Source: https://www.lead-digital.de/facebook-urteil-zusatzvereinbarung-fuer-fanpage-betreiber/
Timestamp: 2019-02-17 11:53:01
Document Index: 59569171

Matched Legal Cases: ['EuG', 'EuG', 'Art. 26', 'Art. 13', 'EuG', 'Art. 26', 'EuG', 'Art. 26', 'EuG', 'Art. 26', 'Art. 12', 'Art. 32', 'Art 56', 'Art. 6', 'Art. 6', 'Art. 26']

Facebook-Urteil: Zusatzvereinbarung für Fanpage-Betreiber | LEAD
(Collage Adobe Stock/LEAD)
Facebook DSGVO Datenschutz
Facebook-Urteil: Zusatzvereinbarung für Fanpage-Betreiber
Der EuGH hat in seinem Urteil von Juni 2018 festgestellt, dass neben Facebook selbst auch die Fanpage-Betreiber für die Verarbeitung der Daten von Fanpage-Besuchern verantwortlich seien. Anwältin und Datenschutzexpertin Kathrin Schürmann erklärt, was das bedeutet.
Kathrin Schürmann 24. September 2018
Nachdem es mehrere Wochen ruhig rund um die Facebook-Fanpage-Problematik geworden war, ist nun innerhalb weniger Tage einiges passiert. Der EuGH hatte in seinem Urteil von Juni 2018 festgestellt, dass neben Facebook selbst auch die Fanpage-Betreiber für die Verarbeitung der Daten von Fanpage-Besuchern verantwortlich seien. Gemäß dem Art. 26 DSGVO sind Verantwortliche gemeinsam dazu verpflichtet, in transparenter Form eine Vereinbarung darüber zu treffen, wer von ihnen welche Verpflichtung gemäß der DSGVO erfüllt (sog. Joint-Controllership-Agreement). Zu den von der DSGVO geregelten Pflichten gehören insbesondere die Wahrung der Rechte der von der Verarbeitung betroffenen Personen, wie z.B. das Recht auf Information und Auskunft im Sinne der Art. 13 bis 15 DSGVO.
Bereits wenige Tage nach dem Urteil nahm die Konferenz der unabhängigen Datenaufsichtsbehörden des Bundes und der Länder (DSK) zu der Problematik Stellung und forderte von Facebook und den Seiten-Betreibern eine entsprechende Vereinbarung. Auch Facebook meldete sich zu Wort und kündigte eine Anpassung der Nutzungsbedingungen für Fanpage-Betreiber an.
Den Worten folgten allerdings zunächst keine Taten, weshalb die DSK am 05.09.2018 zum zweiten Mal Stellung zum viel diskutierten "Fanpage"-Urteil des EuGH nahm. In dem neuen Beschluss werden nun - im Gegensatz zur eher vagen ersten Stellungnahme - konkrete Vorgaben für Fanpage-Betreiber gemacht. Dabei thematisiert die DSK insbesondere die Vereinbarung über die gemeinsame Verantwortlichkeit nach Art. 26 DSGVO. Bei Fehlen einer solchen Vereinbarung sei der Betrieb der Facebook-Fanpage rechtswidrig.
Facebook stellt geforderte Vereinbarung zur Verfügung
Das EuGH-Urteil, die Stellungnahmen der DSK und die fehlende Reaktion von Facebook riefen erhebliche Unsicherheit bei den Fanpage-Betreibern hervor. Nun allerdings hat Facebook wenige Tage nach dem zweiten Beschluss der DSK reagiert und ein Dokument mit dem Titel "Seiten-Insights-Ergänzung bezüglich des Verantwortlichen" zur Verfügung gestellt. Zwar geht aus der Überschrift nicht hervor, dass es sich hierbei um die von der DSGVO geforderte Vereinbarung handelt, allerdings ist dies nach Art. 26 DSGVO auch nicht erforderlich, entscheidend ist der Inhalt des Dokuments.
Die ergänzten Vertragsbedingungen legen fest, dass die Seitenbetreiber und Facebook gemeinsame Verantwortliche für die Verarbeitung von Insights-Daten sind. Mithilfe dieser von Facebook bereitgestellten Daten können Seitenbetreiber eine statistische Auswertung über die Besucher ihrer Seite vornehmen. Die Möglichkeit der Nutzung dieser Daten war der auschlaggebende Punkt in der Entscheidung des EuGH, Seitenbetreiber datenschutzrechtlich zu verpflichten.
Zudem garantiert Facebook die zur Verfügungstellung der "wesentlichen Aspekte" des Dokuments für alle betroffenen Personen, womit auch das Kriterium „in transparenter Form“ i.S.d. Art. 26 DSGVO erfüllt werden soll. Im Umkehrschluss bedeutet dies allerdings auch, dass die Ergänzung der Nutzungsbedingungen nicht für jegliche Datenverarbeitung auf der Fanpage, sondern nur für die Verarbeitung der Insights-Daten gilt.
Hauptverantwortung für den Datenschutz liegt bei Facebook
Für die Verarbeitung der Insights-Daten wird Facebook die primäre Verantwortung übernehmen. Dies gilt insbesondere für die in den Art. 12 bis 22 DSGVO geregelten Betroffenenrechte sowie die in Art. 32-34 DSGVO normierte Datensicherheit und Meldung von Datenschutzverletzungen.
Zusätzlich wird vereinbart, dass Verantwortlicher für die Datenverarbeitung Facebook Irland (Hauptniederlassung von Facebook in der EU) sein wird. Dies hat gem. Art 56 DSGVO zur Folge, dass die irischen Datenschutzbehörden europaweit „federführend“ in allen diesbezüglichen Angelegenheiten sein werden. Gerichts- und Streitstand wird ebenso Irland sein. Anfragen von nationalen Datenschutzbehörden und Betroffenen müssen innerhalb von sieben Tagen über ein Formular an Facebook Irland weitergeleitet werden.
Was Fanpage-Betreiber jetzt beachten sollten
Auch wenn die Hauptverantwortung für die Datenverarbeitung der Insights-Daten nun bei Facebook Irland liegt, sehen die neuen Nutzungsbedingungen dennoch einige Pflichten für die Seitenbetreiber vor.
Zunächst schreibt die Vereinbarung den Seitenbetreibern vor, den für die Datenverarbeitung Verantwortlichen zu benennen. Laut einem englischen Hinweis von Facebook können die Angaben zum verantwortlichen Unternehmen und dessen Datenschutzbeauftragten einschließlich deren Kontaktdaten im Bereich "About" über "Edit Page Info" eingetragen werden.
Weiterhin müssen Seitenbetreiber dafür Sorge tragen, dass die Verarbeitung der Insights-Daten auf einer Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO beruht. In Betracht wird hierbei wohl vor allem eine Erlaubnis nach Art. 6 Abs. 1 S. 1 lit. f DSGVO kommen. Dieser legitimiert die Verarbeitung von personenbezogenen Daten, wenn der Verarbeitende ein dem Betroffenen gegenüber überwiegendes Interesse an der Verarbeitung hat - z.B. Direktwerbung.
Zusätzlich hat der Seitenbetreiber auch die Pflicht, die Betroffenen über die Verarbeitung der Daten zu informieren, indem auf der Fanpage im Infobereich unter Datenrichtlinie ein Link zur eigenen Datenschutzerklärung aufgeführt und den Nutzern angezeigt wird. Dementsprechend muss die eigene Datenschutzerklärung mit einem Textbaustein zur gemeinsamen Verantwortlichkeit beim Betrieb der Fanpage samt Rechtsgrundlage ergänzt werden.
Die DSK stellt weitere Anforderungen
Zusätzlich ist darauf hinzuweisen, dass der oben erwähnte neue Beschluss der DSK im Anhang einen Fragenkatalog enthält, den alle Seitenbetreiber (und Facebook) beantworten können sollten. Dieser geht teilweise über die Vereinbarung nach Art. 26 DSGVO hinaus. Beispielsweise möchte die DSK Antworten zu Fragen wie:
Zu welchen Zwecken und auf welcher Rechtsgrundlage werden beim Erst-Aufruf einer Fanpage auch bei Nicht-Mitgliedern Einträge im sogenannten Local Storage erzeugt?
Hierbei handelt es sich naturgemäß um Informationen, die nicht dem Seitenbetreiber, sondern nur Facebook allein vorliegen. Auch hier muss sich das soziale Netzwerk wieder bewegen und die geforderten Informationen bereitstellen.
Nach der Unsicherheit der letzten Monate vermindert diese Vereinbarung von Facebook das Risiko beim Betrieb der Fanpage enorm, da die vorhandenen "Regelungslücken" größtenteils geschlossen werden können.
Allerdings ist die Reaktion der deutschen Datenschutzbehörden abzuwarten. Eine abschließende Bewertung wird erst vorgenommen werden können, wenn erste Gerichtsentscheidungen in dieser Angelegenheit vorliegen.
Kathrin Schürmann, Rechtsanwältin für das digitale Business