Datenschutzrecht: Facebook reagiert auf Fanpage-Urteil

DSGVO-konformer Betrieb einer Fanpage nun möglich?

Ein Beitrag von Desiree Szitnick

Noch im Juni hatte der Europäische Gerichtshof (EuGH) Betreibern von Fanpages bei Facebook eine datenschutzrechtliche Mitverantwortlichkeit zugesprochen. Jetzt reagiert Facebook mit veränderten Datenschutzregeln auf die gemeinsame Verantwortlichkeit von Social Media und Seitenbetreibern. Der Konzern hofft damit den Vorschriften der Datenschutzgrundverordnung (DS-GVO) zu entsprechen und damit endlich aus den negativen Schlagzeilen zu kommen.

EuGH legt gemeinsame Verantwortlichkeit fest

Am 05.06.2018 urteilten die Luxemburger Richter (Az.: C-210/16) im Fall der Facebook-Fanpages. Es ging dabei um die Frage, ob auch der Betreiber einer Fanpage auf Facebook für die Datenverarbeitung im Zusammenhang mit seiner Website verantwortlich ist.

Mithilfe der Fanpages kann der Konzern eine Vielzahl von personenbezogenen Daten erfassen und auswerten. Diese Verarbeitung von sogenannten Insights-Daten wird durch die Platzierung von Cookies bei den Besuchern der Fanpage ermöglicht. Die Seitenbetreiber hatten zwar selbst keinen direkten Zugang zu den so gesammelten Daten, erhielten von Facebook aber dennoch statistische Daten zu den Seitenbesuchern. Dass Seitenbetreibern daher auch eine datenschutzrechtliche Mitverantwortlichkeit treffe, war das Ergebnis des Urteils vom Juni 2018.

Nicht allein Social Media in der Pflicht

Laut dem EuGH sei eine Mitverantwortlichkeit insbesondere damit zu begründen, dass erst das Betreiben der Fanpage es Facebook überhaupt ermögliche, Datenerhebungen vorzunehmen. Außerdem könne der Seitenbetreiber durch bestimmte Parameter auf die Datenerhebung Einfluss nehmen. Dass die Seitenbetreiber nur mittelbar und damit nicht im gleichen Umfang wie Facebook auf die gesammelten Daten zugreifen können, ändere an einer Mitverantwortlichkeit nichts. Im Ergebnis sei es gerechtfertigt, die Verantwortung für die Einhaltung datenschutzrechtlicher Bestimmungen nicht allein auf Facebook abzuwälzen.

Mit dieser Entscheidung hatte der EuGH nach einem jahrelangen Streit insbesondere deutschen Datenschützern entsprochen. Diese hatten bemängelt, dass den Nutzern von Seitenbetreibern nicht aufgezeigt werde, dass ihre Daten erhoben und später für zielgerichtete Werbung genutzt werden. Die Entscheidung erging jedoch noch zum alten Datenschutzrecht. Es ist jedoch zu vermuten, dass die europäische Rechtsprechung diese Grundsätze auch unter Anwendung der DSGVO annehmen wird.

Datenschutzkonferenz macht Druck

Doch das Urteil bewirkte zunächst – nichts. Viele Betreiber von Fanpages fragten sich, ob der Betrieb einer solchen Seite überhaupt noch legal möglich ist. Nachdem sich Facebook gut drei Monate nicht von dem Luxemburger Urteil beeindrucken ließ, reagierte die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (Datenschutzkonferenz). Am 5. September 2018 erließ die DSK einen Beschluss und kündigte an, nunmehr an Facebook und die Betreiber von Fanpages heranzutreten und Fragen zur Datenverarbeitung zu stellen. Doch dazu kam es schlussendlich nicht, denn Facebook reagierte wenige Tage nach Erlass des Beschlusses doch.

Facebook passt eigene Datenschutzregeln an

Facebook hat nun auf die Entscheidung des EuGH reagiert und seine eigenen Datenschutzregeln für Seitenbetreiber angepasst und ergänzt. Die neuen Regelungen sollen insbesondere sicherstellen, dass eine Rechtsgrundlage für die Verarbeitung der Insights-Daten, gemessen an der europäischen DS-GVO, geschaffen wird. Zudem soll festgehalten werden, dass sowohl Facebook, als auch die Seitenbetreiber gemeinsam verantwortlich für die Datenerhebung und Verarbeitung sind.

Die Folgen nach der Datenschutzgrundverordnung

Nach den Vorschriften der DS-GVO hat die Feststellung des Gerichtes nun auch praktische Folgen. Bei einer gemeinsamen Verantwortlichkeit fordert die DS-GVO beispielsweise eine Vereinbarung zwischen gemeinsam Verantwortlichen, wie die Pflichten aus der DS-GVO in Zukunft zu erfüllen sind (Art. 26 Datenschutzgrundverordnung). Zudem können Betroffene ihre Rechte aus der DS-GVO auch bei und gegenüber jedem der Verantwortlichen geltend machen. Auch fordern die Datenschutzbestimmungen, dass betroffenen Nutzern der Fanpages Informationen über die Erhebung ihrer Daten bereitgestellt werden.

Facebook wird nun durch die neuen Bestimmungen versuchen, den datenschutzrechtlichen Anforderungen gerecht zu werden. Auch die Seitenbetreiber sollen so in eine Position versetzt werden, den ihnen obliegenden Pflichten nach der DS-GVO nachzukommen. Ob diese Ziele in Zukunft tatsächlich eingehalten werden können, wird sich aber wohl erst noch zeigen.