Source: https://www.datenschutzzentrum.de/artikel/742-.html
Timestamp: 2018-01-17 12:38:35
Document Index: 241658358

Matched Legal Cases: ['Art. 17', '§ 1', '§ 1', '§ 1', 'BGH', 'BGH', '§ 21']

Beschwerdebegründung im Verfahren gegen die Facebook Inc. - ULD
Beschwerdebegründung im Verfahren gegen die Facebook Inc.
Verwaltungsrechtssache Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein (ULD) ./. Facebook Inc., Az.: 8 B 61/12; Beschluss v. 14. Februar 2013
Der Beschluss des Schleswig-Holsteinischen Verwaltungsgerichts vom 14. Februar 2013, Az. 8 B 61/12, wird aufgehoben.
bb) Ein steuernder Einfluss der Facebook Ireland Ltd. als Niederlassung auf die Verarbeitung der hier relevanten personenbezogenen Daten wird auchnicht durch eine Auftragsdatenverarbeitung der Facebook Inc. für die Facebook Ireland Ltd. begründet. Es bestehen keine Anhaltspunkte dafür, dass die Facebook Ireland Ltd. gegenüber der Konzernmutter, der Facebook Inc., Weisungen zur Verarbeitung der personenbezogenen Daten erteilen darf und die Datenverarbeitung durch die Facebook Ireland Ltd. kontrolliert wird. Das VG Schleswig hat sich in seiner Argumentation nicht mit dem Konstrukt der Auftragsdatenverarbeitung auseinander gesetzt. Wie bereits im Schriftsatz des ULD vom 18. Januar 2013, S. 4, dargelegt wurde, müsste ein Vertrag zur Auftragsdatenverarbeitung zwischen der Facebook Ireland Ltd. als Auftraggeberin und der Facebook Inc. als Auftragnehmerin vor allem konkret Folgendes darlegen: Zweck der Verarbeitung der personenbezogenen Daten, konkretisiert auf die jeweiligen Datenarten, Verbot einer Zweckänderung, konkrete technisch-organisatorische Maßnahmen der Datensicherheit in Bezug auf jede konkrete Funktionalität und Datenverarbeitung, die Inhalte sämtlicher Unterauftragsverträge, Angaben über die Kontrollen der Facebook Ireland Ltd. und der dabei anzuwendenden Mechanismen sowie konkrete Angaben über die Umsetzung der Safe-Harbor-Prinzipien. Schließlich müsste vereinbart sein, dass der Auftragsverarbeiter nur auf Weisung des für die Verarbeitung Verantwortlichen handeln darf, Art. 17 Abs. 3 der Richtlinie 95/46/EG. Für eine entsprechende Auftragsabwicklung zwischen der Facebook Ireland Ltd. und der Facebook Inc. gibt es keine Nachweise und Dokumente. Auch aus diesem Grund konnte das VG Schleswig nicht davon ausgehen, dass die Facebook Ireland Ltd. als Niederlassung der Facebook Inc. eine eigenverantwortliche Datenverarbeitung vornimmt.
cc) Eine aktive Einbeziehung der Facebook Ireland Ltd. in Tätigkeiten, in deren Rahmen personenbezogene Daten verarbeitet werden, erfolgte bisher auch nicht nach den Erfahrungen des Hamburgischen Beauftragten für den Datenschutz und die Informationsfreiheit und der Gruppe „europe-v-facebook“. Das VG Schleswig hat die entsprechenden Ausführungen des ULD im Schriftsatz vom 18. Januar 2013 nicht gewürdigt.
Bezug nehmend auf die Ausführungen des ULD im Schriftsatz vom 18. Januar 2013, S. 6, wurde durch die Verfügung des Hamburgischen Beauftragten für den Datenschutz und die Informationsfreiheit (Verfahrens der automatisierten Gesichtserkennung) vom 21. September 2012 (Anlage 3) ausgeführt, dass einseitig die Facebook Inc. ohne Kommunikation mit der Facebook Ireland Ltd. das Verfahren zur Gesichtserkennung von Facebook-Nutzern festlegte und umsetzte. Die Facebook Ireland Ltd. hatte zu keinem Zeitpunkt wesentlichen Einfluss genommen gegen Facebook Inc., vgl. Anlage 3, dort S. 19). Der Hamburger Beauftragte für den Datenschutz und die Informationsfreiheit hatte zudem ermittelt, dass bis zum 28. August 2009 allein die Facebook Inc. gegenüber den Nutzern aufgetreten ist und mit diesen Nutzungsverträge abgeschlossen hat. Die datenschutzrechtliche Verantwortlichkeit der Facebook Inc. wurde auch nicht auf die Facebook Ireland Ltd. übertragen, indem die Facebook Inc. am 28. August 2009 eigenmächtig die Nutzungsbedingungen mit dem Ziel geändert hat, den Vertragspartner der Nutzer gegen die Facebook Ireland Ltd. auszutauschen und/oder indem die Facebook Inc. mit der Facebook Ireland Ltd. eine „Vereinbarung über Auftragsdatenverarbeitung“ in Bezug auf die deutschen Nutzer geschlossen hat (Verfügung des Hamburger Beauftragten für den Datenschutz und die Informationsfreiheit vom 21. September 2012, S. 12 f. – Anlage 3).
Die fehlende Einflussnahme der Facebook Ireland Ltd. auf die gesamte personenbezogene Datenverarbeitung wird zudem von der Gruppe "europe-v-facebook" in ihrer Antwort auf dem Auditbericht des irischen Datenschutzbeauftragten aus 2012 bestätigt. Bei „europe-v-facebook“ handelt es sich um eine Gruppe von Studierenden in Wien, die sich gemeinsam mit ihrem Sprecher Max Schrems im August und September 2011 an den irischen Datenschutzbeauftragten mit insgesamt 22 detaillierten Beschwerden gewandt hatten (Report of Audit vom 21.12.2011, S. 22 und Appendix 2 – Schriftsatz des ULD v. 18.01.2013, S. 6). Mitglieder dieser Gruppe versuchen seit über einem Jahr mit begrenztem Erfolg, ihre u. a. in der Richtlinie 95/46/EG garantierten Betroffenenrechte unter Einschaltung des irischen Datenschutzbeauftragten gegenüber Facebook durchzusetzen. Am 4. Dezember 2012 legte die Gruppe "europe-v-facebook" eine Antwort auf den aktuellen Auditbericht vor, in der sie feststellt, dass den kritisierten Verstößen durch Facebook im Wesentlichen nicht abgeholfen wurde. In dem Bericht dieser Gruppe wird dargestellt, dass die Facebook Ireland Ltd. gegenüber der Gruppe immer wieder argumentiert habe, dass bestimmten datenschutzrechtlichen Forderungen nicht nachgekommen werden könne, "weil das Management von Facebook Inc. dem nie zustimmen würde"(europe-v-facebook.org, Response to „audit“, Vienna, December 4th 2012, S. 17, http://www.europe-v-facebook.org/report.pdf - Schriftsatz des ULD vom 18. Januar 2013, S. 6).
Bereits im Schriftsatz des ULD vom 18. Januar 2013 wurde darauf hingewiesen, dass die Facebook Inc. für die Diensteerbringung sog. Content Delivery Networks (CDN) nutzt und hierfür die Dienste der Firma Akamai in Anspruch nimmt. Sitz der Unternehmenszentrale ist Cambridge/MA in den USA (Akamai Corporate Headquarter, 8 Cambridge Center, Cambridge, MA 02142, USA). Akamai bietet ein globales Netzwerk, das eine Verteilung von Inhalten in möglichst hoher netztopologischer Nähe zum Nutzer ermöglicht, um die Ladezeiten von Internet-Inhalten gering zu halten. Das für Deutschland verantwortliche Tochterunternehmen ist die Akamai Technologies GmbH in Bayern. Akamai betreibt eigene Rechenzentren, nutzt aber zur Inhaltsverteilung auch solche anderer Anbieter, etwa des Internetproviders TNG in Kiel, Schleswig-Holstein.
Nach den bisher vorhandenen Informationen besteht eine Unterauftragskette von der Facebook Inc. über Akamai/USA, Akamai/Deutschland bis zu weiteren deutschen Providern wie z. B. TNG in Kiel. Bei der Verarbeitung kommt es im Rahmen dieser Auftragsverhältnisse zunächst zu einer Übermittlung an die Facebook Inc. und dann wieder von Akamai/USA nach Deutschland. Über die tatsächliche Datenverarbeitung in diesen Auftragsverhältnissen und zu den diesen zugrundeliegenden Rechtsverhältnissen hat Facebook gegenüber dem ULD trotz entsprechender Aufforderung bisher keine Angaben gemacht. Hierzu hatte das ULD auf seine „Datenschutzrechtliche Bewertung der Reichweitenanalyse durch Facebook“ vom 19. August 2011, S. 16 f. (Anlage 2 zum Schriftsatz vom 18.01.2013) hingewiesen.
Bereits im Schriftsatz des ULD vom 18. Januar 2013 wurde dargelegt, dass für ein automatisiertes Mittel vorliegend der PC des Nutzers ausreichend ist, mit welchem dieser die von der Facebook Inc. zur Verfügung gestellten Dienste in Anspruch nimmt (vgl. Dammann, in: Simitis, Kommentar zum BDSG, 7. Aufl., 2011, § 1 Rn. 217). Im Wege der Registrierung durch den Nutzer unter www.facebook.com erhebt die Facebook Inc. die eingegebenen Registrierungsdaten (Name, Vorname, Geburtsdatum, E-Mail-Adresse). Ferner platziert die Facebook Inc. bei jedem Seitenaufruf auf den Rechnern der Nutzer Cookies, wie etwa den Cookie „datr“. Durch das Setzen der Cookies und das anschließende Lesen werden zwar keine aktiven Programme auf diesen Rechnern installiert, wohl aber Daten gespeichert, damit die Programme der Facebook Inc. bei nachfolgenden Aufrufen des gleichen Nutzers darauf zurückgreifen können und so eine Identifizierung möglich wird (vgl. Dammann, in: Simitis, Kommentar zum BDSG, 7. Aufl., 2011, § 1 Rn. 227). Auf diese Weise verwendet die Facebook Inc. automatisierte Mittel, um personenbezogene Daten zu verarbeiten. Folglich findet für die Facebook Inc. deutsches Datenschutzrecht Anwendung.
Zum gleichen Ergebnis gelangt man unter Anwendung von § 1 Abs. 5 Satz 2 BDSG. Demnach findet das BDSG Anwendung, sofern eine verantwortliche Stelle, die nicht in einem Mitgliedstaat der EU oder in einem Vertragsstaat des EWR belegen ist, personenbezogene Daten im Inland erhebt, verarbeitet oder nutzt. Die Facebook Inc. erhebt, wie ausgeführt, die personenbezogenen Registrierungs- und Nutzungsdaten (z.B. unter Verwendung von Cookies) im Inland.
Facebook Inc. hat in seiner Stellungnahme vom 18. Oktober 2012 jegliche datenschutzrechtliche Verantwortlichkeit von sich gewiesen, die Anwendbarkeit der Vorschriften des Telemediengesetzes (TMG) verneint und im Übrigen auf die Facebook Ireland Ltd. verwiesen. Die Facebook Ireland Ltd. hat in ihrem Schreiben vom 6. Dezember 2012 (Anlage 8) zwar nur für das unter dem Aktenzeichen LD4-61.41/12.004 parallel laufende Verfahren Stellung genommen. Allerdings werden dort allgemeine Erwägungen getroffen, die den gesamten Facebook-Konzern einschließen, so dass diese Ausführungen vor allem in die Prüfung der Angemessenheit einfließen.
Dem Recht auf informationelle Selbstbestimmung steht das Recht des Facebook-Konzerns gegenüber, sich wirtschaftlich zu betätigen. Aus verfassungsrechtlicher Sicht muss ein verhältnismäßiger Ausgleich der widerstreitenden Interessen ermittelt werden. Dabei ist von Bedeutung, dass die Facebook Inc. nicht etwa die Erfüllung karitativer Zwecke anstrebt und im Rahmen einer weltweiten „Mission“ (so im Schreiben vom 6. Dezember 2012, S. 6 – Anlage 8) lediglich die Kommunikation unter den Menschen verbessern möchte. Facebook Inc. ist ein US-börsennotiertes Unternehmen, welches mit Gewinnerzielungsabsicht tätig wird und sein Geschäftsmodell über diverse Werbungs- und Marketingmaßnahmen betreibt. Daten zu Nutzeraktivitäten werden detailliert ausgewertet und für diese Werbe- und Marketingzwecke verarbeitet und genutzt. Nach den Ausführungen in den Datenverwendungsrichtlinien unter www.facebook.com (letzte Aktualisierung: 08.06.2012) stellt Facebook seinen Geschäftspartnern Tools bereit, um anhand bestimmter Nutzerinformationen (z.B. Standort, Demographie, Vorlieben, Schlüsselwörter, Alter) gezielt Werbung zu schalten. Facebook nutzt insbesondere Informationen wie z.B. die Registrierungsdaten der Nutzer (Vorname, Nachname, Geburtsdatum, Geschlecht, E-Mail), Cookies und IP-Adressen, um Werbeanzeigen bereitzustellen. Insbesondere über den realen Namen eröffnen sich den Unternehmen Möglichkeiten der Verknüpfung von Angaben aus der analogen Welt mit Daten in der Internetumgebung. Der wettbewerbsrechtlichen Betätigungsfreiheit stehen die Rechte der einzelnen Nutzer entgegen, gerade nicht identifiziert zu werden und dass eine Erstellung von Nutzerprofilen für Werbe- und Marketingzwecke unterbleibt.
Weiterhin zieht Facebook aus der genannten gerichtlichen Entscheidung falsche Schlüsse. Zunächst hat das ULD an keiner Stelle behauptet, dass dem „Recht auf anonyme Meinungsäußerung im Internet absoluter Vorrang eingeräumt“ werden müsse (Schriftsatz von Facebook vom 12.02.2013, S. 27). Der BGH hat zwar, soweit hat dies Facebook korrekt vorgetragen, die Zulässigkeit von Lehrerbewertungen anhand einer Abwägung zwischen dem Recht auf informationelle Selbstbestimmung und dem Recht auf Kommunikationsfreiheit beurteilt. Eine Kernaussage besteht darin, dass anonym abgegebene Bewertungen von der Kommunikationsfreiheit geschützt werden. Diese Erörterung betrifft den Zugang zu einem Dienst und die Berücksichtigung von Meinungskundgaben ohne Angabe der Identität. Davon zu trennen ist die Frage, ob die (anonym) abgegebene Meinung ihrem Inhalt nach mit dem Recht auf informationelle Selbstbestimmung der Lehrer kollidiert und welchem Recht der Vorrang gebührt. Der BGH bestätigt nicht, dass „Namen als Daten nur eine begrenzte Wertigkeit zukommt“ (Schriftsatz von Facebook vom 12.02.2013, S. 27). Maßgebend ist vielmehr, dass Facebook mit der Klardatenpolitik, die sich auch in den „Nutzungsbedingungen“ unterhttp://de-de.facebook.com/legal/terms manifestiert, Meinungskundgaben unter Pseudonym unterbindet, indem eine Registrierung nur bei Eingabe von Echtdaten akzeptiert wird. Der Nutzer hat dabei keine Wahlmöglichkeit. Eine völlig andere Frage wäre dann, inwieweit eine einzelne abgegebene Meinung mit dem Recht auf informationelle Selbstbestimmung eines anderen Nutzers der Facebook-Plattform kollidiert.
Ein von Facebook behaupteter existenzvernichtender Eingriff (Schriftsatz von Facebook vom 127.02.2013, S. 26) wäre mit der technischen Einrichtung der Wahlmöglichkeit, im Rahmen der Registrierung unter http://de-de.facebook.com pseudonyme Angaben zu verwenden, nicht verbunden. Bereits zum Zeitpunkt der Anordnung haben zahlreiche Nutzer pseudonyme Konten verwendet. Wirtschaftliche Interessen, z.B. in der Form, dass Werbung bereitgestellt wird, kann Facebook, soweit aus datenschutz- und wettbewerbsrechtlicher Sicht zulässig, auch gegenüber solchen Nutzern schalten, welche sich unter Pseudonym angemeldet haben. Dies war vor der Kampagne von Facebook zur Kontensperrung ohne weiteres möglich. Es müsste mit der Einräumung der Wahlmöglichkeit, ein Pseudonym zu nutzen, auch kein „völlig neues Netzwerk“ geschaffen werden.
Es besteht ein öffentliches Interesse am sofortigen Vollzug einer Kontenentsperrung, da Firmeninhaber und die bei diesen tätigen Mitarbeiter nicht mehr auf die in den Konten eingestellten dienstlichen Informationen zugreifen können, soweit für den Firmenauftritt bei Facebook bei der Registrierung pseudonyme Angaben verwendet wurden und allein deswegen eine Sperrung des Kontos erfolgte. Das öffentliche Interesse an der Kontenentsperrung hat Vorrang vor dem Recht der Facebook Inc. auf unternehmerische Betätigung. Es ist der Facebook Inc. auch technisch möglich und zumutbar, den Nutzern in Schleswig-Holstein eine Wahlmöglichkeit zur Registrierung per Pseudonym einzurichten. Der neue elektronische Personalausweis verfügt etwa über die Funktion der sog. Wohnortverifikation, mit welcher sich Nutzergruppen in bestimmten räumlichen Gebieten identifizieren lassen (Datenschutzrechtliche Leitlinien für die Erteilung von Berechtigungen nach § 21 Abs. 2 PAuswG aus Sicht der Ad-hoc-Arbeitsgruppe nPA der Datenschutzbeauftragten des Bundes und der Länder, S. 6, Anlage 9).
Das angedrohte Zwangsgeld ist geeignet, den Adressaten der Anordnung dazu anzuhalten, die angeordnete Kontenentsperrung, die Ermöglichung einer Registrierung unter Pseudonym und die Unterrichtung über die Wahlmöglichkeit fristgerecht vorzunehmen. In Anbetracht der bestehenden und der unmittelbar bevorstehenden Gefährdung des Rechts auf informationelle Selbstbestimmung von weiteren Nutzern in Schleswig-Holstein, die für die Zukunft eine Registrierung unter www.facebook.de beabsichtigen, und im Hinblick auf die registrierten Nutzer in Schleswig-Holstein, deren Konten von der Facebook Inc. infolge Nichtangabe/nicht vollständiger Angabe der Echtdaten gesperrt wurden, ist die Höhe des Zwangsgeldes auch erforderlich und angemessen.