefinierter Datenverarbeitungen beschränkt.
Es ist aus keiner der verfügbaren Quellen erkennbar, dass die Facebook Ireland Ltd. an Facebook Inc./USA überhaupt Weisungen erteilt, welchen Inhalt und welche Qualität diese haben und wie deren Umsetzung kontrolliert und dokumentiert wird. Jenseits der Entwicklung von neuen Produkten und einer Bearbeitung von Einzelfällen sind keine Anhaltspunkte erkennbar, dass und wie die Datenverarbeitung von der Facebook Inc./USA überwacht wird.
Dass Facebook Inc./USA keine tatsächlichen Weisungsbefugnisse besitzt und wahrnimmt, wird zudem durch die Verfügung des Hamburgischen Beauftragten für den Datenschutz und die Informationsfreiheit bestätigt, der im Hinblick auf das Gesichtserkennungsverfahrens detailliert nachwies, dass dieses Verfahren einseitig durch Facebook Inc./USA und ohne Kommunikation mit der Facebook Ireland Ltd. eingeführt wurde und die Facebook Ireland Ltd. zu keinem Zeitpunkt wesentlichen Einfluss genommen hat (Anordnung des Hamburgischen Datenschutzbeauftragten vom 21. September 2012 gegen Facebook Inc., S. 19). Die faktischen Verhältnisse der Datenverarbeitung erlauben es damit nicht, ein Auftragsverhältnis der Facebook Inc./USA für die Facebook Ireland Ltd. anzunehmen.
Facebook Inc./USA gibt vor, sie sei nicht Vertragspartner der Nutzer. Diese Behauptung wurde jedoch nicht mit Fakten untermauert; zum anderen steht dies der datenschutzrechtlichen Verantwortlichkeit der Facebook Inc./USA nicht entgegen. Zwar wird in den Nutzerbedingungen unter http://de-de.facebook.com/legal/terms ausgeführt, dass die Dienste unter www.facebook.de von der Facebook Ireland Ltd. angeboten werden. Allerdings wurden selbst die Nutzungsbedingungen von der Facebook Inc./USA vorgegeben, was bereits der Umstand zeigt, dass diese „auf Englisch (USA)“ verfasst wurden. Die geschäftspolitischen Entscheidungen, einschließlich der Vorgabe der Nutzungsbedingungen und Datenverwendungsrichtlinien werden durch Facebook Inc./USA getroffen. Facebook Ireland Ltd. hat keinen eigenen Handlungsspielraum. Eine Bestimmung über die Zwecke und Mittel der Datenverarbeitung liegt nach Maßgabe von Art. 2 d) der Richtlinie 95/46/EG in der Entscheidungshoheit der Facebook Inc./USA.
2. ULD ist zuständige Datenschutzaufsichtsbehörde bzgl. Facebook Inc.
Maßgebend für die Bestimmung der sachlichen Zuständigkeit für den Erlass der Anordnung ist zunächst Art. 28 Abs. 6 Satz 1 der Richtlinie 95/46/EG. Danach ist jede Kontrollstelle im Hoheitsgebiet ihres Mitgliedstaats für die Ausübung der ihr nach Art. 28 Abs. 3 der Richtlinie 95/46/EG übertragenen Befugnisse zuständig, unabhängig vom einzelstaatlichen Recht, das auf die jeweilige Verarbeitung anwendbar ist. Eine Verarbeitung personenbezogener Daten im Hoheitsgebiet dem ULD erfolgt durch die Erhebung der Registrierungs- und Nutzungsdaten durch Facebook Inc./USA auf den Rechnern der Nutzer nach Maßgabe von Art. 4 Abs. 1 c) der Richtlinie 95/46/EG. Die sachliche Zuständigkeit dem ULD ergibt sich zudem aus § 38 Abs. 1 BDSG i.V.m. § 1 Abs. 5 Satz 2 BDSG. Nach § 38 Abs. 1 Satz 1 BDSG kontrolliert die Aufsichtsbehörde die Ausführung „dieses Gesetzes“ sowie anderer Vorschriften über den Datenschutz, soweit diese die automatisierte Verarbeitung personenbezogener Daten oder die Verarbeitung oder Nutzung personenbezogener Daten in oder aus nicht automatisierten Dateien regeln einschließlich des Rechts der Mitgliedstaaten in den Fällen des § 1 Abs. 5 BDSG. Damit sind auch Datenerhebungen, -verarbeitungen und -nutzungen erfasst, die verantwortliche Stellen mit Sitz in einem Drittland im Inland durchführen. Nur auf diese Weise können die allgemeinen Persönlichkeitsrechte der Bürger gewahrt und das entsprechende gesetzgeberische Anliegen in § 1 Abs. 1 BDSG erfüllt werden.
Die örtliche Zuständigkeit für den Erlass der Anordnung ergibt sich für die Antragsgegnerin aus § 39 Abs. 3 des Landesdatenschutzgesetzes, wonach das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein die zuständige Aufsichtsbehörde nach § 38 BDSG über nichtöffentliche Stellen im Anwendungsbereich des Dritten Abschnitts des BDSG ist.
Am 11. Februar 2010 richtete Facebook in Deutschland eine eigene Niederlassung ein, die Facebook Germany GmbH (Facebook Germany GmbH, Großer Burstah 50-52, 20457 Hamburg). Nach Darstellung der Antragstellerin agiert die Facebook Germany GmbH nur als Verkaufsstelle. Das Tochterunternehmen erfülle zusätzlich Funktionen bei der Kommunikation mit der Facebook Ireland Ltd. und der Facebook Inc., bei der Werbung und hinsichtlich der Öffentlichkeitsarbeit. An Entscheidungen bezüglich der Datenverarbeitung sei die deutsche Tochter nicht involviert. Dessen ungeachtet berichtet der irische Datenschutzbeauftragte von Datenverarbeitungsverträgen zwischen Facebook Ireland Ltd. als verantwortliche Stelle und Facebook UK, Schweden, Italy, Germany, France und Netherlands (Report of Audit vom 21. Dezember 2011, S. 25, abrufbar: http://dataprotection.ie/viewdoc.asp?DocID=1182&m=f.). Was sich hinter diesen Verträgen verbirgt, wurde bisher von Facebook nicht offengelegt.
Bei der in Deutschland bestehenden Niederlassung der Antragstellerin handelt es sich im Verhältnis zur Konzernmutter Facebook Inc. um die inländische Vertreterin nach § 1 Abs. 5 S. 2 BDSG. Voraussetzung für diese Vertretung ist nicht, dass eine besondere Form der Verantwortlichkeit bei der Vertretung besteht. Es genügt, dass diese Erklärungen für die verantwortliche Stelle entgegennimmt und abgibt. Dies ist bei der Facebook Germany GmbH der Fall. Dass Facebook Inc. sowie dessen deutsche Tochter nicht der Pflicht nach § 1 Abs. 5 S. 3 BDSG nachgekommen ist, Angaben über die Vertretung zu machen, ist für die Annahme des Vertretungsverhältnisses unschädlich.
Die sachliche Zuständigkeit der Antragsgegnerin ergibt sich zudem aus § 38 Abs. 1 BDSG i.V.m. § 1 Abs. 5 Satz 1 BDSG. Nach § 38 Abs. 1 Satz 1 BDSG kontrolliert die Aufsichtsbehörde die Ausführung „dieses Gesetzes“ sowie anderer Vorschriften über den Datenschutz, soweit diese die automatisierte Verarbeitung personenbezogener Daten oder die Verarbeitung oder Nutzung personenbezogener Daten in oder aus nicht automatisierten Dateien regeln einschließlich des Rechts der Mitgliedstaaten in den Fällen des § 1 Abs. 5 BDSG. Damit sind auch Datenerhebungen, -verarbeitungen und -nutzungen erfasst, die verantwortliche Stellen mit Sitz in einem anderen Mitgliedstaat aus Datenschutzsicht zu verantworten haben. Nur auf diese Weise können die allgemeinen Persönlichkeitsrechte der Bürger gewahrt und das entsprechende gesetzgeberische Anliegen in § 1 Abs. 1 BDSG erfüllt werden.
In Bezug auf die Facebook Ireland Ltd. erläuterte der irische Datenschutzbeauftragte in seinem Bericht aus 2011, dass seine Bestätigung der Zuständigkeit für die Facebook Ireland Ltd. nicht dahingehend verstanden werden darf, er habe die ausschließliche Zuständigkeit über Facebooks Aktivitäten in der Europäischen Union (Report of Audit vom 21. Dezember 2011, S. 21). Vielmehr sei der Facebook Ireland Ltd. von September 2010 an eine "verstärkte Verantwortlichkeit" hinsichtlich der Nutzer außerhalb von USA und Kanada zugewiesen worden (Report of Audit vom 21. Dezember 2011, S. 25).
5. § 13 Abs. 6 TMG findet für Facebook Inc./USA Anwendung
Der Grundsatz der Datensparsamkeit hat über den Anwendungsbereich der Richtlinie 95/46/EG hinaus Bedeutung. Nach Erwägungsgrund 9 der Richtlinie 2002/58/EG über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre in der elektronischen Kommunikation sollen die Mitgliedstaaten bei der Einführung und Weiterentwicklung von neuen Technologien zusammenarbeiten und als Ziele insbesondere die Beschränkung der Verarbeitung personenbezogener Daten auf das erforderliche Mindestmaß und die Verwendung anonymer oder pseudonymer Daten berücksichtigen. Die Ziele, möglichst anonyme oder pseudonyme Daten zu verarbeiten und beim Design der Technik und bei den Verarbeitungsprozessen im Vorwege Lösungen zu entwickeln, um auf einen Personenbezug weitestgehend zu verzichten, entsprechen also gerade dem Anliegen des europäischen Richtliniengebers. Solche Lösungen sollen Gegenstand der Vollharmonisierung des Datenschutzes auf europäischer Ebene sein.
c) Konkretisierung des Drittwirkungsgrundsatzes auf europäischer Ebene
Weiterhin muss Facebook Art. 8 Abs. 1 und 2 der Charta der Grundrechte der EU beachten. Demnach hat jede Person das Recht auf Schutz der sie betreffenden personenbezogenen Daten. Diese Daten dürfen nur nach Treu und Glauben für festgelegte Zwecke und mit Einwilligung der betroffenen Person oder auf einer sonstigen gesetzlich geregelten legitimen Grundlage verarbeitet werden. § 13 Abs. 6 TMG bildet eine Konkretisierung dieser datenschutzrechtlichen Grundsätze, was im Wege der mittelbaren Drittwirkung von Grundrechten Berücksichtigung finden muss. Das europäische Datenschutzrecht erfasst nach den gerichtlichen Entscheidungen des EuGH auch privatrechtliche Sachverhalte, bei denen keine staatlichen Organe beteiligt sind: In einem Fall hatte eine Privatperson personenbezogene Daten von 18 Arbeitskollegen ohne deren Einwilligung ins Internet gestellt (EuGH, Urteil vom 6. 11. 2003 - C-101/01 – Lindqvist). In einem anderen Fall forderte ein Verband zur Geltendmachung zustehender Urheberrechte von einem Internetanbieter die Herausgabe von Benutzerdaten (EuGH, Urteil vom 29. 1. 2008 - C-275/06 - Promusicae). Der EuGH hat dabei das Datenschutzgrundrecht als europarechtlichen Maßstab für die Beurteilung der entsprechenden Vorabentscheidungsverfahren angewandt. Dies erfolgte letztlich auch deshalb, weil das Datenschutzgrundrecht zur Interpretation der Richtlinie 95/46/EG herangezogen wurde und die Richtlinie private Datenverarbeitung ebenso erfasst wie staatliche (Britz, Das Grundrechtecharta, S. 13 f.; abrufbar unter http://www.datenschutz.hessen.de/download.php?download_ID = 188 ). Im Fall „Lindqvist“ entschied der EuGH, dass die von den Mitgliedstaaten zur Gewährleistung des Schutzes personenbezogener Daten getroffenen Maßnahmen sowohl mit den Bestimmungen der Richtlinie 95/46/EG als auch mit deren Ziel im Einklang stehen müssen, ein Gleichgewicht zwischen dem freien Verkehr personenbezogener Daten und dem Schutz der Privatsphäre zu wahren. Aufgrund dessen entfaltet Art. 8 der Grundrechtecharta über die in ihm enthaltene Schutzpflicht mittelbare Drittwirkung (Streinz/Michl, EuZW 2011, 384, 387). Somit entsteht für nichtöffentliche Stellen eine privatrechtsbindende Wirkung, die sich bei organisatorischen Vorkehrungen zum Datenschutz entfaltet. Der Schutz durch Art. 8 der Grundrechtecharta ist somit bei der Beurteilung der Frage heranzuziehen, welche Maßnahmen der Datensparsamkeit und welche Verarbeitungsformen, wie etwa eine anonyme oder pseudonyme Verarbeitung, zur Wahrung der allgemeinen Persönlichkeitsrechte der Nutzer zu veranlassen sind. § 13 Abs. 6 TMG enthält hierfür konkrete Vorgaben.
d) Zumutbarkeit der Zulassung einer pseudonymen Nutzung
Facebook ist die Zulassung einer pseudonymen Nutzung nach Maßgabe von § 13 Abs. 6 TMG technisch möglich und zumutbar. Ergänzend zu den Ausführungen in den Anordnungen des ULD vom 14. Dezember 2012 soll nochmals ausgeführt werden, dass technische Maßnahmen zur zukünftigen Unterbindung von z. B. urheber- oder strafrechtlichen Verhaltensweisen von Nutzern für Facebook auch dann möglich sind, wenn die Nutzer unter Pseudonym agieren. Das Pseudonym ist in diesem Fall bereits ein Identifikator, um etwaigem Missbrauch des Diensteangebots entgegen zu wirken. Damit sind auch sämtliche Behauptungen von Facebook nicht stichhaltig, wonach bei Verwendung von Pseudonymen unkalkulierbare Haftungsrisiken entstehen würden. Eine Verarbeitung von Echtdaten ist z. B. nicht erforderlich um festzustellen, von welchem Accountinhaber rechtswidrige Eintragungen vorgenommen wurden. Maßnahmen, um einem entsprechenden Missbrauch eines Diensteangebots entgegen zu wirken, könnten unter Ermittlung des Pseudonyms ergriffen werden.
Weiterhin besteht für Facebook die zumutbare Möglichkeit, eine Nutzung des Diensteangebots durch eine Identifikation mit dem elektronischen Personalausweis durchzuführen. Personalausweisinhaber können ihre Identität gegenüber öffentlichen und nichtöffentlichen Stellen elektronisch nachweisen. Der Personalausweis besitzt die Funktion, eine Identifizierung via Pseudonym zuzulassen, indem ein dienste- und kartenspezifisches Kennzeichen auslesbar ist, § 18 Abs. 3 Nr. 3 Personalausweisgesetz (PAuswG). Diensteanbieter erhalten unter den Voraussetzungen des § 21 Abs. 2 PAuswG auf schriftlichen Antrag die Berechtigung, die für die Wahrnehmung ihrer Aufgaben oder Geschäftszwecke erforderlichen Daten im Wege des elektronischen Identitätsnachweises beim Inhaber des Personalausweises mittels eines Berechtigungszertifikats anzufragen. Facebook ist es zumutbar, beim Bundesverwaltungsamt nach § 28 Abs. 1 der Personalausweisverordnung (PAuswVO) einen Antrag auf Ausstellung einer solchen Berechtigung zu stellen. Bei alleiniger Abrufberechtigung für das dienste- und kartenspezifische Kennzeichen wird im Chip des Personalausweises ein Pseudonym generiert und einem bestimmten Ausweisinhaber zugewiesen. Auf diese Weise ist ein datensparsamer Umgang mit personenbezogenen Daten gewährleistet.
Eine Zusendung von Kopien von Personalausweisen zwecks Kontoentsperrung kann Facebook hingegen nicht verlangen. Die Erhebung der auf dem Personalausweis aufgedruckten Daten ist nicht erforderlich. Dies gilt in besonderer Weise für das Lichtbild und die Zugangsnummer, die nur dem Ausweisinhaber bekannt sein soll, durch ein Kopieren jedoch in Umlauf geraten kann. Selbst das Bundesministerium des Innern fordert, soweit eine Ausweiskopie ausnahmsweise zulässig sein sollte, dass die Daten erhebende Stelle die Betroffenen auf die Notwendigkeit einer Schwärzung hinweisen muss. Unabhängig von der Unzulässigkeit einer Personalausweiskopie im vorliegenden Fall nimmt Facebook keine solche Belehrung gegenüber den Nutzern vor.
Bereits in den Anordnungen des ULD vom 14. Dezember 2012 wurde zur massiven Behinderung der Meinungsäußerungsfreiheit der Nutzer durch die Selektierung „irrelevanter Beiträge“ durch Facebook ausgeführt. Vom Schutzbereich der Meinungsfreiheit umfasst sind zum einen Meinungen, das heißt durch das Element der Stellungnahme und des Dafürhaltens geprägte Äußerungen. Sie fallen stets in den Schutzbereich von Art. 5 Abs. 1 Satz 1 GG, ohne dass es dabei darauf ankäme, ob sie sich als wahr oder unwahr erweisen, ob sie begründet oder grundlos, emotional oder rational sind, oder ob sie als wertvoll oder wertlos, gefährlich oder harmlos eingeschätzt werden (BVerfGE 90, 241, 247; 124, 300, 320). Sie verlieren diesen Schutz auch dann nicht, wenn sie scharf und überzogen geäußert werden (BVerfGE 61, 1, 7 f.; 90, 241, 247; 93, 266, 289). Wer damit rechnen muss, von Facebook als „Troll“ identifiziert zu werden (Schreiben der Facebook Ireland Ltd. vom 6. Dezember 2012, S. 6 f.) und dessen Meinungskundgabe somit über Facebook gesteuert, zugelassen oder erlaubt wird, wird an der Ausübung seiner Meinungsäußerungsfreiheit massiv gehindert. Dies stellt auch einen erheblichen Eingriff in das Recht auf informationelle Selbstbestimmung dar, wenn die Meinungskundgabe stets von einer Registrierung mit Echtdaten abhängig gemacht wird.
Die anonyme Nutzung ist dem Internet immanent. Der BGH hat in seiner Entscheidung zu Lehrerbewertungsportalen ausgeführt, dass entsprechende Regelungen zur Wahrung der Anonymität auch in den Vorschriften des TMG zu finden sind. Eine Beschränkung der Meinungsäußerungsfreiheit auf Äußerungen, die einem bestimmten Individuum zugeordnet werden können, ist nach den Darlegungen des BGH mit Art. 5 Abs. 1 GG nicht vereinbar (BGH Urteil vom 23.06.2009 - VI ZR 196/08, BGH MMR 2009, 608, 612). „Die Verpflichtung, sich namentlich zu einer bestimmten Meinung zu bekennen, würde nicht nur im schulischen Bereich, um den es im Streitfall geht, die Gefahr begründen, dass der Einzelne aus Furcht vor Repressalien oder sonstigen negativen Auswirkungen sich dahingehend entscheidet, seine Meinung nicht zu äußern. Dieser Gefahr der Selbstzensur soll durch das Grundrecht auf freie Meinungsäußerung entgegengewirkt werden“ (BGH Urteil vom 23.6.2009 - VI ZR 196/08; Ballhausen/Roggenkamp, K&R 2008, 403, 406; OLG Hamm, Beschluss vom 03.08.2011, I 3 U 196/10).
Die Meinungsäußerungsfreiheit der Nutzer wird durch Art. 11 Abs. 1 der Grundrechtecharta geschützt. Hiernach hat jede Person das Recht auf freie Meinungsäußerung. Dieses Recht schließt die Meinungsfreiheit und die Freiheit ein, Informationen und Ideen ohne behördliche Eingriffe und ohne Rücksicht auf Staatsgrenzen zu empfangen und weiterzugeben. § 13 Abs. 6 TMG bildet insofern eine Konkretisierung der Gewährleistung, ohne Zwang eine bestimmte Meinung äußern zu können. Der Äußernde muss seine Meinung unter Verwendung eines Pseudonyms tätigen können, ohne fürchten zu müssen, von Facebook als Person mit „irrelevanten“ Beiträgen von der Kommunikation ausgeschlossen zu werden. Diese grundrechtliche Gewährleitung muss zwischen Facebook und den Nutzern im Wege der mittelbaren Drittwirkung von Grundrechten beachtet werden.
Die wettbewerbliche Betätigungsfreiheit von Facebook muss hier zurücktreten. Nach Art. 16 der Grundrechtecharta wird die unternehmerische Freiheit nach dem Gemeinschaftsrecht und den einzelstaatlichen Rechtsvorschriften und Gepflogenheiten anerkannt. Nach Art. 52 Abs. 1 Satz 2 der Grundrechtecharta dürfen unter Wahrung des Grundsatzes der Verhältnismäßigkeit Einschränkungen nur dann vorgenommen werden, wenn sie notwendig sind und den von der Union anerkannten dem Gemeinwohl dienenden Zielsetzungen oder den Erfordernissen des Schutzes der Rechte und Freiheiten anderer tatsächlich entsprechen. Die Meinungsäußerungsfreiheit der Nutzer sowie das ihnen zustehende allgemeine Persönlichkeitsrecht verdienen gegenüber der wettbewerblichen Betätigungsfreiheit von Facebook Vorrang. Gerade kritische Meinungsäußerungen können von den Nutzern nur dann unter den angelegten Accounts verbreitet werden, wenn diese sicher sein können, dass keine Zensur durch Facebook erfolgt. Dabei muss die Freiheit bestehen, Meinungsäußerungen unter Nutzung eines Pseudonyms in die Kommunikation mit anderen Nutzern einzubringen. Nutzer müssen dabei die Möglichkeit erhalten, gegenüber anderen Nutzern per Pseudonym aufzutreten. Missstände müssen dann offen diskutiert werden können, ohne dass die Nutzer mit Nachteilen rechnen müssen (OLG Hamm, Beschluss vom 03.08.2011, I 3 U 196/10). Facebook hat kein Recht in diese Kommunikation aktiv einzugreifen, indem sie Kontensperrungen vornimmt und Äußerungen unter Pseudonym unmöglich macht. Weiterhin hat Facebook nicht die Befugnis, eine Kommunikation der Nutzer von vornherein ohne Ausnahme unter Offenbarung ihrer Identität zu fordern. Die Ermöglichung einer Kommunikation unter Pseudonym entspricht auch den von der Union anerkannten dem Gemeinwohl dienenden Zielsetzungen. Dabei ist die Meinungsfreiheit nicht auf die Äußerung von Meinungen beschränkt, sondern schließt nach Art. 10 Abs. 1 Satz 2 der EMRK und Art. 11 Abs. 1 Satz 1 der Grundrechtecharta im Sinne einer Kommunikationsfreiheit ausdrücklich die Freiheit zum Empfang und zur Mitteilung von Nachrichten oder Ideen ein. Dieses Recht wird durch eine Kontensperrung massiv behindert. Der EGMR betont in ständiger Rechtsprechung, dass die Freiheit der Meinungsäußerung nicht nur für Informationen oder Ideen gilt, die Zustimmung erfahren oder die als harmlos oder unerheblich betrachtet werden, sondern auch für sämtliche Informationen und Ideen, die den Staat oder einen Bereich der Bevölkerung beleidigen, aus der Fassung bringen oder stören (EuGH, Schlussantrag des Generalanwalts v. 08.05.2008, Rechtssache C-73/07).
Eine Missbrauchskontrolle bleibt Facebook möglich, wenn einzelne Nutzer davon Gebrauch machen, auf dem Facebook-Portal unter Pseudonym aufzutreten. Erhält Facebook Kenntnis davon, dass z. B. ein strafrechtlich relevantes Verhalten von einzelnen Nutzern vorliegt, so wäre der jeweilige Verursacher über das Pseudonym zu ermitteln und Maßnahmen gegen einen Missbrauch können ergriffen werden. Das Angebot an die Nutzer, eine Registrierung unter Pseudonym vorzunehmen, ist Facebook zumutbar, zumal über die Funktion des elektronischen Personalausweises neue Möglichkeiten einer Identifizierung bestehen. Der Gesetzgeber hat die Möglichkeit einer Verwendung des elektronischen Identitätsnachweises z. B. auch für Kreditinstitute geregelt, wodurch ein besonderes sparsamer Umgang mit personenbezogenen Daten erfolgen kann, vgl. §§ 6 Abs. 2 Nr. 2 Satz 1 c), 8 Abs. 1 Satz 6 PAuswG.
Weiterhin liegt ein Verstoß gegen Art. 8 Abs. 1 und 2 der Grundrechtecharta vor. Nach Art. 8 Abs. 2 Satz 2 der Grundrechtecharta dürfen personenbezogene Daten nur nach Treu und Glauben für festgelegte Zwecke und mit Einwilligung der betroffenen Person oder auf einer sonstigen gesetzlich geregelten Grundlage verarbeitet werden. Eine Einwilligung der Nutzer liegt nicht vor, da diese voraussetzen würde, dass die Nutzer eine freie Entscheidung über die Verwendung ihrer Echtdaten bei der Registrierung fällen können. Dies ist durch den von der Facebook ausgeübten Zwang auf die Nutzer, sich mit Echtdaten zu registrieren, nicht gegeben. Insofern haben die betroffenen Nutzer keine Einwilligung nach Maßgabe von Art. 7 a) der Richtlinie 95/46/EG, Art. 8 Abs. 2 Satz 1 der Grundrechtecharta erteilt. Die Eingabe der Echtdaten kann auch nicht auf eine gesetzliche Grundlage gestützt werden. Die Verarbeitung der Daten ist nicht für die Erfüllung eines Vertrags erforderlich, Art. 7 b) der Richtlinie 95/46/EG. Es bestehen auf Seiten von Facebook keine legitimen Zwecke, ohne Ausnahme den Gebrauch von Pseudonymen zu verbieten. Dabei ist auch zu berücksichtigen, dass keine Vertragspflichten der Nutzer gegenüber Facebook bestehen, die eine Übermittlung personenbezogener Daten zwingend notwendig macht, wie dies etwa bei einem Kaufvertrag bezüglich der Angabe der Rechnungsadresse denkbar wäre. Eine wie von Facebook vorgetragene „Klarnamenpolitik“ muss im Rahmen der ihr zustehenden wirtschaftlichen Betätigungsfreiheit hinter dem Schutz der allgemeinen Persönlichkeitsrechte der Nutzer zurückstehen.
Vor diesem Hintergrund ist die Anordnung der sofortigen Vollziehung bezüglich der Entsperrung von Nutzerkonten rechtmäßig. Es besteht ein hohes öffentliches Interesse an der Ermöglichung eines freien Meinungsaustausches und der Wahrung der Privatsphäre. Eine Kommunikation, die Nutzer gesperrter Konten bisher über das Portal von Facebook geführt haben, ist diesen nicht mehr zugänglich. Hierdurch wird Meinungsbildung und -äußerung gezielt verhindert. Ein Zwang zur Offenbarung der Identität beschränkt in unzulässiger Weise die allgemeinen Persönlichkeitsrechte der Nutzer. Eine Zensur von Meinungen durch Facebook verstößt eklatant gegen die Meinungsäußerungsfreiheit. Da Facebook nun zu einer Sperrung von Nutzerkonten übergegangen ist, um die Herausgabe von Echtdaten und ungeschwärzten Kopien von Personalausweiskopien auf rechtswidrige Weise zu erzwingen und den Nutzern keine Wahlmöglichkeiten eingeräumt werden, um auf eigene Kommunikationsinhalte zurückzugreifen, besteht ein öffentliches Vollzugsinteresse.

References: Art. 4
 Art. 4
 Art. 2
 Art. 28
 Art. 28
 Art. 4
 § 38
 § 1
 § 38
 § 1
 § 1
 § 39
 § 38
 § 1
 § 1
 § 38
 § 1
 § 38
 § 1
 § 1
 § 13
 Art. 8
 § 13
 EuGH 
 EuGH 
 Art. 8
 Art. 8
 § 13
 § 13
 § 18
 § 21
 § 28
 Art. 5
 BGH 
 BGH 
 Art. 5
 BGH 
 Art. 11
 § 13
 Art. 16
 Art. 52
 Art. 10
 Art. 11
 EGMR 
 Art. 8
 Art. 8
 Art. 7
 Art. 8
 Art. 7