Source: https://www.datenschutzzentrum.de/facebook/facebook-verantwortlichkeit.html
Timestamp: 2016-08-27 16:48:47
Document Index: 364842397

Matched Legal Cases: ['§ 7', '§ 11', '§7', '§ 11', '§ 11', '§ 38', 'BGH', '§ 29']

(Stand 30.09.2011, PDF-Version dieses Dokuments)
Wer ist datenschutzrechtlich verantwortlich
für Facebook-Fanpages und Social-Plugins?
Der Beitrag befasst sich mit der kontrovers diskutierten Frage, inwieweit deutsche Webseitenbetreiber nach nationalem bzw. europäischem Datenschutzrecht für das Betreiben von Facebook-Fanpages und für die Nutzung von sog. Social-Plugins wie des „Gefällt mir“-Buttons zur Verantwortung gezogen werden können, und kommt insofern zu einem positiven Ergebnis. 1 Der Anlass
Die unterschiedlich starken Vollzugsdefizite provozieren nicht nur Diskriminierungen, sondern auch Privilegierungen: Wer sich in einem besonders defizitären Aufsichtsbereich befindet, kann u. U. ungestört sein illegales Treiben weiterverfolgen und dabei – wettbewerbsverzerrend – sehr viel Geld verdienen. Insofern ist das Wettbewerbsrecht gefordert. Nicht nur die Datenschutzaufsicht, sondern auch die wettbewerbsrechtlich Beteiligten, also etwa Konkurrenten und Verbraucherverbände, wären prinzipiell in der Lage, korrigierend einzugreifen. Deutsche Zivilgerichte weigern sich bislang aber nachhaltig, Datenschutzverstöße als Wettbewerbsverstöße anzuerkennen.(5) Dieser Umstand begünstigt eine gezielte Standortauswahl, also die Wahl des Standortes nach der Größe und Art des datenschutzaufsichtsbehördlichen Vollzugsdefizits, und fördert „optimierte Verantwortungslosigkeit“.(6) Es dürfte unstreitig sein, dass optimierte Verantwortungslosigkeit im Datenschutz nicht wünschenswert ist. Diese liegt nicht im Interesse des Datenschutzes, der betroffenen Menschen, der Marktteilnehmer, letztlich des Marktes und der Gesellschaft. Nachdem die datenschutzrechtliche Verantwortlichkeit schleswig-holsteinischer Webseitenbetreiber für den durch Facebook-Nutzungen ausgelösten unzulässigen Datenumgang in Frage gestellt wurde, geht es darum, insofern eine rechtliche Klärung herbeizuführen.
Das Datenschutzrecht schließt weder ausdrücklich noch sinngemäß aus, dass mehrere Stellen in gemeinsamer Verantwortung mit personenbezogenen Daten umgehen und möglicherweise eine gesamtschuldnerische Haftung tragen.(13) Die rechtliche Gestaltung zwischen diesen Stellen kann die datenschutzrechtliche Verantwortung nicht einschränken; sie darf für den Betroffenen auch nicht intransparent sein. 3.2 Telemedienrecht
Die Regelungen der §§ 7 ff. TMG finden im Bereich des Datenschutzrechts keine Anwendung; dies ist durch die EG-Richtlinie über den elektronischen Geschäftsverkehr explizit ausgeschlossen.(16) Hierauf kommt es bei der Bewertung der Facebook-Datenverarbeitungen aber auch gar nicht an, da insofern nicht eine Privilegierung des Diensteanbieters, also von Facebook, zur Diskussion steht. Die (ausschließliche oder partielle) Verantwortlichkeit von Facebook als Diensteanbieter wird nicht in Frage gestellt. Zudem steht die Frage der Verantwortlichkeit für die Daten über die Nutzung der Dienste im Vordergrund, die zwar in den §§ 11 ff. TMG geregelt ist, nicht aber in den §§7 ff. TMG, die Aussagen zu Inhaltsdaten machen. 4 Fanpages
Facebook weist darauf hin, dass technisch-organisatorisch eine Struktur geschaffen worden ist, mit der explizit sichergestellt werden soll, „dass Administratoren von Facebook-Seiten keinen Zugriff auf die personenbezogenen Daten von Facebook-Nutzern haben“.(18) Demgemäß wird im Impressum von Fanpages auch nicht der Betreiber angegeben, sondern Facebook. Tatsächlich hat ein Fanpage-Betreiber technischen Zugriff nur auf solche Daten von Nutzerinnen und Nutzern, die diese explizit diesem im Rahmen von direkter oder allgemeiner Kommunikation zur Verfügung stellen (Inhaltsdaten). Eine technische Verfügungsmacht über die erhobenenen Nutzungsdaten besteht – soweit erkennbar – für die Fanpage-Betreiber nicht. Insofern unterscheidet sich der Sachverhalt nicht wesentlich von dem Betreiben einer eigenverantwortlich administrierten Webseite, bei der die technische Durchführung des Betriebs oft einem professionellen Administrator übertragen wird, der im Auftrag des Webseitenbetreibers tätig wird. Rechtlich wird in diesen Fällen unstreitig § 11 BDSG, also eine Auftragsdatenverarbeitung, angenommen, weshalb die rechtliche Verantwortung beim Webseitenbetreiber verbleibt. Anders als bei sonstigen Webseiten besteht aber nach Darstellung von Facebook „zwischen Facebook und den Seiten-Administratoren kein dahin gehender Vertrag, dass Facebook Nutzerdaten im Namen der Administratoren verarbeitet“.(19) Anders als bei sonstiger Auftragsdatenverarbeitung bei Webseitenbetreibern nutzt also ein Fanpage-Betreiber die technische und organisatorische Infrastruktur von Facebook, ohne dass die datenschutzrechtlichen Anforderungen und Absicherungen des § 11 BDSG eingehalten würden. Nach Darstellung von Facebook kann der Fanpage-Betreiber „lediglich beherrschend betreffend derjenigen Informationen angesehen werden, die diese auf ihrer Seiten posten“.(20)
Facebook meint, dass das Modell seiner Fanpage-Datenverarbeitung „einen noch höheren Datenschutz bietet, als wenn Seiten-Administratoren tatsächlich Dateninhaber bzw. -verarbeiter wären und die Datenschutzverpflichtungen des TMG erfüllen müssten, da keine persönlichen Daten an die Seiten-Administratoren weitergegeben würden.(21) Facebook verschweigt in diesem Zusammenhang, dass personenbezogene Daten – sowohl von Facebook-Mitgliedern als auch bzgl. der allgemein einsehbaren Seiten von Nicht-Mitgliedern – bei Facebook erhoben und weitergenutzt werden. Die Erstellung von personenbezogenen bzw. pseudonymen Profilen erfolgt demnach nicht durch die Fanpage-Betreiber bzw. in deren Auftrag, sondern durch Facebook. Nach eigener Darstellung ist hierfür Facebook Irland verantwortliche Stelle; die tatsächliche Datenverarbeitung hinsichtlich der Nutzungsdaten erfolgt bei Facebook in den USA. Die Einrichtung einer Fanpage sowie die inhaltliche Gestaltung erfolgt ausschließlich in der Verantwortung des jeweiligen Betreibers. Facebook nimmt insofern keine eigenen zielgerichteten Aktivitäten vor. Dessen ungeachtet wird im Impressum als verantwortlich Facebook Irland genannt, mit folgendem ergänzenden Hinweis: „Diese Erklärung wurde auf Englisch (USA) verfasst. Sollte es bei der übersetzten Version dieser Erklärung im Vergleich zur englischsprachigen Version zu Unstimmigkeiten kommen, ist stets die englischsprachige Version ausschlaggebend. Bitte beachte, dass Abschnitt 16 einige Änderungen der allgemeinen Richtlinien für Nutzer außerhalb der USA enthält.“(22)
Angesichts der Unklarheiten der datenschutzrechtlichen Verantwortlichkeiten bei modernen komplexen arbeitsteiligen Verarbeitungsverfahren, wie sie insbesondere bei Internetdiensten gegeben sind, hat die Artikel-29-Datenschutzgruppe in der Europäischen Union ihre Stellungnahmen 1/2010 und 8/2010 verfasst, die europaweit einheitliche Antworten auf die in der Praxis schwierigen Einordnungs-, Abgrenzungs- und Bewertungsfragen geben (Working Paper WP 169 und WP 179).(24) Beide Arbeitspapiere zielen darauf ab, „ausreichende Klarheit zu schaffen, um eine wirksame Anwendung und Einhaltung des Datenschutzes zu ermöglichen und sicherzustellen. Im Zweifelsfall ist in der Regel die Lösung vorzuziehen, die die größten Chancen für die Erreichung dieser Wirkung bietet“ (WP 169, S. 9). Dabei verfolgt sowohl das WP 179 als auch das WP 169 „ein funktionelles Konzept, das die Zuweisung der Verantwortlichkeiten anhand des tatsächlichen Einflusses und damit auf der Grundlage einer Analyse der Fakten und nicht einer formellen Analyse ermöglichen soll“ (WP 169, S. 12). Nicht relevant sein sollen also nominelle Deklarationen, auch wenn diese im Impressum erfolgen, sondern wer über die Datenverarbeitung entscheidet. Unter Verweis auf die EU-Kommission als Urheberin der Verantwortlichkeitsregelung bekräftigt das WP 169, dass es „für ein und dieselbe Verarbeitung mehrere gemeinsam Verantwortliche geben kann, die gemeinsam über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheiden“ (S. 22). Dabei ist nicht erforderlich, dass zwei verantwortliche Stellen eine gemeinsame Entscheidung zum selben Zeitpunkt treffen; es genügt, wenn die Entscheidungen zeitlich voneinander getrennt erfolgen und wenn sich bei der Verarbeitung der Daten beide unabhängig voneinander erfolgenden Entscheidungen technisch und denklogisch voraussetzen. Nötig ist zudem, dass die beiden entscheidenden Stellen voneinander und von deren Entscheidung Kenntnis haben und dies in ihre eigene Entscheidung mit einbeziehen. Im WP 169 wird ausdrücklich auf Fallkonstellationen bei sozialen Netzwerkdiensten eingegangen. Dabei wird bestätigt, dass hierbei sowohl die Anbieter wie auch die Nutzer als Verantwortliche eingestuft werden können. „Ein eindeutiger und unproblematischer Fall einer vollständig gemeinsamen Kontrolle“ liegt danach vor, wenn „die verschiedenen Akteure nur über einen Teil der Zwecke und Mittel gemeinsam entscheiden … und gemeinsame Mittel für die Erreichung gemeinsamer Zwecke einsetzen“. Dies ist hier der Fall. Es ist gemeinsamer Zweck, dass die Fanpage-Betreiber sich darstellen können und so eine Bindung der Internetnutzer erfolgt, dadurch Webtraffic ausgelöst wird, der Facebook personenbezogene Daten liefert, mit denen Werbung geschaltet und verkauft werden kann, so dass den Fanpage-Betreibern das nötige Software- und Hardwareangebot unentgeltlich zur Verfügung gestellt werden kann. Tatsächlich würde Facebook nicht die Nutzungsdaten einer Fanpage erhalten, wenn diese nicht zuvor von einem Betreiber eingerichtet worden wäre. Umgekehrt wäre es dem Betreiber nicht möglich, diese Seite in dem Facebook-Netzwerk zu nutzen, wenn dieses ihm nicht von Facebook bereitgestellt würde. Auch die Informationen über den Umfang und die Art der Nutzung der eingerichteten Fanpages stünden weder Facebook noch den Betreibern der Fanpages ohne die Einrichtung derselbigen zur Verfügung. Insoweit trägt auch der Fanpage-Betreiber Verantwortung für die Verkehrsdatenerhebung.
Das WP 169 weist darauf hin, dass eine gesamtschuldnerische datenschutzrechtliche Haftung nicht eine Haftung von Stellen im Zusammenwirken voraussetzt: „In vielen Fällen können die verschiedenen für die Verarbeitung Verantwortlichen für die Verarbeitung personenbezogener Daten in verschiedenen Phasen und in unterschiedlichem Ausmaß verantwortlich – und damit haftbar – sein“ (S. 27). Es weist auf die Notwendigkeit einer klaren Zuweisung der Verantwortlichkeiten etwa „für mögliche Verletzungen (der Datenschutz-) Bestimmungen“ hin: „In diesen Fällen ist wichtiger den je, dass die betroffenen Personen Informationen mit Erläuterungen zu den verschiedenen Phasen und Akteuren der Verarbeitung erhalten. Darüber hinaus sollte klargestellt werden, ob alle für die Verarbeitung Verantwortlichen dafür zuständig sind, alle Verpflichtungen hinsichtlich der Rechte der betroffenen Personen zu erfüllen, bzw. welcher für die Verarbeitung Verantwortliche für welche Rechte zuständig ist“ (S. 27 f.). Derartige Hinweise fehlen bei Facebook-Fanpages vollständig. Der Inhalt des Impressums wird für den Betroffenen dadurch konterkariert, dass der Inhalt der gesamten Fanpage ausschließlich vom Betreiber gestaltet wird und auch dessen Handschrift trägt. Es gibt für den Nutzer keine Indizien, dass der für den Inhalt der Fanpage vollständig verantwortliche Betreiber keinerlei Verantwortung für den Datenschutz hinsichtlich der Nutzungsdaten übernehmen möchte. Das Betreiben einer Fanpage ist keine datenschutzrechtlich irrelevante Vorbereitungshandlung für die Datenverarbeitungen bei Facebook, vielmehr werden alle Voraussetzungen vom Betreiber gesetzt, um den Nutzer zu seinen Aktivitäten auf der Seite zu veranlassen. U. U. animiert der Betreiber der Fanpage mit seinem guten Namen, etwa als öffentliche Stelle, die Nutzenden zu einem unbesorgten Surfen und Kommunizieren auf der Seite. Letztlich machen sich sowohl Facebook als auch der Betreiber diesen Umstand zunutze. Der Betreiber erhält damit demographisch qualifizierte Aussagen über die Reichweite seines Angebotes. Kein anderer Analysedienst ist derzeit dazu in der Lage. Facebook im Gegenzug erhält darüber detaillierte und intime Kenntnisse über die Interessen und Vorlieben seiner Nutzerinnen und Nutzer. Diese kann Facebook für seine geschäftlichen Interessen des Direktmarketing verwenden.
Selbst wenn man dieser Bewertung auf der Basis des WP 169 der Artikel-29-Datenschutzgruppe nicht zustimmen wollte, so läge in jedem Fall für die Datenerhebung bei den betroffenen Nutzern und die Übermittlung zu bzw. die Erhebung durch Facebook eine Verantwortung bei den Fanpage-Betreibern. Diese Verantwortung kann nicht auf die Nutzenden abgeschoben werden, da diese keine Vorstellung davon haben und haben können, welche Daten von ihnen durch Facebook erhoben und weiterverarbeitet werden. Dieses datenschutzrechtliche Ergebnis korrespondiert mit gerichtlichen Entscheidungen zur Verantwortlichkeit bei Internetnutzungen in anderen Rechtsbereichen. So hat der Europäische Gerichtshof in einer markenrechtlichen Entscheidung klargestellt, dass eine Verantwortlichkeit gegeben ist, wenn ein Unternehmen gegenüber Nutzenden keine neutrale Stellung einnimmt, sondern eine aktive Rolle spielt, die zur einer Kenntnisverschaffung von Angebote betreffenden Daten führt.(25)
Facebook-Fanpage-Betreiber sowie Webseitenbetreiber, die Social-Plugins von Facebook in ihr Angebot integriert haben, sind datenschutzrechtlich verantwortlich für unzulässige Datenübermittlungen von Nutzerinnen und Nutzern. Sie haben die datenschutzrechtlichen Vorgaben des Telemediengesetzes sowie des Bundes- bzw. Landesdatenschutzgesetzes zu beachten und einzuhalten. Dies hat des Weiteren zur Folge, dass sie gegenüber den Betroffenen und gegenüber der nach § 38 BDSG zuständigen Datenschutzaufsichtsbehörde, in Schleswig-Holstein also gegenüber dem ULD, ihre Datenverarbeitung zu verantworten haben. Auf der Grundlage der unstreitig feststehenden technischen und organisatorischen Feststellungen ist die Nutzung von Fanpages und Social-Plugins nach europäischem wie deutschem Datenschutzrecht unzulässig, selbst wenn die von Facebook gemachten Angaben, die teilweise (noch) nicht überprüft werden können, zutreffen. (1) PE des ULD vom 19.08.2011, https://www.datenschutzzentrum.de/presse/20110819-facebook.htm. (2) Exemplarisch ist hierfür die Spickmich-Entscheidung des BGH, NJW 2009, 2888 = MMR 2009, 608 = CR 2009, 593 = AfP 2009, 401, vgl. Weichert in Däubler/Klebe/Wedde/Weichert, Bundesdatenschutzgesetz, 3. Aufl. 2009, § 29 Rz. 44.
(4) ULD, Facebook – Fragen und Antworten Nr. 13, https://www.datenschutzzentrum.de/facebook/, abgerufen am 27.09.2011.
(6) So der Titel der vom ULD am 29.08.2011 in Kiel durchgeführten Sommerakademie, siehe https://www.datenschutzzentrum.de/sommerakademie/2011/.
(23) http://www.datenschutz-hamburg.de/uploads/media/GoogleAnalytics_Hinweise_Webseitenbetreiber_in_Hamburg.pdf (24) Artikel-29-Datenschutzgruppe, Stellungnahme 1/2010 zu den Begriffen „für die Verarbeitung Verantwortlicher“ und „Auftragsdatenverarbeiter“, vom 16.02.2010, WP 169 00264/10/DE; Artikel-29-Datenschutzgruppe, Stellungnahme 8/2010 zum anwendbaren Recht, vom 16.12.2010, WP 179 0836-02/10/DE.
(27) Kapitel 5.4.1 der Bewertung, https://www.datenschutzzentrum.de/facebook/facebook-ap-20110819.pdf.