EuGH Urteil C-210/16 zu Facebook Fanpages.

The European Court of Justice (ECJ) rules in a preliminary ruling on the joint responsibility of the operator of a Facebook fan page with the Facebook group. The implementation of the ruling means extensive information for data subjects on their rights with regard to data processing according to Art. 26 of the EU General Data Protection Regulation (GDPR) and requires the Facebook group to disclose more information about the use of the collected data.

Am 05. Juni 2018 hat sich der EuGH in der Sache Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein ./. Wirtschaftsakademie Schleswig-Holstein GmbH (Case C-210/16) damit beschäftigt ob Betreiber einer Facebook Fanpage zusammen mit Facebook eine gemeinsame Verantwortung für die Verarbeitung personenbezogener Daten auf einer Fanpage tragen. In seinem Urteil weist der EuGH darauf hin, dass „der bloße Umstand der Nutzung eines sozialen Netzwerks wie Facebook für sich genommen einen Facebook-Nutzer nicht für die von diesem Netzwerk vorgenommene Verarbeitung personenbezogener Daten mitverantwortlich macht.“ Es bestehe jedoch eine gemeinsame Verantwortung mit Facebook wo der Betreiber einer Facebook Fanpage zur Verarbeitung personenbezogener Daten durch Facebook beitrage. Dies treffe zu wo der Betreiber durch die von Facebook zur Verfügung gestellten Filterkriterien den Umfang generierter Besucherstatistiken festlege, Kategorien von auszuwertenden Personenkreisen bestimme, und dadurch Informationen erhalte wie das eigene Informationsangebot zielgerichtet zu gestalten, und Werbeaktionen auszurichten seien. Die Parametrisierung durch den Betreiber der Fanpage beeinflusst die vorhergehende Datenverarbeitung durch Facebook und macht den Betreiber somit für die Datenverarbeitung mit verantwortlich.

Eine eigene Verantwortung für die Datenverarbeitung bestehe nach Art. 6 Abs. 4 DS-GVO auch, wenn der Betreiber die über seine Social Media Präsenz erfassten personenbezogene Daten für eigene, andere Zwecke weiterverarbeitet. Dies ist unter anderem der Fall wenn Daten von Interessenten bei Facebook erhoben, in einer eigenen Kunden-Datenbank gespeichert, und außerhalb von Facebook für eigene Werbezecke weiterverwendet werden.

Wo der Betreiber einer Social Media Präsenz somit eigene Verantwortung oder Mitverantwortung für die Datenverarbeitung trägt, muss er nach Art. 12 ff DS-GVO die Betroffenen über den Zweck und Umfang der Datenverarbeitung auf dieser Präsenz informieren. Im Falle einer gemeinsamen Verantwortung wie bei den Fanpages muss der Betreiber der Social Media Präsenz darüber hinaus Informationspflichten nach Art. 26 DS-GVO nachkommen. Diese Anforderung gilt für Facebook Fanpages, kann aber auch Konzepte anderer Social Media Anbieter wie etwa Google My Business betreffen.

In einer Stellungnahme hat die Datenschutzkonferenz das Urteil des EuGH bewertet und eine Maßnahmenliste für Fanpage-Betreiber aufgestellt. Hiernach:

  • muss bei Besuch einer Fanpage darüber informieren werden, welche Daten zu welchen Zwecken durch Facebook und den Fanpage-Betreiber verarbeitet werden;
  • sollte der Betreiber sicherstellen, dass Facebook die Informationen zur Verfügung stellt, die zur Erfüllung der genannten Informationspflichten benötigt werden;
  • ist für das Tracking von Besuchern durch Einsatz von Cookies, der Speicherung der IP-Adresse, oder vergleichbaren Techniken grundsätzlich eine datenschutzkonforme Einwilligung des Besuchers erforderlich;
  • ist für die gemeinsame Verantwortung von Facebook und dem Fanpage-Betreiber in einer Vereinbarung festzulegen, wer von ihnen welche Verpflichtung der DS-GVO erfüllt.
Mit seiner Entscheidung gibt der EuGH die Sache an das Bundesverwaltungsgericht zur endgültigen Entschließung zurück. Nach Anmerkungen der DSK, und ohne Nachbesserung durch Facebook erscheint ein datenschutzkonformer Betrieb von Fanpages bis auf weiteres unmöglich. Betreiber die das rechtliche Risiko scheuen, sollten ihre Fanpage deaktivieren. Wer das rechtliche Risiko in Kauf nimmt und seine Fanpage weiter betreiben will, sollte zur Klärung mit Facebook Kontakt aufnehmen und in einer speziellen Datenschutzerklärung möglichst umfangreich über die gemeinsame Datenverarbeitung mit Facebook informieren.

 

Referenzen:

Landeszentrum für Datenschutz Schleswig-Holstein v Wirtschaftsakademie Schleswig-Holstein GmbH (Case C-210/16) [online]. Verfügbar unter: http://curia.europa.eu/juris/document/document_print.jsf?doclang=DE&text=&pageIndex=0&part=1&mode=DOC&docid=202543&occ=first&dir=&cid=879236#Footnote*

Konferenz der unabhängigen Datenschutzbehörden (2018), „Die Zeit der Verantwortungslosigkeit ist vorbei: EuGH bestätigt gemeinsame Verantwortung von Facebook und Fanpage-Betreibern“

Zurück