Source: https://www.dataprotect.at/2018/06/07/facebook-custom-audiences-nur-mit-einwilligung/
Timestamp: 2018-08-14 19:47:00
Document Index: 201153969

Matched Legal Cases: ['§ 3', '§ 3', '§ 11', '§ 28', '§ 28', '§ 28']

Facebook Custom Audiences nur mit Einwilligung - dataprotect - Informationen zum Datenschutz in Österreich und der EU (DSGVO, DSG)
1. Das Hochladen von gehashten E-Mail-Adresslisten an ein soziales Netzwerk zur Durchführung
einer Überschneidungsanalyse zwischen Nutzerdaten des sozialen Netzwerks und
gehashten Daten und der Erstellung einer Ausgangsaudience für Werbezwecke ist
nach BDSG rechtswidrig, wenn keine Einwilligung des Betroffenen gegenüber
demjenigen vorliegt, der die gehashten Daten hochlädt. (Rn. 41 – 70)
2. Gehashte E-Mail-Adressen sind personenbezogene Daten gem. § § 3 Abs. 1 BDSG, da das
Hashen keine Anonymisierung darstellt. (Rn. 45) (redaktioneller Leitsatz)
3. Die Weitergabe der gehashten E-Mail-Adressen ist eine Übermittlung an Dritte iSd § 3 Abs. 8 S.
3 BDSG (hier sog. Funktionsübertragung) und keine Auftragsdatenverarbeitung
gem. § 11 BDSG, wenn der Empfänger über bloße technische Hilfsfunktionen hinaus
mit einem eigenen Wertungs- und Entscheidungsspielraum tätig wird. (Rn. 47 –
51) (redaktioneller Leitsatz)
4. Das Listenprivileg des § 28 Abs. 3 S. 3, S. 4 BDSG findet beim Hochladen gehashter
E-Mail-Adresslisten keine Anwendung. Dies verstößt nicht gegen Unionsrecht, da
auf § 28 Abs. 1 S. 1 Nr. 2 BDSG zurückgegriffen werden kann
(Interessenabwägung). (Rn. 54 – 60) (redaktioneller Leitsatz)
5. Auch die Interessenabwägung nach § 28 Abs. 1 S. 1 Nr. 2 BDSG kann die Übermittlung der
gehashten E-Mail-Adressen nicht rechtfertigen. Das berechtigte Interesse der
verantwortlichen Stelle an der Übermittlung gehashter E-Mail-Adressdaten kann
auch durch eine im Einzelfall einzuholende Einwilligung des Betroffenen, zB
Rahmen eines Bestellvorgangs, ohne unverhältnismäßigen Aufwand gewahrt werden.
Demgegenüber stehen die überwiegend schutzwürdigen Persönlichkeitsrechte des
Betroffenen. (Rn. 61 – 65) (redaktioneller Leitsatz)
Mit Bescheid vom 16.01.2018 erließ das Bayerische Landesamt für Datenschutzaufsicht eine Anordnung. Ein Betreiber einer Facebook Page bzw. eines Facebook-Kontos wurde mittels Bescheid verpflichtet, die unter em F.-Konto erstellten Custom Audiences (Kundenlisten) zu löschen. Es wurde überdies für den Fall des Zuwiderhandelns ein Zwangsgeld von EUR 10.000,-- angeordnet.
Gegen diesen Bescheid hat der Seitenbetreiber Rechtsmittel erhoben und das VG Bayreuth hat nun entschieden.
Ohne Einwilligung der Personen, deren Daten an Facebook übermittelt werden, ist die Verwendung von Facebook-Audiences nach Ansicht des VG Bayreuth unzulässig. Auch auf die Ausnahmebestimmung des Adresshandels und der Werbung bzw. listbroking im BDSG (alt) konnte sich der Betreiber der Facebook-Seite nicht berufen. Auch aufgrund der Tatsache, dass die Rechte der betroffenen Personen nicht gewahrt sind, kann eine Interessensabwägung nicht zugunsten des Betreibers der Facebook-Seite ausfallen.
Die Entscheidung des VG Bayreuth im Volltext: <<< hier >>>
tagPlaceholderTags: Facebook, Einwilligung, Custom Audiences, Löschungsanordnung, Email-Adressen, Hash, gehashte Adressen