Betreiber einer Facebook-Fanpage sind mitverantwortlich für die Verarbeitung der personenbezogenen Daten der Besucher
Am 05.06.2018 hat EuGH entschieden, dass die Fanpage-Betreiber im Sinne des Datenschutzes Verantwortliche sind. Das Urteil hat Konsequenzen für alle Fanpage-Betreiber.
GERICHT: EuGH
DATUM: 05.06.2018
URTEIL: Facebook-Fanpage
Ausgangssituation des Rechtsstreits
Beklagte war die Wirtschaftsakademie Schleswig-Holstein GmbH, Betreiberin einer Facebook-Fanpage. Die Wirtschafsakademie ist ein auf Bildung spezialisiertes Unternehmen. Sie bietet auf Facebook eine Fanpage für Bildungsdienstleistungen an. Klägerin ist das unbahängige Landeszentrum für Datenschutz Schleswig-Holstein [ULD]. Das ULD war der Meinung, dass weder Facebook noch die Wirtschaftsakademie Schleswig-Holstein GmbH ausreichend auf die Erhebung und Nutzung der bei Besuch der Seite erhobenen personenbezogenen Daten informier hat.
Betreiber von Fanpages können mit der Funktion Facebook Insight anonymisierte statistische Daten der Nutzer erhalten. Diese Daten werden mit Hilfe von Cookies gesammelt, die jeweils einen eindeutigen Benutzercoe enthalten, der für 2 Jahre aktiv ist und auf der Festplatte des Computers oder einem anderen Datenträger der Besucher der Fanpage speichert. Dieser Benutzercode kann mit den Anmeldungsdaten der Nutzer , die sich bei Facbook registieren verknüpft werden.
Die erstellten Profile seien nicht nur auf die Datenerhebung durch Facebook zurückzuführen, sondern auch ein Resultat der Fanpage-Einstellungen durch die Betreiberin.
Die Entscheidung des Gerichts
Der Gerichtshof EuGH stellte fest, dass in der aufgeführten Rechtslage Facebook und deren irische Tochtergesellschaf für die Verarbeitung der prsonenbezogenen Daten der Facebook-Nutzer und der Personen die die auf Facebook unterhaltenen Fanpages besucht haben Verantwolich anzusehen sind, zumal diese Personen Betreiber entscheiden in erster Linie über die Zwekce und Mittel der Verarbeitung dieser Daten.
Daraus beindet der Gerihtshof, dass ein Betreiber wie die Akademie als gemeinsam mit Facebook für die fragliche Datenverarbeitung verantworlich anzusehen ist.
Mssßgeblich war hierbei, dass ersterer über Zweck und Mittel der Datenverarbeitung mitentscheide.
Ein Betreiber einer auf Facebook unterhaltenen Fanpage wie die Wirtschaftsakademie durch die von ihm vorgenommene Parametrierung und Einstellung entsprechend seinem Zielpublikum sowie den Zielen der Steuerung oder Förderung seiner Tätigkeiten an der Entscheidung über die Zwecke und Mittel der Verarbeitung der personenbezogenen Daten der Besucher seiner Fanpage beteiligt ist.
Das Gericht begründet das damit, dass der Fanpage-Betreiber demografische Daten über seine Zielgruppe und damit die Verarbitung dieser Daten verlangen kann wie Alter, Gesschlecht, Beziehungsstatus und berufliche Situation, Informationen über die Käufe und das Online Kaufverhalten der Besucher seiner Seite sowie über die Kataegorien von Waren oder Dienstleistungen, wie auf geografische Daten, die ihn darüber informieren wo spezielle Aktionen oder Veranstaltungen durchzuführen sind.
Bedeutung des Urteils für die aktuelle Rechtslage
Der EuGH hatte die Entscheidung anhand der Richtlinie 95/46/EG zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr zu entscheiden. Diese Richtlinie wurde durch die EU-Verordnung 2016/679 DSGVO abgelöst. Das Urteil bezieht sich daher zwar auf eine aufgehobene Richtlinie, die zur Ablösung in Kraft getretene Verordnung hat aber, bezogen auf die nun entschiedene Rechtsfrage, eine im Wortlaut fast identische Definition des Verantwortlichen. Das Urteil ist daher auch für Rechtsfragen in Bezug auf die DSGVO zu beachten.
Konsequenzen für Facebook-Fanpage-Betreiber
Da nun geklärt ist, dass beide verantwortlich sind, werden die Voraussetzungen des Art. 26 DSGVO zu beachten sein. Hierzu zählt z.B. die Festlegung, wer für die Informationspflichten zuständig ist. Trotz Klärung dieser Frage darf Art. 26 Abs. 3 nicht vergessen werden:
„Ungeachtet der Einzelheiten der Vereinbarung gemäss Absatz 1 kann die betroffene Person ihre Rechte im Rahmen dieser Verordnung bei und gegenüber jedem einzelnen der Verantwortlichen geltend machen.“
Für jeden Betreiber einer Fanpage ist nun Handeln angesagt. Ein Verweis auf Facebook als Verantwortlicher reicht nicht mehr aus. Eine Übersicht zu weiteren Pflichten und Empfehlungen finden Sie hier.
Von dieser Entscheidung könnte eine Signalwirkung ausgehen.