Source: https://openjur.de/u/739563.html
Timestamp: 2019-02-19 20:05:30
Document Index: 103434890

Matched Legal Cases: ['§ 15', '§ 11', '§ 38', '§ 3', '§ 13', '§ 12', '§ 3', 'Art. 29', '§ 11', '§ 3', 'Art. 2', 'Art. 2', 'EuG', 'EuG', 'Art. 8', 'Art. 2', 'Art. 1', 'Art. 2', 'EuG', 'Art. 1', '§ 38', '§ 11', '§ 173', '§ 174', '§ 173', '§ 1', '§ 1', 'Art. 4', '§ 1', '§ 11', '§ 3', 'Art. 2', 'Art. 2', 'Art. 23', 'Art. 23', 'Art. 23', 'EuG', '§ 1', '§ 38', '§ 1', 'EuG', '§ 38', 'Art. 2', 'Art. 2', 'Art. 29', '§ 3', 'Art. 29', 'Art. 29', '§ 11', '§ 38', '§ 3', '§ 3', '§ 11', '§ 3', '§ 3', '§ 11', '§ 3', 'Art. 2', 'Art. 2', 'Art. 17', '§ 11', '§ 38', 'Art. 2', 'Art. 29', 'Art. 12', 'Art. 23', 'Art. 28', 'Art. 12']

Schleswig-Holsteinisches OVG, Urteil vom 04.09.2014 - 4 LB 20/13 - openJur
Urteil vom 04.09.2014 - 4 LB 20/13
Schleswig-Holsteinisches OVG, Urteil vom 04.09.2014 - 4 LB 20/13
openJur 2014, 21596
Sie hat geltend gemacht, dass es bereits an der Verarbeitung personenbezogener Daten fehle. Soweit im Rahmen der Registrierung bei Facebook von den Nutzern personenbezogene Daten wie Familien- und Vorname, Geburtsdatum etc. erhoben würden, beziehe sich dies allein auf das Nutzungsverhältnis zwischen dem Nutzer und Facebook. Inwiefern darüber hinaus seitens Facebook im Rahmen des Registrierungsvorgangs die IP-Adresse des Nutzers erhoben würde, sei ihr nicht bekannt. Gleiches gelte für das etwaige Setzen von Cookies. Die Erhebung von IP-Adressen und der Einsatz von Cookies seien auch nicht datenschutzrechtlich relevant, da es sich dabei nicht um personenbezogene Daten handele. Sie sei auch keine Diensteanbieterin. Sie nutze die Facebook-Plattform und die zur Verfügung gestellte Infrastruktur, um eigene Informationen zu verbreiten. Deshalb könne sie grundsätzlich Diensteanbieterin im Sinne des Telemediengesetzes sein, dies jedoch nur bezogen auf das eigene inhaltliche Angebot. Im Zusammenhang mit diesem Angebot erfolge von ihrer Seite aus auch keine Datenerhebung und auch keine Datenverwendung im Sinne von § 15 Abs. 1 TMG. Auch erstelle sie keinerlei Nutzungsprofile. Die Handlungen von Facebook könnten ihr nicht zugerechnet werden. Eine Auftragsdatenverarbeitung im Sinne von § 11 BDSG liege nicht vor. Insoweit würde die Auftragsdatenverarbeitung als verlängerter Arm, der für die Datenverarbeitung verantwortlichen Stelle, die stets Herrin der Daten bleibe, bezeichnet. Der Diensteanbieter bleibe bei der Datenverarbeitung verantwortliche Stelle, um seine datenschutzrechtliche Verantwortlichkeit nicht zu verlagern. Im Rahmen der Nutzung der Facebook-Infrastruktur bestünde diese Gefahr einer Auslagerung der Verantwortlichkeit hingegen schon im Ansatz nicht, da die Daten stets unmittelbar von Facebook und ohne ihre Mitwirkung verarbeitet würden.Facebook werde gerade nicht von ihr beauftragt, sondern stelle ihr die Dienste ungefragt zur Verfügung. Die Initiative gehe von Facebook aus. Vollständig anonymisierte statistische Berichte würden ihr lediglich als Nebenprodukt zur Verfügung gestellt.
Weiterhin finde auch keine Übermittlung personenbezogener Daten durch sie anFacebook statt. Eine Datenerhebung erfolge ausschließlich unmittelbar durch Facebook, ohne ihr Zutun. Sie habe weder Einfluss auf die technische Organisation der Facebook-Infrastruktur noch sorge sie für die Ermittlung oder Generierung irgendwelcher Daten an Facebook. Eine eigenständige datenschutzrechtliche Verantwortlichkeit scheide deshalb bereits aus. Eine gemeinsame Entscheidung über die Erhebungs- und Verarbeitungszwecke der Daten durch eine Einigung zwischen Facebook und ihr bestehe nicht. Sie treffe keinerlei inhaltliche Entscheidung über Art, Umfang oder Zweck der Datenverarbeitung. Eine solche würde auch nicht dadurch begründet, dass Facebook ungefragt eine anonyme Nutzungsstatistik liefere. Schließlich habe der Beklagte das ihm nach § 38 Abs. 5 S. 1 BDSG eingeräumte Ermessen nicht bzw. nicht ordnungsgemäß ausgeübt.
Bei den verarbeiteten IP-Adressen und den Cookies handele es sich um personenbezogene Daten im Sinne von § 3 Abs. 1 BDSG. Durch die Beigeladene ebenso wie durch die Facebook Inc. (USA) fänden Datenschutzrechtsverstöße gegen §§ 13 Abs. 1, 15 Abs. 3 S. 1 und 2 TMG statt, für die die Klägerin als Diensteanbieterin nach § 12 Abs. 3 TMG iVm § 3 Abs. 7 BDSG (mit-)verantwortlich sei. Die Art. 29 - Datenschutzgruppe habe in einer Stellungnahme deutlich gemacht, dass Betreiber von Werbenetzwerken und Anbieter von Online-Inhalten gemeinsam als für die Datenverarbeitung verantwortliche Stelle anzusehen seien. Durch Konfigurierung der eigenen Webseite lösten Anbieter von Online-Inhalten letztlich auch die Übermittlung der IP-Adresse aus und stellten den ersten erforderlichen Schritt zur Ermöglichung der folgenden Verarbeitung der Daten für Werbezwecke dar. Vergleichbar erfolge auch die Datenverarbeitung durch die Klägerin und Facebook. Der Nutzer besuche die Fanpage der Klägerin, werde aber nicht deutlich darüber informiert, dass und vor allem welche seiner Nutzungs- wie auch seiner Registrierungsdaten, die er beim Anmeldevorgang bei Facebook eingegeben habe, für Werbezwecke verarbeitet würden. Mit dem Anlegen der Fanpage unternehme die Klägerin den entscheidenden Schritt dafür, dass unter anderem die IP-Adresse des Nutzers an Facebook geleitet werde, und löse beim Besuch des Nutzers auf der Fanpage diesen Übermittlungsvorgang aus, in dessen Folge Facebook beim Nutzer ein Cookie-ID setzen könne. Der Nutzer habe hiervon keine Kenntnis.
Wann eine Stelle für die Einhaltung der Datenschutzvorschriften verantwortlich sei, regele nicht § 11 BDSG, sondern allein die allgemeine Definition aus § 3 Abs. 7 BDSG, die im Lichte von Art. 2 d) RL 95/46/EG auszulegen sei. Bei der Anwendung der Vorschrift verkenne das Verwaltungsgericht, dass die Klägerin als Fanpagebetreiberin sowohl über den Zweck als auch über die Mittel der Erhebung der Verarbeitung der Nutzungsdaten tatsächlich entscheide. Sie entscheide gemeinsam mit Facebook über den Zweck der Verarbeitung der Nutzungsdaten, indem sie ihre Fanpage angelegt habe und betreibe. Sie nutze die Fanpage für Werbezwecke und zur bedarfsgerechten Gestaltung ihrer angebotenen Telemedien. Die Zwecke könnten nicht auseinanderdividiert werden. Die Klägerin bezahle ihre öffentliche Präsentation mit den personenbezogenen Daten der Besucher der Fanpage. Die Klägerin entscheide auch über die Mittel der Datenverarbeitung im Sinne der Richtlinie. Dem stehe nicht entgegen, dass sie nicht unmittelbar auf die erhobenen Nutzungsdaten und die technischen Abläufe zugreifen könne. Die Entscheidung über die „Mittel“ müsse nicht die technischen Abläufe beinhalten, sondern einzig das „Wie“ der Datenverarbeitung. Während der Verantwortliche die technischen Details an einen Auftragsverarbeiter delegieren könne, trage die Verantwortung derjenige, der die „wesentlichen Elemente“ der Datenverarbeitung festlege. Diese Anforderung erfülle die Klägerin, da sie bewusst die Fanpage mit der darin enthaltenen „Insights-Funktion“ einsetze, zudem leisteten die Fanpagebetreiber durch das Erstellen von Inhalten einen wesentlichen Beitrag für die Erhebung und Verarbeitung der Nutzungsdaten. Die Auffassung, dass die Klägerin (mit-)verantwortliche Stelle im Sinne von Art. 2 b) und d) RL 95/46/EG sei, werde durch die Entscheidung des EuGH vom 13. Mai 2014 (C - 131/12) bestätigt. Der EuGH habe eine gemeinsame datenschutzrechtliche Verantwortlichkeit von Suchmaschinenbetreiber und Webseitenbetreiber für möglich gehalten, was zeige, dass an die Annahme einer gemeinsamen Verantwortlichkeit keine hohen Anforderungen gestellt werden dürften. Allein die technische Option, durch Aufschlussprotokolle oder Codes eine Indizierung durch den Suchmaschinenbetreiber zu verhindern, könne daher zur Annahme einer datenschutzrechtlichen Verantwortlichkeit von Suchmaschinenbetreibern und Webseitenbetreibern führen, da diese gemeinsam über die verwendeten Mittel entscheiden würden. Führe bereits dieses Zusammenwirken zwischen Suchmaschinenbetreiber und Webseitenbetreiber zur Annahme einer gemeinsamen datenschutzrechtlichen Verantwortlichkeit, so treffe dies für die dargelegte Kooperation zwischen Facebook und der Klägerin erst recht zu. Zwischen Facebook und der Berufungsbeklagten bestehe eine vertragliche Vereinbarung zum Betrieb einer Fanpage.
Die vom Verwaltungsgericht vertretene Ansicht führe zu erheblichen Schutzlücken. Das Gericht verletze die gemäß Art. 8 EU-GrCH beziehungsweise Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 GG bestehende Schutzpflicht für das Recht auf informationelle Selbstbestimmung. Die Schutzdefizite müssten jedenfalls durch die Anwendung der Grundsätze der Störerhaftung geschlossen werden. Dem stehe weder Art. 2 d) RL 95/46/EG noch die vom Verwaltungsgericht zitierte Entscheidung des EuGH (Rechtsachen C - 468/10 und C - 469/10) entgegen, da diese den Harmonisierungsgrad der Richtlinie für die in Kapitel II der Richtlinie geregelten Erlaubnisgründe beträfen. Daraus könne nicht ohne Weiteres auf den vollharmonisierenden oder gar abschließenden Charakter der Richtlinie im Ganzen geschlossen werden. Auch der Zweck der Richtlinie zwinge dazu, dass neben der datenschutzrechtlichen Verantwortlichkeit Raum für die allgemeinen Grundsätze der Störerhaftung bleibe. Art. 1 Abs. 1 RL 95/46/EG verpflichte die Mitgliedsstaaten, den Schutz der Grundrechte und Grundfreiheiten und insbesondere den Schutz der Privatsphäre natürlicher Personen bei der Verarbeitung personenbezogener Daten zu gewährleisten. Auch das BDSG gebe den für die Auslegung nötigen Raum, damit die Aufsichtsbehörden Anordnungen gegen die Störer treffen könnten. Aus dem Wortlaut des § 38 Abs. 5 BDSG folge jedenfalls nicht, dass die Behörde die Anordnung ausschließlich gegenüber verantwortlichen Stellen aussprechen dürfe. Aus dem Gesetzeszusammenhang ergebe sich zwar, dass Adressat der Maßnahmen die verantwortlichen Stellen sein können. Allein § 11 Abs. 4 S. 2 BDSG zeige aber, dass die Maßnahmen nicht allein an den Verantwortlichen, sondern auch an andere Stellen gerichtet sein könnten, wie etwa Auftragsdatenverarbeiter. Gemäß § 173 Abs. 1 LVwG führten Polizei- und Ordnungsbehörden wie das ULD zwar die Aufgabe der Gefahrenabwehr nach den besonderen Regelungen ihres jeweiligen Ordnungsrechts durch. Soweit diese aber fehlten und eine abschließende Regelung nicht enthielten, würden die allgemeinen Regeln des Gefahrenabwehrrechts aus den §§ 174 - 227 LVwG, § 173 Abs. 2 LVwG gelten. Die Klägerin erfülle mit ihrem Verhalten die Voraussetzung für die Inanspruchnahme als Zweckveranlasser, da Facebook datenschutzrechtliche Nutzungsdaten verarbeite und die Berufungsbeklagte mit dem Betrieb der Fanpage einen Beitrag leiste, der mit der Störung eine natürliche Handlungseinheit bilde. Mit dem Dienst „Facebook-Insights“ verstoße Facebook gegen geltendes Datenschutzrecht. Dabei könne dahinstehen, ob die Handlungen des Netzwerkbetreibers nach § 1 Abs. 5 S. 2 BDSG dem deutschen oder gemäß § 1 Abs. 5 S. 1 BDSG dem irischen Datenschutzrecht unterlägen. Richtig sei allerdings, dass Facebook Inc. deutsches Datenschutzrecht, insbesondere die Regelungen des TMG, beachten müsse, denn Facebook Inc. betreibe in Deutschland mit der Facebook Germany GmbH eine Niederlassung im Sinne von Art. 4 Abs. 1 a) der RL 95/46/EG. Deutsches Datenschutzrecht sei jedenfalls anwendbar, weil die amerikanische Facebook-Konzernmutter in Deutschland personenbezogene Daten verarbeite und die Anwendung deutschen Datenschutzrechts nicht gemäß § 1 Abs. 5 S. 1 1. HS BDSG durch irisches Datenschutzrecht ausgeschlossen werde.
Sie erwidert:Die Ausführungen des Beklagten zur lückenhaften technischen Bewertungsgrundlage des Verwaltungsgerichts entbehrten jeglicher Substanz. Er beschränke seinen Vortrag auf „erhebliche Zweifel“ an den Ausführungen und Erklärungen von Facebook zu Art, Umfang und Erforderlichkeit eingesetzter Cookies. Es sei nicht dargelegt und nicht ersichtlich, mit welchen Cookies und durch welche Handlungen genau Facebook gegen datenschutzrechtliche Bestimmungen verstoße. Die für Facebook zuständige Datenschutzbehörde in Irland komme zum Ergebnis der Datenschutzkonformität von Facebook.
Eine Auftragsdatenverarbeitung komme in der Konstellation Fanpage - Nutzer / Facebook unter keinem rechtlichen oder tatsächlichen Gesichtspunkt in Betracht. Es fehle nicht nur an entsprechenden Vereinbarungen, vielmehr liege bereits im Ausgangspunkt konstruktiv auch keine mit der Auftragsdatenverarbeitung vergleichbare Ausgangslage vor. Die Klägerin habe Facebook nicht mit der Verarbeitung irgendwelcher Daten beauftragt. Die Beklagte unterhalte lediglich ein Nutzungsverhältnis mit Facebook, das es ihr ermögliche, eine Fanpage auf der von Facebook zur Verfügung gestellten Infrastruktur zu betreiben. Sie habe gar kein Interesse daran, dass Facebook irgendwelche Daten erhebe. Wenn und soweit Facebook Daten erhebe, erfolge dies jedenfalls nicht auf Veranlassung oder im Auftrag der Klägerin. Kennzeichen für eine Auftragsdatenverarbeitung im Sinne des § 11 BDSG sei, dass Daten vom Auftragsdatenverarbeiter für einen Auftraggeber im Sinne des Auftraggebers nach Weisungen des Auftraggebers so erhoben werden, dass es sich bei den erhobenen Daten ausschließlich um solche des Auftraggebers und nicht des Auftragsnehmers handele. Vorliegend habe die Klägerin jedoch überhaupt keine Kenntnis von irgendwelchen Daten, die gegebenenfalls von Facebook erhoben werden. Sie entscheide auch nicht gemeinsam mit Facebook über den Zweck der Verarbeitung der Nutzungsdaten. Sie erhebe keine Nutzungsdaten. Soweit Facebook Daten von Nutzern erhebe und diese Nutzungsdaten zudem im Zusammenhang mit der von der Klägerin betriebenen Fanpage stehen sollten, was nach wie vor offen sei, handele es sich hierbei allein um Handlungen von Facebook. Diese Handlungen würden weder von der Klägerin unterstützt, noch liege dem gar ein gemeinsamer Entschluss der Beklagten mit Facebook zugrunde. Auch die immer wieder zitierte Facebook - Funktionalität „Facebook-Insights“ führe nicht zu einer anderen rechtlichen Beurteilung. Niemand nutze Facebook wegen „Insights“. Bei der entsprechenden Funktionalität, aufgrund derer anonymisierte Nutzerstatistiken zur Verfügung gestellt werden, handele es sich schlicht um einen „nicht abstellbaren Service“ von Facebook als Infrastrukturanbieter. Ihr fehle das für die Begründung einer eigenen Verantwortlichkeit erforderliche Bestimmungsrecht über die von Besuchern von der Fanpage von Facebook erhobenen Daten. Das Bestimmungsrecht liege ausschließlich bei Facebook. Dies sei auch ohne Weiteres für den durchschnittlichen Facebook - Nutzer erkennbar.
Die vom Beklagten vorgebrachte „Schutzlückenargumentation“ verfange nicht. Es bestehe schon kein Schutzbedürfnis. Träfen sich zwei Nutzer (Betrachter der Fanpage und Betreiber der Fanpage) auf einem gemeinsamen von beiden gewählten Medium, so unterlägen beide Nutzer den gleichen Regelungen / Einschränkungen, die durch den Plattformanbieter (Facebook) vorgegeben würden. Ein Schutzbedürfnis könne insoweit nur im Verhältnis vom Nutzer zu Facebook, nicht jedoch im Verhältnis Nutzer / Nutzer bestehen. § 3 Abs. 7 BDSG und Art. 2 d) RL 95/46/EG träfen abschließende Regelungen bezüglich der datenschutzrechtlichen Verantwortlichkeit. Ein etwaiger Rückgriff auf eine - wie auch immer geartete - Störerhaftung sei mithin ausgeschlossen. Neben Art. 2 d) ergebe sich schon aus Art. 23 RL 95/46/EG eine jedenfalls mit Blick auf die datenschutzrechtliche Verantwortlichkeit abschließende Regelung. Der Artikel stelle insoweit die Grundlage der Schadensersatzhaftung der Richtlinie dar. Art. 23 Abs. 1 RL 95/46/EG setzte als Haftungsgrund gerade eine rechtswidrige Verarbeitung der Daten voraus. Im Zusammenhang des Kriteriums „rechtswidrige Verarbeitung“ mit dem in Art. 23 Abs. 1 RL 95/46/EG benannten Passivlegitimierten als „für die Verarbeitung Verantwortlichem“ folge, dass nach dem Willen des europäischen Gesetzgebers eine Aufteilung zwischen „Rechtswidrigkeit“ und „Verantwortlichkeit“ nicht möglich sei.
Die vom Beklagten behaupteten Verstöße könnten von Facebook ohne Weiteres beseitigt werden. Unabhängig davon, ob im Verhältnis zu Facebook materielles deutsches oder irisches Datenschutzrecht anzuwenden ist (s. hierzu Beschl. d. Senats v. 22.04.2013 - 4 MB 11/13 -, NJW 2013, 1977 aber auch KG Berlin, Urt. v. 24.01.2014 - 5 U 42/12 -, K & R 2014, 208 sowie EuGH Urt. v. 13.05.2014 - C - 131/12 -, Juris), bleiben die Zuständigkeiten der Aufsichtsbehörde unberührt. Insbesondere folgt aus der Anwendung materiellen irischen Datenschutzrechtes kein Eintritt der irischen Aufsichtsbehörde. Dies ergibt sich aus § 1 Abs. 5 S. 5 BDSG, wonach § 38 Nr. 1 S. 1 BDSG unberührt bleibt (s. Dammann in Simitis, a.a.O., § 1 Rn. 239). Das Vorgehen gegen Facebook wäre auch deutlich effektiver. Auf diese Weise könnten vom Beklagten, seine Zuständigkeit unterstellt, datenschutzrechtliche Verstöße von Facebook infolge des Betriebes von Fanpages in Schleswig-Holstein beseitigt werden, unabhängig davon, ob Fanpages von öffentlichen oder nicht-öffentlichen Stellen betrieben werden. Dies gilt insbesondere dann, wenn - wie der Beklagte unter Berufung auf die Entscheidung des EuGH (Urt. v. 13.05.2014, a.a.O.) und das Urteil des Kammergerichts Berlin (Urt. v. 24.01.2014, a.a.O.) meint - für Facebook, soweit personenbezogene Daten im Inland erhoben werden, materielles deutsches Datenschutzrecht gilt und damit von Facebook auch die Regelungen des TMG zu beachten sind. Ist das nicht der Fall, kommt es auf die Regelungen des TMG von vornherein nicht an. Dann kommen aber insoweit auch keine datenschutzrechtlichen Verstöße vor, die der Klägerin zugerechnet werden könnten. Anderes gilt nur, wenn sie „Herrin der Daten“ ist, dem TMG als Diensteanbieterin unterliegt und eigenverantwortlich gegen Regelungen des TMG verstößt. Dann ist aber ihr gegenüber auch das abgestufte Verfahren des § 38 Abs. 5 BDSG einzuhalten. Davon kann nicht abgesehen werden, weil ihr von Facebook nicht die technische Möglichkeit bereitgestellt wird, die Besucher ihrer Fanpage von einer Widerspruchsmöglichkeit zu unterrichten. Als „Herrin der Daten“ wäre sie gegenüber Facebook weisungsberechtigt und könnte auf diesem Wege die festgestellten datenschutzrechtlichen Verstöße beseitigen. Sollte der Beklagte nicht die für Facebook zuständige Kontrollstelle sein, obwohl sich die Tätigkeit von Facebook auch auf Schleswig-Holstein erstreckt, was keiner abschließenden Entscheidung bedarf, kann er deshalb nicht anstelle von Facebook, abweichend vom vorgeschriebenen Verfahren, einen Dritten im Sinne des Art. 2 f) der RL 95/46/EG belangen.
Aus Art. 2 d) der RL 95/46/EG folgt nichts anderes. Danach ist „für die Verarbeitung Verantwortlicher“ jede Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet. Datenschutzrechtliche Verantwortlichkeit und Datenverarbeitung stehen danach ebenfalls in einem untrennbaren Zusammenhang. Die Klägerin trifft keine Entscheidung bezüglich der Verarbeitung von personenbezogenen Nutzerdaten durch Facebook. Insbesondere entscheidet sie nicht gemeinsam über die Zwecke und Mittel der Verarbeitung. „Zweck“ ist „das erwartete Ergebnis, das beabsichtigt ist oder die geplante Aktion leitet“ (Art. 29 - Datenschutzgruppe - WP 169, S. 16). Der Zweck der Erhebung und der Verarbeitung von personenbezogenen Nutzerdaten durch Facebook ist, die Wirtschaftlichkeit des Unternehmens Facebook zu steigern. Darauf weist auch der Beklagte hin, wenn er betont, dass die von Facebook gesetzten Cookies eine zentrale Rolle für das Geschäftskonzept von Facebook spielen. Im Rahmen der sogenannten „Insights - Funktion“ erhalten Fanpagebetreiber (ungefragt) anonymisierte und aggregierte Informationen über Nutzeraktivitäten auf ihrer Fanpage. Facebook verfolgt damit den weiteren Zweck, dass die Fanpagebetreiber ihre Page möglichst attraktiv gestalten, um auf diese Weise - mit den Worten des Beklagten - weitere Nutzer auf die von Facebook betriebene Infrastruktur zu locken. Auch die Fanpagebetreiber sind sicherlich daran interessiert, dass ihre Seiten für Nutzer attraktiv sind. Deshalb dürfte auch für die Klägerin ein Feedback von Facebook über Nutzeraktivitäten auf ihrer Fanpage nicht unwillkommen sein. Der Zweck des Betreibens einer Fanpage ist für sie aber nicht der Erhalt dieser Informationen, sondern mit Interessierten zu kommunizieren. Die Zwecke sind zu unterscheiden. Der Fanpagebetreiber entscheidet nicht über den Zweck, dass heißt das „Warum“ der Verarbeitung von personenbezogenen Daten zusammen mit Facebook, vielmehr bestimmt Facebook diesen Zweck allein. Der Fanpagebetreiber nutzt womöglich die im Rahmen der Insights-Funktion erhaltenen, anonymisierten Informationen, um allgemein besser mit Nutzern „ins Gespräch“ zu kommen. Er nutzt aber keine personenbezogenen Daten im Sinne des § 3 Abs. 5 BDSG, sondern gegebenenfalls Statistiken, die ihm Facebook aus eigenen Zwecken ungefragt zur Verfügung stellt.
Erst recht entscheidet der Fanpagebetreiber nicht über die Mittel zur Erreichung dieses Zweckes. „Mittel“ bezeichnet die „Art und Weise, wie ein Ergebnis oder Ziel erreicht wird“ (Art. 29 - Datenschutzgruppe, a.a.O.). Über das „Wie“ entscheidet Facebook ebenfalls allein. Die Fanpagebetreiber haben darauf keinerlei Einfluss. Der Fanpagebetreiber entscheidet nur, „ob“ er eine Fanpage einrichtet und betreibt. Das macht ihn aber nicht zum „für die Verarbeitung Verantwortlichen“. Eine Stelle, die weder einen rechtlichen noch einen tatsächlichen Einfluss auf die Entscheidung hat, wie personenbezogene Daten verarbeitet werden, kann nicht als für die Verarbeitung Verantwortliche angesehen werden (Art. 29 - Datenschutzgruppe - WB 169, S. 15).
Dem steht nicht entgegen, dass § 11 Abs. 4 Nr. 2 BDSG für die übrigen nicht-öffentlichen Stellen (gemeint sind damit nicht-öffentliche Stellen, bei denen die öffentliche Hand nicht mehrheitsbeteiligt ist), die geschäftsmäßig im Auftrag als Dienstleistungsunternehmen personenbezogene Daten verarbeiten, § 38 BDSG gilt. Daraus lässt sich entgegen dem Vortrag des Beklagten nicht herleiten, dass Maßnahmen nicht allein an den Verantwortlichen gerichtet werden können. Die Auftragsverarbeiter sind Verantwortliche im Sinne des § 3 Abs. 7 BDSG. Ihre Verantwortlichkeit ist lediglich eingeschränkt (Dammann, a.a.O., § 3 Rn. 223). Was die Auftragsabwicklung anbelangt, gelten für den Auftragsverarbeiter diejenigen BDSG-Regelungen, die sich auf seinen Verantwortungsbereich beziehen (§ 11 Abs. 4 BDSG). Der Relativsatz in § 3 Abs. 7 BDSG, „die Daten für sich selbst erhebt“, kann nicht einschränkend dahingehend verstanden werden, dass der Auftragsverarbeiter deshalb keine verantwortliche Stelle im Sinne des § 3 Abs. 7 BDSG ist; dies würde zu der vom Gesetz in § 11 BDSG im Einzelnen geregelten Verantwortlichkeit im Widerspruch stehen (s. Dammann, a.a.O., § 3 Rn. 228). Die Richtlinie 95/46/EG unterscheidet allerdings begrifflich zwischen dem für die Verarbeitung Verantwortlichen (Art. 2 d)) und dem Auftragsverarbeiter (Art. 2 e)). Dies ändert aber nichts daran, dass der Auftragsverarbeiter eine Eigenverantwortung hat (Art. 17). Jedenfalls lässt sich aus der Vorschrift des § 11 Abs. 4 Nr. 2 BDSG nicht herleiten, dass darüber hinaus Dritte, die - im Gegensatz zum Auftragsverarbeiter - mit der Datenverarbeitung nicht befasst sind und auch keinerlei Einfluss darauf haben, wie Daten verarbeitet werden, gleichfalls Adressat einer Anordnung nach § 38 Abs. 5 BDSG sein können.
Die Richtlinie unterscheidet in Art. 2 zwischen „für die Verarbeitung Verantwortliche“ (a), „Auftragsverarbeiter“ (e) und „Dritter“ (f). Der Begriff „für die Verarbeitung Verantwortlicher“ und seine Wechselbeziehungen mit dem Begriff „Auftragsverarbeiter“ spielen eine wichtige Rolle bei der Anwendung der Richtlinie 95/46/EG, da sie bestimmen, wer für die Einhaltung der Datenschutzbestimmungen verantwortlich ist (Art. 29 - Datenschutzgruppe, WP 169 S. 1). Nach Art. 12 b) der Richtlinie garantieren die Mitgliedstaaten jeder betreffenden Person das Recht, vom für die Verarbeitung Verantwortlichen je nach Fall die Berichtigung, Löschung oder Sperrung von Daten, deren Verarbeitung nicht den Bestimmungen der Richtlinie entspricht … zu erhalten. Nach Art. 23 Abs. 1 sehen die Mitgliedstaaten vor, dass jede Person, der wegen einer rechtswidrigen Verarbeitung oder jeder anderen mit den einzelstaatlichen Vorschriften zur Umsetzung dieser Richtlinie nicht zu vereinbarenden Handlung ein Schaden entsteht, das Recht hat, von dem für die Verarbeitung Verantwortlichen Schadensersatz zu verlangen. Nach Art. 28 Abs. 3 - 2. Spiegelstrich - verfügt die Kontrollbehörde über wirksame Eingriffsbefugnisse, unter anderem über die Befugnis, die Sperrung, Löschung oder Vernichtung von Daten anzuordnen, was die betroffene Person nach Art. 12 b) von der verantwortlichen Stelle verlangen kann und auch nur der verantwortlichen Stelle möglich ist, gegebenenfalls durch Weisung an den Auftragsbearbeiter. Ausdrücklich wird die verantwortliche Stelle als Adressat einer Verwarnung oder Ermahnung genannt. Sie allein ist mithin die Adressatin einer niederschwelligen Maßnahme, was der Annahme entgegensteht, dass schwerwiegende Eingriffe auch gegenüber Dritten möglich sein sollen. Eine Haftung eines Dritten, allein weil er einen Kausalbeitrag für die rechtswidrige Verarbeitung geleistet hat, der nicht die Qualität einer Datenverarbeitung erreicht und die Schwelle zur Einflussmöglichkeit auf die Datenverarbeitung nicht überschreitet, findet in der Richtlinie keine Grundlage (s. Piltz, K & R 2014, 80).
Permalink: https://openjur.de/u/739563.html (http://oj.is/739563)