Source: https://www.datenschutz.eu/urteile/Einsatz-von-Facebook-Custom-Audiences-ist-datenschutzwidrig-Verwaltungsgerichtshof-M%C3%BCnchen-20180926/
Timestamp: 2020-01-23 08:33:25
Document Index: 378648628

Matched Legal Cases: ['§ 38', '§ 4', '§ 3', '§ 3', '§ 3', '§ 3', '§ 11', '§ 3', '§ 28', '§ 28', '§ 28', '§ 28', '§ 28', 'Art. 29', '§ 11']

Einsatz von Facebook Custom Audiences ist datenschutzwidrig Verwaltungsgerichtshof München Beschluss v. 26.09.2018 - 5 CS 18.1157 :: Datenschutz, Informationelle Selbstbestimmung, Persönlichkeitsrecht, Recht, Urteile, Entscheidungen, Aufsätze
Beschluss v. 26.09.2018 - Az.: 5 CS 18.1157
Die Entscheidung bestätigt die erstinstanzliche Entscheidung des VG Bayreuth (Beschl. v. 08.05.2018 - Az.: B 1 S 18.105)
Die Antragstellerin betreibt einen Online-Shop und unterhält ein Konto bei Facebook. Zur Schaltung zielgerichteter Werbung auf diesem Netzwerk nutzt die Antragstellerin den Dienst „Facebook Custom Audience“. Im Rahmen dieses von Facebook generell angebotenen Dienstes lädt ein Unternehmen, so auch die Antragstellerin, eine Liste mit eigenen Kundendaten innerhalb des eigenen Facebook-Kontos hoch, berechnet mittels der kryptographischen Hashfunktion SHA-256 für jede einzelne E-Mail-Adresse der Kunden einen sogenannten Hashwert und übermittelt diesen an einen Facebook-Server. Facebook gleicht die erhaltenen Hashwerte mit den ebenfalls mit der Hashfunktion SHA-256 verarbeiteten E-Mail-Adressen aller Facebook-Mitglieder ab.
Sind zwei Hashwerte identisch, ist anhand der übereinstimmenden E-Mail-Adresse das dazugehörige Facebook-Mitglied bestimmt. Alle auf diese Weise ermittelten Facebook-Mitglieder bilden eine sogenannte „Custom Audience“ (Kundenliste) und erhalten innerhalb ihres Facebook-Profils zielgerichtete Werbung des den Dienst „Facebook Custom Audience“ nutzenden Unternehmens. Die Zielgruppe der durch Facebook anzusprechenden Facebook-Nutzer kann das Unternehmen mittels verschiedener Merkmale näher spezifizieren. Um zu ermitteln, welche Merkmale oder Interessen dem einzelnen Facebook-Mitglied zuzuordnen sind, verarbeitet Facebook Informationen aus verschiedenen Quellen, z.B. der IP-Adresse, den Mobilgeräten, dem Facebook-Profil des Nutzers und dessen Aktivitäten oder Interaktionen mit Unternehmen. Welche konkreten Facebook-Mitglieder beworben werden, erfährt das werbetreibende Unternehmen, im konkreten Fall die Antragstellerin, nicht. Die Höhe des Entgelts für den Dienst „Custom Audiences“ richtet sich nach der Laufzeit der Werbekampagne.
Den ebenfalls gestellten Antrag auf Wiederherstellung der aufschiebenden Wirkung der Klage lehnte das Verwaltungsgericht mit Beschluss vom 8. Mai 2018 wegen fehlender Erfolgsaussichten der Klage ab. Unter Bezugnahme auf die Begründung des streitgegenständlichen Bescheids führte das Verwaltungsgericht ergänzend aus, das Landesamt habe die streitgegenständliche Anordnung zu Recht auf § 38 Abs. 5 Satz 1 BDSG a.F. gestützt, weil die beanstandete Übermittlung der gehashten E-Mail-Adressen nach § 4 Abs. 1 BDSG a.F. mangels Einwilligung des Betroffenen oder gesetzlicher Erlaubnis datenschutzrechtlich unzulässig sei. Bei den E-Mail-Adressen handele es sich um personenbezogene Daten nach § 3 Abs. 1 BDSG a.F., die durch den Vorgang des Hashens nicht i.S.v. § 3 Abs. 6 BDSG a.F. anonymisiert würden. Durch das Hashen werde der Personenbezug nicht völlig aufgehoben und es sei ohne unverhältnismäßigen Aufwand möglich, die Daten einer bestimmten oder bestimmbaren Person zuzuordnen. Das zeige auch der Datenabgleich seitens Facebook. Die beanstandete Übermittlung der gehashten Daten erfolge an Facebook „als Dritten“ i.S.v. § 3 Abs. 8 Satz 2 BDSG a.F. und stelle eine Verarbeitung nach § 3 Abs. 4 Satz 1 BDSG a.F. dar. Durch Facebook erfolge keine Auftragsdatenverarbeitung (§ 11 BDSG a.F.), innerhalb der die Übermittlung der Kundendaten auch ohne Einwilligung der Betroffenen und ohne gesetzliche Erlaubnis zulässig wäre (§ 3 Abs. 8 Satz 3 BDSG a.F.). Facebook werde nicht gleichsam als verlängerter Arm der Antragstellerin tätig, sondern es liege allein im Ermessen von Facebook, wer konkret beworben werde.
Eine konkrete Einwilligung des Betroffenen für die Übermittlung seiner Daten an Facebook liege nicht vor. Die Übermittlung der Daten könne auch nicht auf § 28 Abs. 3 BDSG a.F. gestützt werden, weil die Tatbestandsvoraussetzungen nicht gegeben seien. Die Antragstellerin könne sich nicht auf das sogenannte Listenprivileg des § 28 Abs. 3 Satz 2 BDSG a.F. berufen, weil E-Mail-Adressen nicht zu den sogenannten Listendaten i.S.v. § 28 Abs. 3 Satz 2 BDSG a.F. zählen würden. Eine Berechtigung zur Übermittlung ergebe sich auch nicht aus § 28 Abs. 3 Satz 3 BDSG a.F., weil diese Vorschrift lediglich die Vervollständigung der Informationen erlaube und keine eigene Übermittlungsbefugnis hinsichtlich weiterer Daten enthalte. Die Übermittlung der E-Mail-Adressen an Facebook sei auch nicht im Wege einer unionsrechtlich gebotenen Interessenabwägung auf der Grundlage von § 28 Abs. 1 Satz 1 Nr. 2 BDSG a.F. als zulässig anzusehen, weil diese zu Gunsten der Betroffenen ausfalle.
Das Verfahren „Facebook Custom Audience“ ermöglicht es Unternehmen, ihre Kunden, die zugleich Nutzer von Facebook sind, auf diesem sozialen Netzwerk von Facebook gezielt bewerben zu lassen. Welche Kunden zugleich Nutzer des sozialen Netzwerks sind, wird von Facebook durch Abgleich der jeweiligen E-Mail-Adresse ermittelt (sogenannte Überschneidungsanalyse). Die im Rahmen dieses Dienstes im Wege der Überschneidungsanalyse erstellte Kundenliste (Custom Audience) dient keinem eigenen, abtrennbaren Zweck, sondern ist Grundlage und Voraussetzung für die vertraglich vereinbarte, zielgerichtete Werbung durch Facebook. Der zwischen der Antragstellerin und Facebook geschlossene Verarbeitungsvertrag steht dem nicht entgegen. Maßgebend für die Einordnung eines Vorgangs als Auftragsdatenverarbeitung ist eine objektive Qualifikation der auf Grundlage der vertraglichen Vereinbarung stattfindenden tatsächlichen Abläufe. Andernfalls hätten es die Vertragsparteien selbst in der Hand, die rechtlichen Rahmenbedingungen für die Datenverarbeitung festzulegen (Working Paper 169 der Art. 29-Datenschutzgruppe, Stellungnahme 1/2010 zu den Begriffen „für die Verarbeitung Verantwortlicher“ und „Auftragsverarbeiter“, im Internet abrufbar unter: ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2010/wp169_de.pdf, S. 14; Spoerr in Wolff/Brink BeckOK Datenschutzrecht BDSG 2003 § 11 Rn. 41).