Der Sachverhalt
Vor dem EuGH wird eine Angelegenheit entschieden, die sich mit Webtracking auf Facebook-Fanpages beschäftigt. Es geht im Wesentlichen um die Frage, ob der Betreiber der Fanpage "(Mit-)Verantwortlicher" ist.
Webtracking erlaubt es insbesondere, die Interessenschwerpunkte der Internetnutzer durch die Beobachtung ihres Internet-Surfverhaltens festzustellen. Man spricht daher von „verhaltensbezogenem Webtracking“. Dieses erfolgt im Allgemeinen durch die Nutzung von Cookies. Webtracking wird verwendet, um eine Website zu optimieren und wirksamer zu konfigurieren. Es gestattet auch den Werbefachleuten, sich gezielt an die verschiedenen Segmente der Öffentlichkeit zu richten. Informationen zu Facebook-Fanpages und deren Funktionsweise finden Sie hier: https://oebib.wordpress.com/2015/01/08/social-media-monitoring-analyse-tools-fur-facebook-fanpages/
Die Art 29-Datenschutzgruppe hat sich bereits im Juni 2010 mit Werbung auf Basis von Nutzerverhalten befasst und ausgeführt „Werbung auf Basis von Behavioural Targeting … Werbung, die auf der Beobachtung des Verhaltens von Personen über einen Zeitraum hinweg basiert. [Sie] versucht, die Charakteristika dieses Verhaltens durch die Handlungen (wiederholte Besuche von Websites, Interaktionen, Schlüsselwörter, Produktion von Online-Inhalten usw.) zu untersuchen, um ein konkretes Profil zu erstellen und den betroffenen Personen dann Werbung zu senden, die auf ihre aus den Daten erschlossenen Interessen zugeschnitten ist.“ Derartige Werbung „[nutzt] gesammelte Informationen über das Internet-Surfverhalten einer Person, wie z. B. besuchte Websiten oder durchgeführte Suchanfragen, für die Auswahl der Werbeanzeigen, die für diese Person angezeigt werden.“
Es sind z.B. auch Besucherstatistiken möglich.
Sachverhalt im Verfahren vor dem EuGH
Die Wirtschaftsakademie bietet Bildungsdienstleistungen über eine Fanpage an, die auf der Internetseite des sozialen Netzwerks Facebook betrieben wird. Als Betreibereiner Fanpage, kann das Unternehmen mittels des von Facebook als kostenfrei zu ihrer Verfügung gestellten Tools „Facebook Insights“ Besucherstatistiken erhalten. Es ist nicht möglich, diese Funktion zu deaktivieren. Diese Statistiken werden von Facebook erstellt und vom Betreiber einer Fanpage anhand verschiedener Kriterien, die er wählen kann – wie Alter oder Geschlecht –, personalisiert. Diese Statistiken liefern somit anonyme Informationen über die Eigenschaften und die Gewohnheiten der Personen, die diese Fanpages besucht haben, und gestatten den Betreibern dieser Seiten, gezielter zu kommunizieren.
Wer ist „Verantwortlicher“? Facebook oder der Fanpagebetreiber?
Die wesentliche Frage, die sich stellt ist, wer die „verantwortliche Stelle“ iSd Bundesdatenschutzgesetzes (BDSG) (in Hinkunft: Verantwortlicher iSd DSGVO) ist. Ist dies nur „Facebook“ oder ist es (auch) der „Betreiber der Fanpage“.
Es geht darum, wer über den Zweck und die Mittel der Erhebung und Verarbeitung der für „Facebook Insights“ genutzten personenbezogenen Daten entscheidet.
Nach Ansicht des Generalanwaltes Bot ist davon auszugehen, dass die Betreiber einer Facebook-Fanpage für die in der Erhebung von personenbezogenen Daten durch Facebook bestehende Phase der Verarbeitung gemeinsam mit Facebook verantwortlich ist.
Der „für die Verarbeitung Verantwortliche“ ist „die natürliche oder juristische Person, Behörde, Einrichtung oder jede andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet“. Den Verantwortlichen treffen umfangreiche Verpflichtungen nach der Datenschutz-Richtlinie (und das ändert sich mit der DSGVO nicht, die eine spezielle Regelung zum „gemeinsam Verantwortlichen“ (nämlich Art. … DSGVO) kennt.
Der Verantwortliche ist die Person, die entscheidet, warum und auf welche Weise diese Daten verarbeitet werden. Facebook Inc. und Union Facebook Ireland Ltd (als Entwickler der „Verarbeitung“) bestimmen maßgeblich die Ziele und Modalitäten der Verarbeitung.
Davon wird die Phase der „Datenerhebung“ unterschieden. Hier treten Facebook und der Betreiber der Fanpage „gemeinsam“ auf.
Vorrangig ist der Betreiber der Fanpage selbst Nutzer von Facebook. Er nimmt das Portal in Anspruch, um in der Facebook-Community Werbung zu machen und bekannt zu werden, und damit sein Unternehmen zu promoten. Das ist nach Ansicht des Generalanwaltes jedoch nicht der einzige Grund, eine Facebook-Fanpage zu betreiben; diese hat auch noch andere Funktionen, die sich der Betreiber der Facebook-Fanpage zu Nutze macht.
Entscheidet der Betreiber einer Facebook-Fanpage über die „Mittel und Zwecke“ der Verarbeitung? Billigt der Betreiber die Art und Weise der Datenerhebung?
Es wird in der gesetzlichen Definition u.a. darauf abgestellt, dass der „Verantwortliche“ eine Entscheidung trifft („entscheidet“); es ist daher zu prüfen, ob der Verantwortliche einen rechtlichen oder tatsächlichen Einfluss auf die Mittel und Zwecke der Datenerhebung ausübt. Es ist nicht maßgeblich, wer die Erhebung der Daten tatsächlich durchführt, oder die Mittel und Zwecke zur Verfügung stellt, sondern es geht darum, dass über den Einsatz dieser Mittel und den Zweck „entschieden“ wird.
In der englischen Fassung der Schlussanträge des GA Bot ist dies so ausgedrückt:
By having recourse to Facebook for the publication of its information offering, a fan page administrator is subscribing to the principle that
the personal data of visitors to his page will be processed for the purpose of compiling viewing statistics. Even though a fan page administrator is not, of course, the designer of the
‘Facebook Insights’ tool, he will, by having recourse to that tool, be participating in the determination of the purposes and means of the processing of
the personal data of visitors to his page.
(Aussage des Generalanwaltes, Schlussantrag am 24.10.2017, C-210/16, RZ 56)
Der Betreiber einer Facebook-Fanpage billigt die Grundsätze der Datenverarbeitung personenbezogener Daten zum Zweck der Erstellung einer (eigenen) statistischen Auswertung der Besucher der Fanpage. Er nimmt durch Nutzung der Facebook-Fanpage an der Entscheidung über die Zwecke und Modalitäten der Verarbeitung personenbezogener Daten der Besucher seiner Seite teil.
Der Betreiber richtet die Fanpage ein; daher könnte die Verarbeitung ohne diese Entscheidung nicht stattfinden. Durch die Erstellung der Seite ermöglicht der Betreiber die Verarbeitung von Daten von Nutzern von Facebook und billigt daher das von Facebook eingerichtete Mittel der Datenverarbeitung. Er erhält eine Auswertung der Nutzung seiner Facebook-Fanpage (Zweck) und gestattet gleichzeitig Facebook im Sozialen Netzwerk Werbung gezielter einsetzen zu können.
Das Akzeptieren der Mittel und Zwecke, die der Betreiber mit Facebook in einem Vertrag festlegt, macht den Betreiber zum Mitverantwortlichen für die Datenerhebung.
Der Betreiber der Facebook-Fanpage ist auch der einzige, der entscheiden kann, die Datenerhebung (deren Zweck und Mittel) zu beenden, indem er die Facebook-Fanpage deaktiviert und löscht.
Auch die Art und Weise der Datenerhebung ist vom Betreiber der Fanpage beeinflussbar. Er kann Kriterien definieren, wie die Besucherstatistiken erstellt werden, so kann zB mittels Filter ein bestimmtes Zielpublikum festgelegt werden.
„Daher bestimmt der Betreiber einer Fanpage, indem er das Publikum
festlegt, das er erreichen möchte, gleichzeitig, welche Zielgruppe Gegenstand einer Erhebung und sodann einer Auswertung ihrer personenbezogenen Daten durch Facebook werden kann. Der Betreiber einer Fanpage ist das auslösende Element einer Verarbeitung solcher Daten, wenn er diese Seite einrichtet, und er spielt daher darüber
hinaus auch eine maßgebliche Rolle bei der Umsetzung dieser Verarbeitung durch Facebook. Auf diese Weise nimmt er an der Entscheidung über die Mittel und Zwecke dieser Verarbeitung teil, indem er auf diese einen tatsächlichen Einfluss ausübt.
(Aussage des
Generalanwaltes, Schlussantrag am 24.10.2017, C-210/16, RZ 57)
Die Zwecke der Verarbeitung beim Betreiber der Fanpage und Facebook selbst sind eng verknüpft. Der Betreiber beabsichtigt eine Besucherstatistik zu bekommen, um die Werbemaßnahmen optimieren zu können. Facebook nutzt die Daten um das Soziale Netzwerk werbemäßig besser nutzen zu können.
Es kann nicht argumentiert werden, dass der Betreiber den Vertragsinhalt nicht beeinflussen kann, und daher nur entweder annehmen oder ablehnen kann. Der Betreiber der Facebook-Fanpage kann sich (freiwillig) entschließen, eine Vertragsbeziehung einzugehen oder nicht. Er kann entscheiden, ob er eine Facebook-Fanpage betreiben möchte oder nicht. Durch die Entscheidung eine Facebook-Fanpage einzurichten, und sich den Nutzungsbedingungen zu unterwerfen, werden die Vertragsbestimmungen „aus freien Stücken“ angenommen und übernimmt der Betreiber auch die volle Verantwortung dafür. Ein etwaiges Ungleichgewicht zwischen Anbieter und Empfänger einer Dienstleistung hat keinen Einfluss auf die Beurteilung, ob jemand „Verantwortlicher“ iSd Datenschutz-RL ist, oder nicht. (so auch die Art. 29-DS-Gruppe).
Es ist nicht notwendig, dass der Verantwortliche die umfassende Kontrolle über alle Gesichtspunkte der Verarbeitung ausüben kann. In der Praxis wird eine derartige Kontrolle immer weniger, da die Verarbeitungen komplexer werden (mehrere Verarbeitungen, mehrere beteiligte Verarbeiter, Umfang der Verarbeitung).
Es gibt – nach Ansicht des Generalanwaltes – keinen großen Unterschied zwischen einem Facebook-Betreiber und einem Website-Betreiber, der auf seiner Homepage direkt ein Webtracking-Tool einbindet und ohne Wissen der Nutzer die Übermittlung von Daten, das Setzen von Cookies und die Erhebung von Daten zugunsten eines Webtracking-Dienstleisters unterstützt.
Schlussfolgerung des Generalanwaltes
„[Daher] … ist der Betreiber einer Fanpage im sozialen Netzwerk Facebook neben Facebook Inc. und
Facebook Ireland meines Erachtens als für die Verarbeitung personenbezogener Daten, die im Hinblick auf die Erstellung von diese Seite betreffenden Besucherstatistiken erfolgt, Verantwortlicher
anzusehen.“
(Aussage des Generalanwaltes, Schlussantrag
am 24.10.2017, C-210/16, RZ 77)
Kommentar schreiben