Source: https://www.datenschutzbeauftragter-info.de/fanpages-plugins-und-iframes-gemeinsame-verantwortlichkeit-fuer-alle-drittinhalte/
Timestamp: 2019-11-12 13:03:08
Document Index: 329292855

Matched Legal Cases: ['EuG', 'EuG', 'Art. 2', 'EuG', 'EuG', 'EuG', 'EuG']

Fanpages, PlugIns und iframes – Gemeinsame Verantwortlichkeit für alle Drittinhalte?
8. November 2019 |	Noch kein Kommentar | Von Dr. Datenschutz
Sharing is caring, heißt es so schön. Doch das Einbinden fremder Inhalte ist datenschutzrechtlich problematisch. Dies betrifft nicht nur Social PlugIns, sondern jede Form von Embedded Content. Warum, erfahren Sie in diesem Beitrag.
iframes & Co: Wo ist das Problem?
Das Einbinden fremder Inhalte ist im Netz beliebt: Ohne eigenen Programmieraufwand können Webseiten schnell und einfach um Funktionalität und Inhalte erweitert werden. Werbebanner, Widgets, Videos, sogar Shops werden als iframe in Webseiten eingebunden.
Vor- und Nachteile von iframes hatten wir vor einiger Zeit bereits in diesem Blog betrachtet. Die grundsätzliche Frage ist gleichgeblieben: Aus datenschutzrechtlicher Sicht ist entscheidend, ob mittels des eingebundenen fremden Inhalts der Dritte in die Lage versetzt wird, personenbezogene Informationen zu sammeln.
Werden die fremden Inhalte bei Aufruf der Webseite geladen, wird jedenfalls die IP-Adresse des Webseitenbesuchers an einen Dritten weitergegeben. Dies ist technisch unvermeidbar: Die Inhaltsdaten werden direkt vom Server des Drittanbieters geladen. Darüber hinaus werden gegebenenfalls weitere Daten wie der User Agent String weitergegeben und ausgewertet sowie Cookies des Dritten auf dem Endgerät des Webseitenbesuchers gespeichert und ausgelesen.
Das Problem des – durch den Nutzer oft unbemerkten – Datensammelns bei der Nutzung fremder Inhalte bleibt also bestehen. Zusätzlich werfen die beiden EuGH-Urteile vom 05.06.2018 – C-210/16 (zu Facebook Fanpages) und 29. Juli 2019 -C‑40/17 (zu Social PlugIns) lange Schatten in Sachen gemeinsame Verantwortung voraus.
Der EuGH und Drittinhalte
Auch über das Verfahren „Fashion-ID“ C-40/17 hatten wir zusammenfassend bereits berichtet. Vorlagefrage Nr. 2 in dem Verfahren lautete:
„Ist in einem Fall wie dem vorliegenden, bei dem jemand einen Programmcode in seine Webseite einbindet, der den Browser des Benutzers veranlasst, Inhalte von einem Dritten anzufordern und hierzu personenbezogene Daten an den Dritten zu übermitteln, der Einbindende „für die Verarbeitung Verantwortlicher“ im Sinne von Art. 2 Buchst. d der Richtlinie 95/46, wenn er selber diesen Datenverarbeitungsvorgang nicht beeinflussen kann?“
Der EuGH erklärte darauf, dass der Begriff der Verantwortlichkeit weit auszulegen sei und sowohl der Einbindende als auch der Drittanbieter bei der Einbindung von Drittinhalten verantwortlich sein können. Es besteht dann eine gemeinsame Verantwortlichkeit im Sinne von Artikel 26 DSGVO, die insoweit beschränkt ist, als der jeweilige Verantwortliche tatsächlich über die Zwecke und Mittel der Datenverarbeitung entscheidet.
Der EuGH antwortete zwar bezogen auf den konkreten Vorlagefall, also hinsichtlich der Einbindung des Facebook-Like-Buttons, die Ausführungen sind aber grundsätzlich auf jede Art von Einbindung von Drittinhalten (PlugIns, iframes, Pixel etc.) anwendbar. Es sind daher alle in die eigene Webseite eingebundenen Drittinhalte darauf zu überprüfen
ob und falls ja, welche personenbezogenen Daten übertragen werden.
wer in welchem Maß über die Zwecke und Mittel der Datenverarbeitung entscheidet.
IP-Adressen, Cookie-IDs und andere Online-Kennungen gelten jedenfalls dann als personenbezogenes Datum, wenn der Dritte, an die die Kennung übermittelt wird – z.B. Facebook, Twitter, Adobe, Google, etc. – faktisch die Möglichkeit hat, über Zusatzinformationen einen Personenbezug herzustellen. Dies trifft jedenfalls auf alle Plattformform mit eigenen Nutzerkonten zu.
iframes: Wie weit reicht der Einfluss des Einbindenden
Entscheidet sich der Webseitenbetreiber dafür das Shop-System eines bestimmten Anbieters zu nutzen und mittels iframe in seine Website einzubinden, fördert er sowohl eigene als auch werbliche Interessen des Shop-Anbieters. Diese sind zwar nicht deckungsgleich, gleichwohl ergänzen sie sich. Der Webseiteninhaber, der den Drittinhalt einbindet, entscheidet (in gewissem Rahmen) auch über das Mittel: Er setzt zumindest den Anlass dafür, dass Daten an einen Dritten, den Shop-Anbieter, übertragen werden. Darüber hinaus ist die gemeinsame Verantwortung fraglich: Oft wird es bei der reinen Ermöglichung der Verarbeitung durch den einbindenden Webseiteninhaber bleiben. Je nach Ausgestaltung im Einzelfall kann es sich um eine gemeinsame Verantwortung oder ggf. auch um eine Auftragsverarbeitung handeln, wenn der Einbindende allein über die Zwecke und Mittel der Datenverarbeitung entscheidet. In beiden Fällen besteht eine Informationspflicht des Webseitenbetreibers der den Drittinhalt einbindet: Die Betroffenen sind im Zeitpunkt der Datenerhebung zu informieren, dies kann nur der einbindende Webseitenbetreiber erfüllen.
Wichtig zu merken: Die gemeinsame Verantwortung endet, wo der Einbindende keinerlei Einfluss mehr auf die Datenverarbeitung hat. Diese Beschränkung wirkt sich auch auf den Umfang von Einwilligungen und Informationspflichten aus. Der Webseitenbetreiber muss also nicht über eine Datenverarbeitung informieren, deren Mittel und Zwecke er in keiner Weise bestimmt.
Praktisch bedeutet dies:
Anpassung der Datenschutzerklärung durch den Webseitenbetreiber, um die Nutzer über die die Einbindung des Drittinhaltes und die zu verantwortende Datenverarbeitung zu informieren
Sofern eine Einwilligung des Nutzers für die Datenerhebung/-übertragung erforderlich ist: Blockieren des Nachladens von Drittinhalten bis zu Einwilligung des Nutzers (mittels Consent-Management oder Zwei-Klick-Lösungen)
Vertrag über die gemeinsame Verantwortung nach Artikel 26 DSGVO
Der letzte Punkt wird letztlich – wie auch bei Facebook Fanpages – von den Anbietern der Drittinhalte erfüllt werden (müssen), dennoch sollten Webseitenbetreiber, die die Drittinhalte nutzen wollen, aktiv beim Drittinhalteanbieter nachhaken und nach einer solchen Vereinbarung fragen.
EuGH: Gemeinsame Verantwortlichkeit für „Gefällt Mir“-Button
Bestimmung der Verantwortlichkeit im Sinne der DSGVO
Datenschutz – Jahresrückblick 2018 – Teil 2
Mehr zum Thema: EuGH, Gemeinsam Verantwortliche, iframe, Informationspflicht, Social Network, Social-Plugins
Archiv: Monat auswählen November 2019 (7) Oktober 2019 (22) September 2019 (21) August 2019 (22) Juli 2019 (23) Juni 2019 (19) Mai 2019 (21) April 2019 (20) März 2019 (21) Februar 2019 (20) Januar 2019 (22) Dezember 2018 (16) November 2018 (22) Oktober 2018 (21) September 2018 (20) August 2018 (23) Juli 2018 (21) Juni 2018 (21) Mai 2018 (20) April 2018 (20) März 2018 (21) Februar 2018 (20) Januar 2018 (23) Dezember 2017 (20) November 2017 (22) Oktober 2017 (20) September 2017 (22) August 2017 (23) Juli 2017 (21) Juni 2017 (21) Mai 2017 (21) April 2017 (18) März 2017 (23) Februar 2017 (20) Januar 2017 (22) Dezember 2016 (22) November 2016 (22) Oktober 2016 (20) September 2016 (21) August 2016 (23) Juli 2016 (21) Juni 2016 (22) Mai 2016 (20) April 2016 (22) März 2016 (28) Februar 2016 (20) Januar 2016 (20) Dezember 2015 (20) November 2015 (21) Oktober 2015 (22) September 2015 (22) August 2015 (21) Juli 2015 (23) Juni 2015 (22) Mai 2015 (18) April 2015 (20) März 2015 (23) Februar 2015 (20) Januar 2015 (22) Dezember 2014 (22) November 2014 (20) Oktober 2014 (22) September 2014 (22) August 2014 (21) Juli 2014 (24) Juni 2014 (19) Mai 2014 (21) April 2014 (21) März 2014 (20) Februar 2014 (20) Januar 2014 (22) Dezember 2013 (21) November 2013 (21) Oktober 2013 (21) September 2013 (21) August 2013 (20) Juli 2013 (23) Juni 2013 (20) Mai 2013 (19) April 2013 (21) März 2013 (20) Februar 2013 (18) Januar 2013 (22) Dezember 2012 (20) November 2012 (22) Oktober 2012 (22) September 2012 (20) August 2012 (24) Juli 2012 (23) Juni 2012 (21) Mai 2012 (20) April 2012 (18) März 2012 (21) Februar 2012 (20) Januar 2012 (22) Dezember 2011 (22) November 2011 (20) Oktober 2011 (22) September 2011 (24) August 2011 (23) Juli 2011 (22) Juni 2011 (21) Mai 2011 (22) April 2011 (19) März 2011 (22) Februar 2011 (21) Januar 2011 (21) Dezember 2010 (23) November 2010 (24) Oktober 2010 (21) September 2010 (23) August 2010 (24) Juli 2010 (23) Juni 2010 (24) Mai 2010 (19) April 2010 (17) März 2010 (13) Februar 2010 (2) Januar 2010 (4)