Source: https://betriebs-berater.ruw.de/wirtschaftsrecht/urteile/Gefaellt-mir-Button-von-Facebook-auf-Betreiber-Website--datenschutzrechtliche-Mitverantwortung-38833
Timestamp: 2020-01-23 07:17:23
Document Index: 82546872

Matched Legal Cases: ['EuG', 'EuG', 'Art. 2', 'Art. 288', 'Art. 7', 'Art. 22', 'Art. 22', 'Art. 24', 'Art. 2', 'Art. 2', 'Art. 2', 'Art. 2', 'Art. 13', 'Art. 7', 'Art. 7']

„Gefällt mir“-Button von Facebook auf Betreiber-Website – datenschutzrechtliche Mitverantwortung
EuGH: „Gefällt mir“-Button von Facebook auf Betreiber-Website – datenschutzrechtliche Mitverantwortung
EuGH, Urteil vom 29.7.2019 – C-40/17, Fashion ID GmbH & Co. KG gegen Verbraucherzentrale NRW e. V.; beteiligt: Facebook Ireland Ltd; ECLI:EU:C:2019:629
Volltext des Urteils://BB-ONLINE BBL2019-1793-1
„Gegenstand der einzelstaatlichen Rechtsvorschriften über die Verarbeitung personenbezogener Daten ist die Gewährleistung der Achtung der Grundrechte und -freiheiten, insbesondere des auch in Artikel 8 der [am 4. November 1950 in Rom unterzeichneten] Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten und in den allgemeinen Grundsätzen des [Unionsrechts] anerkannten Rechts auf die Privatsphäre. Die Angleichung dieser Rechtsvorschriften darf deshalb nicht zu einer Verringerung des durch diese Rechtsvorschriften garantierten Schutzes führen, sondern muss im Gegenteil darauf abzielen, in der [Union] ein hohes Schutzniveau sicherzustellen.“
37 Das vorlegende Gericht stellt sich auch die Frage, ob der Betreiber einer Website wie Fashion ID, der ein Social Plugin in diese Seite einbindet, das die Erhebung personenbezogener Daten ermöglicht, als für die Verarbeitung Verantwortlicher im Sinne von Art. 2 Buchst. d der Richtlinie 95/46 angesehen werden kann, obwohl er keinen Einfluss auf die Verarbeitung der dem Anbieter dieses Plugins übermittelten Daten hat. Das vorlegende Gericht verweist insoweit auf die dem Urteil vom 5. Juni 2018, Wirtschaftsakademie Schleswig-Holstein (C-210/16 [RIW 2018, 427]), EU:C:2018:388, zugrunde liegende Rechtssache, die eine ähnliche Frage betraf.
49 Nach Art. 288 Abs. 3 AEUV sind die Mitgliedstaaten nämlich verpflichtet, bei der Umsetzung einer Richtlinie deren vollständige Wirksamkeit zu gewährleisten, wobei sie aber über einen weiten Wertungsspielraum hinsichtlich der Wahl der Mittel und Wege zu ihrer Durchführung verfügen. Diese Freiheit lässt die Verpflichtung der einzelnen Mitgliedstaaten unberührt, alle erforderlichen Maßnahmen zu ergreifen, um die vollständige Wirksamkeit der Richtlinie entsprechend ihrer Zielsetzung zu gewährleisten (Urteile vom 6. Oktober 2010, Base u. a., C-389/08, EU:C:2010:584‚ Rn. 24 und 25, sowie vom 22. Februar 2018, Porras Guisado, C-103/16, EU:C:2018:99‚ Rn. 57).
50 Insoweit ist darauf hinzuweisen, dass eines der Ziele, die der Richtlinie 95/46 zugrunde liegen, darin besteht, einen wirksamen und umfassenden Schutz der Grundfreiheiten und Grundrechte natürlicher Personen, insbesondere des Rechts auf Privatleben, bei der Verarbeitung personenbezogener Daten zu gewährleisten (vgl. in diesem Sinne Urteile vom 13. Mai 2014, Google Spain und Google, C-131/12 [WRP 2014, 805], EU:C:2014:317, Rn. 53, sowie vom 27. September 2017, Puškár, C-73/16 [RIW 2017, 840], EU:C:2017:725, Rn. 38). In ihrem zehnten Erwägungsgrund wird klargestellt, dass die Angleichung der in dem entsprechenden Bereich geltenden nationalen Rechtsvorschriften nicht zu einer Verringerung des durch diese Rechtsvorschriften garantierten Schutzes führen darf, sondern im Gegenteil darauf abzielen muss, in der Union ein hohes Schutzniveau sicherzustellen (Urteile vom 6. November 2003, Lindqvist, C-101/01 [EWS 2003, 559], EU:C:2003:596, Rn. 95, vom 16. Dezember 2008, Huber, C-524/06, EU:C:2008:724, Rn. 50, und vom 24. November 2011, Asociación Nacional de Establecimientos Financieros de Crédito, C-468/10 und C-469/10 [K&R 2012, 40 m. K&R-Komm. Lang], EU:C:2011:777, Rn. 28).
54 Die Richtlinie 95/46 führt zwar zu einer grundsätzlich umfassenden Harmonisierung der nationalen Rechtsvorschriften über den Schutz personenbezogener Daten (vgl. in diesem Sinne Urteile vom 24. November 2011, Asociación Nacional de Establecimientos Financieros de Crédito, C-468/10 und C-469/10 [K&R 2012, 40 m. K&R-Komm. Lang], EU:C:2011:777, Rn. 29, und vom 7. November 2013, IPI, C-473/12, EU:C:2013:715, Rn. 31).
55 Daher hat der Gerichtshof entschieden, dass Art. 7 dieser Richtlinie eine erschöpfende und abschließende Liste der Fälle vorsieht, in denen eine Verarbeitung personenbezogener Daten als rechtmäßig angesehen werden kann, und dass die Mitgliedstaaten weder neue Grundsätze in Bezug auf die Zulässigkeit der Verarbeitung personenbezogener Daten neben diesem Artikel einführen, noch zusätzliche Bedingungen stellen dürfen, die die Tragweite eines der sechs in diesem Artikel vorgesehenen Grundsätze verändern würden (Urteile vom 24. November 2011, Asociación Nacional de Establecimientos Financieros de Crédito, C-468/10 und C-469/10 [K&R 2012, 40 m. K&R-Komm. Lang], EU:C:2011:777‚ Rn. 30 und 32, sowie vom 19. Oktober 2016, Breyer, C-582/14 [RAW 2017, 54], EU:C:2016:779‚ Rn. 57).
56 Der Gerichtshof hat jedoch auch klargestellt, dass die Richtlinie 95/46 Vorschriften enthält, die verhältnismäßig allgemein gehalten sind, da sie auf eine große Zahl ganz unterschiedlicher Situationen Anwendung finden soll. Diese Vorschriften sind durch eine gewisse Flexibilität gekennzeichnet und überlassen es in vielen Fällen den Mitgliedstaaten, die Einzelheiten zu regeln oder zwischen Optionen zu wählen, so dass die Mitgliedstaaten in vielerlei Hinsicht über einen Handlungsspielraum zur Umsetzung dieser Richtlinie verfügen (vgl. in diesem Sinne Urteile vom 6. November 2003, Lindqvist, C-101/01 [EWS 2003, 559], EU:C:2003:596, Rn. 83, 84 und 97, sowie vom 24. November 2011, Asociación Nacional de Establecimientos Financieros de Crédito, C-468/10 und C-469/10 [K&R 2012, 40 m. K&R-Komm. Lang], EU:C:2011:777, Rn. 35).
57 Dies gilt für die Art. 22 bis 24 der Richtlinie 95/46, deren Wortlaut, wie der Generalanwalt in Nr. 42 seiner Schlussanträge festgestellt hat, allgemein gehalten ist und die keine umfassende Harmonisierung der nationalen Vorschriften über gerichtliche Rechtsbehelfe, die gegen den mutmaßlichen Verletzer von Vorschriften über den Schutz personenbezogener Daten eingelegt werden können, vornehmen (vgl. entsprechend Urteil vom 26. Oktober 2017, I, C-195/16, EU:C:2017:815, Rn. 57 und 58).
58 Insbesondere verpflichtet Art. 22 dieser Richtlinie zwar die Mitgliedstaaten, vorzusehen, dass jede Person bei der Verletzung der Rechte, die ihr durch die für die betreffende Verarbeitung personenbezogener Daten geltenden einzelstaatlichen Rechtsvorschriften garantiert sind, bei Gericht einen Rechtsbehelf einlegen kann, doch enthält die Richtlinie keine Bestimmung, die speziell die Voraussetzungen regelt, unter denen dieser Rechtsbehelf ausgeübt werden kann (vgl. in diesem Sinne Urteil vom 27. September 2017, Puškár, C-73/16 [RIW 2017, 840], EU:C:2017:725, Rn. 54 und 55).
59 Außerdem bestimmt Art. 24 der Richtlinie 95/46, dass die Mitgliedstaaten „geeignete Maßnahmen“ ergreifen, um die volle Anwendung der Bestimmungen der Richtlinie sicherzustellen, ohne solche Maßnahmen zu definieren. Vorzusehen, dass ein Verband zur Wahrung von Verbraucherinteressen einen gerichtlichen Rechtsbehelf gegen den mutmaßlichen Verletzer von Vorschriften zum Schutz personenbezogener Daten erheben kann, scheint eine geeignete Maßnahme im Sinne dieser Vorschrift darstellen zu können, die, wie in Rn. 51 des vorliegenden Urteils festgestellt wurde, gemäß der Rechtsprechung des Gerichtshofs zur Erreichung der Ziele dieser Richtlinie beiträgt (vgl. hierzu Urteil vom 6. November 2003, Lindqvist, C-101/01 [EWS 2003, 559], EU:C:2003:596, Rn. 97).
65 Insoweit ist darauf hinzuweisen, dass entsprechend dem Ziel der Richtlinie 95/46, ein hohes Niveau des Schutzes der Grundfreiheiten und Grundrechte natürlicher Personen, insbesondere ihres Privatlebens, bei der Verarbeitung personenbezogener Daten zu gewährleisten, der Begriff des „für die Verarbeitung Verantwortlichen“ in Art. 2 Buchst. d dieser Richtlinie weit definiert ist als natürliche oder juristische Person, Behörde, Einrichtung oder jede andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet (vgl. in diesem Sinne Urteil vom 5. Juni 2018, Wirtschaftsakademie Schleswig-Holstein, C-210/16 [RIW 2018, 427], EU:C:2018:388, Rn. 26 und 27).
66 Wie der Gerichtshof bereits entschieden hat, besteht das Ziel dieser Bestimmung nämlich darin, durch eine weite Definition des Begriffs des „Verantwortlichen“ einen wirksamen und umfassenden Schutz der betroffenen Personen zu gewährleisten (Urteile vom 13. Mai 2014, Google Spain und Google, C-131/12 [WRP 2014, 805], EU:C:2014:317, Rn. 34, und vom 5. Juni 2018, Wirtschaftsakademie Schleswig-Holstein, C-210/16 [RIW 2018, 427], EU:C:2018:388‚ Rn. 28).
67 Zudem verweist der Begriff des „für die Verarbeitung Verantwortlichen“, da er sich, wie Art. 2 Buchst. d der Richtlinie 95/46 ausdrücklich vorsieht, auf die Stelle bezieht, die „allein oder gemeinsam mit anderen“ über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet, nicht zwingend auf eine einzige Stelle und kann mehrere an dieser Verarbeitung beteiligte Akteure betreffen, wobei dann jeder von ihnen den Datenschutzvorschriften unterliegt (vgl. in diesem Sinne Urteile vom 5. Juni 2018, Wirtschaftsakademie Schleswig-Holstein, C-210/16 [RIW 2018, 427], EU:C:2018:388, Rn. 29, und vom 10. Juli 2018, Jehovan todistajat, C-25/17 [WRP 2018, 1056], EU:C:2018:551, Rn. 65).
68 Der Gerichtshof hat auch entschieden, dass eine natürliche oder juristische Person, die aus Eigeninteresse auf die Verarbeitung personenbezogener Daten Einfluss nimmt und damit an der Entscheidung über die Zwecke und Mittel dieser Verarbeitung mitwirkt, als für die Verarbeitung Verantwortlicher im Sinne von Art. 2 Buchst. d der Richtlinie 95/46 angesehen werden kann (Urteil vom 10. Juli 2018, Jehovan todistajat, C-25/17 [WRP 2018, 1056], EU:C:2018:551‚ Rn. 68).
69 Im Übrigen setzt die gemeinsame Verantwortlichkeit mehrerer Akteure für dieselbe Verarbeitung nach dieser Bestimmung nicht voraus, dass jeder von ihnen Zugang zu den betreffenden personenbezogenen Daten hat (vgl. in diesem Sinne Urteile vom 5. Juni 2018, Wirtschaftsakademie Schleswig-Holstein, C-210/16 [RIW 2018, 427], EU:C:2018:388, Rn. 38, und vom 10. Juli 2018, Jehovan todistajat, C-25/17 [WRP 2018, 1056], EU:C:2018:551, Rn. 69).
70 Da jedoch das Ziel von Art. 2 Buchst. d der Richtlinie 95/46 darin besteht, durch eine weite Definition des Begriffs des „Verantwortlichen“ einen wirksamen und umfassenden Schutz der betroffenen Personen zu gewährleisten, hat das Bestehen einer gemeinsamen Verantwortlichkeit nicht zwangsläufig eine gleichwertige Verantwortlichkeit der verschiedenen Akteure für dieselbe Verarbeitung personenbezogener Daten zur Folge. Vielmehr können diese Akteure in die Verarbeitung personenbezogener Daten in verschiedenen Phasen und in unterschiedlichem Ausmaß einbezogen sein, so dass der Grad der Verantwortlichkeit eines jeden von ihnen unter Berücksichtigung aller maßgeblichen Umstände des Einzelfalls zu beurteilen ist (vgl. in diesem Sinne Urteil vom 10. Juli 2018, Jehovan todistajat, C-25/17 [WRP 2018, 1056], EU:C:2018:551, Rn. 66).
83 Im Übrigen ist darauf hinzuweisen, dass eine Website wie die von Fashion ID sowohl von Personen besucht wird, die Mitglieder des sozialen Netzwerks Facebook sind und somit über ein Konto bei diesem sozialen Netzwerk verfügen, als auch von Personen, die kein solches Konto haben. In letzterem Fall erscheint die Verantwortlichkeit des Betreibers einer Website, wie im vorliegenden Fall Fashion ID, hinsichtlich der Verarbeitung der personenbezogenen Daten dieser Personen noch höher, da das bloße Aufrufen einer solchen Website, die den „Gefällt mir“-Button von Facebook enthält, offenbar automatisch die Verarbeitung ihrer personenbezogenen Daten durch Facebook Ireland auslöst (vgl. in diesem Sinne Urteil vom 5. Juni 2018, Wirtschaftsakademie Schleswig-Holstein, C-210/16 [RIW 2018, 427], EU:C:2018:388, Rn. 41).
93 Hierzu ist vorab darauf hinzuweisen, dass gemäß den Bestimmungen des Kapitels II („Allgemeine Bedingungen für die Rechtmäßigkeit der Verarbeitung personenbezogener Daten“) der Richtlinie 95/46 jede Verarbeitung personenbezogener Daten – vorbehaltlich der in Art. 13 zugelassenen Ausnahmen – u. a. einem der in Art. 7 der Richtlinie angeführten Grundsätze in Bezug auf die Zulässigkeit der Verarbeitung von Daten genügen muss (vgl. in diesem Sinne Urteile vom 13. Mai 2014, Google Spain und Google, C-131/12 [WRP 2014, 805], EU:C:2014:317, Rn. 71, sowie vom 1. Oktober 2015, Bara u. a., C-201/14 [EWS 2015, 281], EU:C:2015:638, Rn. 30).
95 Art. 7 Buchst. f enthält somit für die Zulässigkeit der Verarbeitung personenbezogener Daten drei kumulative Voraussetzungen: 1. berechtigtes Interesse, das von dem für die Verarbeitung Verantwortlichen oder von dem bzw. den Dritten wahrgenommen wird, denen die Daten übermittelt werden, 2. Erforderlichkeit der Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses und 3. kein Überwiegen der Grundrechte und Grundfreiheiten der betroffenen Person (Urteil vom 4. Mai 2017, Rīgas satiksme, C-13/16, EU:C:2017:336, Rn. 28).
104 Aus dem Wortlaut dieser Bestimmung ergibt sich, dass der für die Verarbeitung Verantwortliche oder sein Vertreter der Person, bei der die Daten erhoben werden, mindestens die in dieser Bestimmung genannten Informationen geben muss. Es scheint somit, dass der für die Verarbeitung Verantwortliche diese Information sofort zu geben hat, d. h. zum Zeitpunkt des Erhebens der Daten (vgl. in diesem Sinne Urteile vom 7. Mai 2009, Rijkeboer, C-553/07, EU:C:2009:293, Rn. 68, und vom 7. November 2013, IPI, C-473/12 [K&R 2014, 105], EU:C:2013:715, Rn. 23).