Können Facebook-Fanpages noch genutzt werden?
(EuGH, 05.06.2018)
Der EuGH hat am 05.06.2018 in einem Vorabentscheidungsverfahren festgestellt, dass Facebook und ein Betreiber einer Fanpage „gemeinsame Verantwortliche“ sind.
1. Das Verfahren vor dem EuGH
Im Verfahren vor dem EuGH ging es um eine Fanpage der Wirtschaftsakademie Schleswig-Holtstein GmbH. Im Rahmen dieser Fanpage verarbeitet der Betreiber (über Facebook Insights, und ohne die Möglichkeit, dies zu unterbinden) personenbezogene Daten der Besucher der Fanpage. Die zuständige (deutsche) Aufsichtsbehörde hat die Meinung vertreten, dass die Nutzung der Fanpage datenschutzrechtlich nicht korrekt erfolgt, wobei sich die nunmehrige Entscheidung des EuGH vom 05.06.2018 auf die Datenschutz-Richtlinie bezieht.
2. Die Entscheidung des EuGH vom 05.06.2018
Der EuGH hat in seiner Entscheidung C-210/16 festgestellt, dass der Betreiber der Fanpage und Facebook sog „gemeinsame Verantwortliche“ sind, dh nicht nur Facebook für die Verarbeitung der Daten verantwortlich ist, sondern auch der Betreiber der Fanpage dafür verantwortlich ist, wie die erhobenen Daten (von Facebook) verarbeitet werden. Ein Betreiber einer Fanpage ist daher nicht nur für seine eigenen Veröffentlichungen verantwortlich, sondern auch für die Art und Weise wie Facebook mit den personenbezogenen Daten natürlicher Personen umgeht und diese verarbeitet.
3. Die DSGVO ändert nichts an der Verantwortung
Auch die DSGVO kennt in Art 26 DSGVO die Konstruktion der „gemeinsamen Verantwortlichen“, und die Verantwortlichen, dh Facebook und der Betreiber einer Fanpage sind verpflichtet, im Rahmen einer Vereinbarung die unterschiedlichen Verarbeitungsschritte und die unterschiedlichen Aufgabenbereiche festzulegen. Gibt es keine Vereinbarung (und Facebook bietet derzeit keine derartige Vereinbarung an), kommt es dazu, dass der Betreiber einer Fanpage mit Facebook gemeinsam für die Verarbeitung sehr umfangreich verantwortlich. Der Betreiber der Fanpage kann mE für etwaige Verstöße von Facebook (mit)-verantwortlich gemacht werden.
4. Reicht ein Hinweis in einer Datenschutzerklärung/information?
Meines Erachtens ist ein Hinweis in einer Datenschutzerklärung/information nicht ausreichend, denn es stellt sich die Frage, wie diese Information „zum Zeitpunkt der Erhebung“ (siehe Art 13 DSGVO), dh letztlich vor der Erhebung der personenbezogenen Daten zur Verfügung gestellt werden kann, um der betroffenen Person (Besucher der Fanpage) die Möglichkeit zu geben, die Erhebung der Daten „zu unterbinden“, indem zB die Fanpage nicht besucht wird. Derzeit gibt es keine technische Möglichkeit, dies sicherzustellen.
Weiters ist es nicht ausreichend, darauf hinzuweisen, welche Erhebungen Facebook durchführt und auf die Datenschutzinformation von Facebook zu verweisen, denn es fehlt noch immer an der Vereinbarung zur gemeinsamen Verantwortlichkeit, die in den wesentlichen Bestandteilen den betroffenen Personen auch zur Verfügung zu stellen ist.
5. Was soll ein Fanpage-Betreiber derzeit tun
Der Fanpage-Betreiber sollte selbst einschätzen, ob er das Risiko sieht, dass eine Aufsichtsbehörde (in Ö: die Österreichische Datenschutzbehörde) gegen ihn vorgehen wird, wenn er die Fanpage in der bisherigen Form weiterbetreibt.
Jedenfalls sollte ein Betreiber einer Fanpage eine umfassende Information zum Datenschutz bereit stellen, und darauf hinweisen, dass Daten von Facebook erhoben und auch verwendet werden und auf die Datenschutzinformation von Facebook hinweisen und gegebenenfalls verlinken.
Facebook hat vor kurzem bekannt gegeben, dass eine Vereinbarung zur Verfügung gestellt werden wird, bzw ein Mechanismus die DSGVO-Konformität herstellen soll. Die weitere Entwicklung in diesem Bereich bleibt abzuwarten.
Eine Aufsichtsbehörde hat einen Betreiber einer Fanpage bereits aufgefordert, diese abzuschalten.
Weitere Informationen finden Sie hier:
Interview mit Peter Schaar (Vorsitzender der Europäischen Akademie für Informationsfreiheit und Datenschutz (EAID) und war von 2003 bis 2013 Bundesbeauftragter für den Datenschutz und die Informationsfreiheit)
Informationen von Prof. Nikolaus Härting (RA in Berlin)
Entschließung der (dt) DSK zum Fanpage-Urteil
Ich persönlich habe derzeit meine Fanpage abgeschaltet!
Kommentar schreiben