Geteilte Verantwortung bei beiderseitigem Interesse

EuGH-Entscheidung zum Datenschutz im Internet

Ein Beitrag von Desiree Szitnick

Nutzt der Verwender einer Website den „Gefällt mir“-Button von Facebook, trifft auch ihn eine Mitverantwortung bei der Erhebung und Übermittlung von personenbezogenen Daten seiner Nutzer. Der Europäische Gerichtshof (EuGH) hat in einer aktuellen Entscheidung die Verantwortlichkeit bei der Datenerhebung im Internet genauer unter die Lupe genommen.

Unerkannte Weitergabe an Facebook

Der Entscheidung des EuGH geht die Verwendung des „Gefällt mir“-Button von Facebook durch einen deutschen Online-Händler voraus. Die Betreiber der Website „Fashion ID“ hatten den von Facebook bekannten Button auf der eigenen Webseite eingebunden. Die hatte wohl zur Folge, dass die personenbezogenen Daten der Besucher beim Aufrufen der Fashion ID Website an Facebook Ireland übermittelt wurden – und das ohne Hinweis an den Besucher der Website. Diesem war damit nicht bewusst, dass seine Daten an Facebook gelangten, befand er sich doch auch nicht auf einer Website des sozialen Netzwerkes. Zudem erfolgte eine Ermittlung wohl unabhängig davon, ob der Besucher Mitglied des sozialen Netzwerkes war und auch unabhängig davon, ob der Button überhaupt benutzt wurde.

Die Folge: Personenbezogene Daten wären dann allein durch das Aufrufen der Website an Facebook weitergeleitet worden – und dies für den Nutzer unerkannt und außerhalb des eigentlichen Wirkbereiches von Facebook.

Die Verbraucherzentrale Nordrhein-Westfalen sah in diesem Vorgehen einen Verstoß gegen das Datenschutzrecht. Es handele sich um einen klaren Verstoß gegen das Internetrecht. Nun bat das in Deutschland für das Verfahren zuständige Oberlandesgericht Düsseldorf den EuGH um die Auslegung von europäischen Datenschutzvorschriften. 

Umstrittene Verantwortlichkeit im Internetrecht

Der EuGH hatte insbesondere die Verantwortlichkeit für die Datenerhebung und -weitergabe an Facebook zu klären. Die Frage war, ob der Händler ebenso in die Verantwortung genommen werden konnte, wie Facebook selbst.  

Der EuGH bejahte eine solche Verantwortlichkeit des Online-Händlers. Er sei für die Erhebung der Daten und die Weiterleitung neben Facebook ebenfalls als Verantwortlicher anzusehen.
Es könne davon ausgegangen werden, vorbehaltlich einer weiteren gerichtlichen Klärung, dass Fashion ID und Facebook Ireland gemeinsam über die Zwecke und Mittel der Erhebung der Daten entschieden haben. Damit könne sich der Online-Händler nicht einer eigenen Verantwortung entziehen, so der EuGH.

Eigenes Interesse begründet auch Pflichten

Insbesondere habe der Online-Händler an der Datenerhebung ein eigenes wirtschaftliches Interesse gehabt, so der EuGH. Durch die Einbindung des „Gefällt-mir“-Buttons sei es dem Online-Händler ermöglicht worden, im Gegenzug die Werbung für eigene Produkte auf Facebook zu optimieren. Ein erheblicher Vorteil für den Online-Händler. Im Ergebnis müsse daher zumindest von einem stillschweigenden Einverständnis des Unternehmens mit der Datenerhebung und –weitergabe an Facebook ausgegangen werden. Die wirtschaftlichen Interessen lagen damit nicht allein bei Facebook – auch der Online-Händler konnte von der Einbindung des Buttons profitieren. Dann treffen aber auch beide eine Verantwortlichkeit.

Allerdings reicht diese Verantwortlichkeit beim Online-Händler nur hinsichtlich der Datenerhebung und Weiterleitung. Eine Verantwortlichkeit für die weiteren Datenverarbeitungsvorgänge, die nach der Übermittlung von Facebook vorgenommen wurden, scheidet dagegen aus. Insoweit scheint es nach Ansicht des EuGH ausgeschlossen, dass der Online Händler einen tatsächlichen Einfluss auf die Datenverarbeitung gehabt habe (Urteil v. 29.07.2019; Az: C-40/17). Mit der Übermittlung der Daten an Facebook endet also auch die Mitverantwortung des Online-Händlers.