Source: https://www.gewerblicherrechtsschutz.pro/blog/2018/06/wer-facebook-fanpage-nutzt-ist-fuer-datenverarbeitung-mitverantwortlich-eugh-v-5-6-2018-c-210-16-landeszentrums-fuer-datenschutz-schleswig-holstein-gegen-wirtschaftsakademie/
Timestamp: 2019-12-13 12:31:32
Document Index: 195976980

Matched Legal Cases: ['EuG', 'EuG', 'EuG', 'Art. 2', 'Art. 2', 'Art. 4', 'Art. 2', 'Art. 4', 'EuG', 'Art. 4', 'Art. 2', 'Art. 3', 'EuG', 'Art. 13', 'EuG', 'EuG', 'EuG', 'EuG']

Wer eine Facebook-Fanpage nutzt, ist für die Datenverarbeitung durch Facebook mitverantwortlich, EuGH v. 5.6.2018 – C-210/16 – Landeszentrum für Datenschutz Schleswig Holstein gegen Wirtschaftsakademie | SEIFRIED | Blog – MARKEN, MUSTER, MARKETING
Posted on 5.06.2018 by Thomas Seifried
Fanpage-Betrieber mitverantwortlich für die Datenerhebung durch Facebook? EuGH sagt „ja!“
Wer ist der „für die Verarbeitung Verantwortliche“
Der EuGH hat mit heutigem Urteil entschieden, dass der Betreiber einer Facebook-Fanpage für die Datenverarbeitung durch Facebook mitverantwortlich ist, wobei die Mitverantwortlichkeit nicht notwendigerweise gleich groß sein muss. Die Entscheidung hat weitreichende Konsequenzen, nicht nur für das Social-Media-Marketing, sondern für das gesamte Onlinemarkting.
Es ging in der Sache C-210/16 um die Frage, wer der „für die Verarbeitung Verantwortliche“ im Sinne des Art. 2 d) der RL 95/46/EG (Datenschutzrichtlinie) ist. Nach Art. 2 d) Datenschutzrichtlinie ist Verantwortlicher jede Person, die alleine oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet. Diese Vorschrift entspricht im Wesentlichen dem nun geltenden Art. 4 Nr. 7 DSGVO. Sie hat daher auch Konsequenzen für die nun geltende DSGVO. Es ging um die grundsätzliche Frage, ob derjenige, der Datenerhebung durch Drittanbieter ermöglicht, mitverantwortlich ist für die Datenverarbeitung durch den Drittanbieter.
Der Fall: Das schleswig-holsteinische Landeszentrum für Datenschutz ordnete im Jahr 2011 die Schließung der Facebook-Fanpage der Wirtschaftsakademie Schleswig-Holstein GmbH an. Eine Facebook-Fanpage ist eine Art einfach zu erstellende „Miniwebsite“ innerhalb von Facebook. Die Wirtschaftsakademie Schleswig-Holstein als Bertreiberin der Facebook-Fanpage sei zumindest mitverantwortlich für eine Erhebung von personenbezogenen Daten durch Facebook. Denn Facebook-Fanpages setzen beim Nutzer bei jedem Aufruf zumindest einen Cookie, der zwei Jahre lang gültig ist. Die Wirtschaftsakademie Schleswig-Holstein hingegen sah alleine Facebook in der Verantwortung. Facebook alleine sei der „für die Verarbeitung Verantwortliche“.
Sind Cookies personenbezogene Daten?
Cookies, kleine Textdateien, die im Rechner des Nutzers gespeichert werden, werden aus unterschiedlichen Gründen gesetzt. Sie dienen der Wiedererkennung des Nutzers und vereinfachen oft die Nutzung der betreffenden Website. Cookies helfen z.B. die einmal eingestellte Sprachauswahl wiederzuerkennen oder im Bestellprozess die im Warenkorb eingelegten Produkte. Sie helfen auch das Nutzerverhalten zu analysieren und Werbung zu personalisieren.
Ob Cookies personenbezogene Daten sind oder nicht, hängt davon ab, ob mit deren Hilfe ein Personenbezug hergestellt werden kann. Die abstrakte Möglichkeit, eine Person zu identifizieren, reicht hierfür aus (Art. 2 lit. a Datenschutzrichtlinie und nunmehr Art. 4 Nr. 1 DSGVO). Der Facebook-Cookie war mit einer eindeutigen ID-Nummer versehen. Diese ID-Nummer wird von Facebook mit den registrierten Facebook-Nutzern verknüpft. Der Nutzer war und ist damit eindeutig identifizierbar. Der Cookie wurde so zum personenbezogenen Datum.
Fanpage-Betreiber mitverantwortlich für Datenverarbeitung durch Facebook
Der EuGH hat heute klargestellt, dass der Betreiber einer Facebook-Fanpage für die Datenverarbeitung durch Facebook mitverantwortlich ist. Denn er ist zumindest an der Erhebung personenbezogener Daten beteiligt. Indem er nämlich die ihm von Facebook zur Verfügung gestellten Statistiken („Facebook-Insights“) durch Auswahl von Filtern (z.B. demografische Daten seiner Zielgruppe) beeinflussen könne, trage er nämlich zur Verarbeitung der personenbezogenen Daten seiner Besucher bei. Damit sei auch der Betreiber einer Facebook-Fanpage ein „Verantwortlicher“ für die Datenverarbeitung.
Konsequenzen angesichts der nun geltenden DSGVO: Kaum erfüllbare Informationspflichten
Die Entscheidung wird weitreichende Konsequenzen haben. Denn Art. 4 Nr. 7 DSGVO entspricht im Wesentlichen Art. 2 d) der Datenschutzrichtlinie, um die es in dem Fall ging. Die DSGVO ist anwendbar auf alle betroffenen Nutzer in der Union, auch wenn die Drittanbieter in den USA sitzen (Art. 3 II DSGVO). Es ist gut denkbar, dass als Konsequenz der Entscheidung des EuGH jeder, der Webtracking betreibt oder eine Datenerhebung für Dritte ermöglicht, den Nutzer umfangreich über die Datenerhebung unterrichten muss und zwar BEVOR die Daten übertragen werden, d.h. die Seite geladen wird oder etwa – wie im Fall der „Zwei-Klick-Lösung“ – der Nutzer auf das Plugin klickt.
Zu diesem Zeitpunkt müsste der Plugin-Verwender den Nutzer über die Datenerhebung und Übertragung an den Plugin-Anbieter informieren (vgl. Art. 13 DSGVO). Dazu gehören u.a. der Zweck und Dauer der Datenverarbeitung sowie die Angabe der Datenempfänger. Das aber wird er so lange nicht können, wie Facebook, Google und andere nicht offenbaren, was sie mit den erhobenen Daten anstellen. Der Verwender von Plugins von Drittanbietern wird schlicht gar nicht wissen, was etwa Facebook oder Google mit diesen Daten machen. Außerdem müsste er den Nutzer auf seine Rechte hinweisen. Dabei dürfte etwa das Widerspruchsrecht reine Kosmetik sein, weil die Nutzer tatsächlich keinen Einfluss auf die Datenverarbeitung bei Google oder Facebook haben.
Streng genommen wird derjenige, der mit Hilfe eines Plugins oder eines Tracking Codes eine Datenerhebung und -verarbeitung durch einen Drittanbieter ermöglicht, oft noch nicht einmal wissen, ob diese Daten überhaupt einen Personenbezug herstellen können. Nur dann wären es personenbezogene Daten und nur dann wäre die DSGVO überhaupt erst abwendbar.
Vorwegnahme der „Fashion ID“-Entscheidung?
Der beanstandete Button in der Sache „Fashion ID“
In der heute verkündeten Entscheidung ging es streng genommen nur um die Facebook Fanpage der Wirtschaftsakademie. Die Entscheidung dürfte aber auch die Richtung für die noch ausstehende Entscheidung des EuGH in der Rechtssache C-40/17 – Fashion ID (Peek & Cloppenburg) – vorwegnehmen, in der es eben um den Facebook „Like-Button“ ging. Der Generalanwalt, dem der EuGH auch im vorliegenden Fall gefolgt ist, erwähnte in seinen Schlussanträgen vom 24.10.2017 (Rz. 69) diesen Fall explizit. Er sieht
keinen grundlegenden Unterschied zwischen dem Fall eines Fanpage-Betreibers und dem des Betreibers einer Website, der den Code eines Webtracking-Dienstleisters in seine Website einbindet und somit ohne Wissen des Internetnutzers die Übermittlung von Daten, das Setzen von Cookies und die Erhebung von Daten zugunsten des Webtracking-Dienstleisters unterstützt.
Denn ebenso wie der Betreiber einer Fanpage könne auch derjenige, der in seine Website Social Plugins einbinde die Analysetools von „Facebook Insights“ nutzen. Und ebenso wird durch das Social Plugin eine Übermittlung personenbezogener Daten ausgelöst, so der Generalanwalt.
Konsequenzen der Entscheidung für Social-Plugins und Tracking Codes
Die Entscheidung dürfte daher Konsequenzen nicht nur für das Social-Media-Marketing, sondern für das gesamte personalisierte Onlinemarketing haben. Jeder, der die Besucher seiner Website analysiert und zu diesem Zweck mit einem Plugin oder einem Tracking Code Daten an Drittanbieter (z.B. Facebook oder Google) überträgt oder eine direkte Datenerhebung des Drittanbieters beim Nutzer ermöglicht, ist für die anschließende Datenverarbeitung durch den Drittanbieter mitverantwortlich.
Es bleibt abzuwarten, ob die Sozialen Netze und Analysedienstleister nun mehr über die Art und Weise ihrer Datenverarbeitung preisgeben. Nur dann könnten deren Kunden auch ihre Informationspflichten nach der DSGVO erfüllen. Andernfalls drohen den Nutzern von Social Plugins oder Tracking Codes nicht nur datenschutzrechtliche Maßnahmen der Datenschutzbehörden, sondern auch Abmahnungen im Wettbewerbsrecht durch Wettbewerber und Verbände.
LG Düsseldorf v. 9.3.2016 – 12 O 151/15 – 2016: Wer den Facebook-Like-Button einbindet, ohne den Nutzer datenschutzrechtlich aufzuklären, handelt nicht nur rechtswidrig, sondern auch wettbewerbswidrig
Generell zur Wettbewerbswidrigkeit von Gesetzesverstößen
Kategorien: Datenschutzrecht, Internetrecht, and Wettbewerbsrecht und Werberecht. Schlagwörter: Anwalt Datenschutzrecht, Anwalt Wettbewerbsrecht, datenschutz, DSGVO, EuGH v. 5.6.2018 - C-210/16 - Landeszentrums für Datenschutz Schleswig Holstein gegen Wirtschaftsakademie, Facebook Insights, Facebook-Fanpage, Social Media, Social Plugin, Tracking Code, and verantwortlich. Bookmark the permalink. Kommentare deaktiviert für Wer eine Facebook-Fanpage nutzt, ist für die Datenverarbeitung durch Facebook mitverantwortlich, EuGH v. 5.6.2018 – C-210/16 – Landeszentrum für Datenschutz Schleswig Holstein gegen Wirtschaftsakademie