EuGH: Mithaftung von Facebook-Fanpage-Betreibern

Ein Unternehmen bietet Bildungsdienstleistungen über eine auf Facebook unterhaltene Fanpage an. Über eine solche Fanpage ist es mittels der Funktion »Facebook Insight« möglich, anonymisierte statistische Daten betreffend die Nutzer dieser Seite zu erhalten. Diese Daten werden mit Hilfe sogenannter Cookies gesammelt. Das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein (ULD) erließ gegen das Unternehmen einen Bescheid und forderte es darin auf, seine Fanpage zu deaktivieren, da weder es noch Facebook die Besucher der Fanpage darauf hinwiesen, dass Facebook mittels Cookies sie betreffende personenbezogene Daten erhebe und diese Daten danach verarbeite. Das Unternehmen kam dem nicht nach. Nach erfolglosem Widerspruch ging es gerichtlich gegen den Bescheid vor. Während das Verwaltungsgericht und Oberverwaltungsgericht ihm jeweils Recht gaben, legte das Bundesverwaltungsgericht dem EuGH mehrere Fragen zur Auslegung der Datenschutzrichtlinie (RL 95/46/EG) vor.

Gemeinsam verantwortlich für personenbezogene Daten

Der EuGH stellt zunächst klar, dass in erster Linie die Facebook Inc. und Facebook Ireland über die Zwecke und Mittel der Verarbeitung der personenbezogenen Daten der Facebook-Nutzer und der Fanpage-Besucher entscheiden und somit unter den Begriff des »für die Verarbeitung Verantwortlichen« im Sinne von Art. 2 lit. d der Datenschutzrichtlinie fallen.

Darüber hinaus fasst der EuGH aber auch die Betreiber von Fanpages unter diese Vorschrift, weil sie auf Grund der von ihnen erstellten Parametrierung an der Entscheidung über die Zwecke und Mittel der Verarbeitung der personenbezogenen Daten der Fanpage-Besucher beteiligt sind. Das Gericht gelangt somit zu einer gemeinsamen Verantwortlichkeit von Facebook Ireland und Betreibern von Fanpages für die Verarbeitung der personenbezogenen Daten

Gemeinsam verantwortlich heißt nicht gleichwertig verantwortlich

Zugleich weist der EuGH darauf hin, dass das Bestehen einer gemeinsamen Verantwortlichkeit nicht zwangsläufig eine gleichwertige Verantwortlichkeit der verschiedenen Akteure zur Folge hat, die von einer Verarbeitung personenbezogener Daten betroffen sind. Vielmehr können diese Akteure in die Verarbeitung personenbezogener Daten in verschiedenen Phasen und in unterschiedlichem Ausmaß einbezogen sein.

Es bleibt abzuwarten, wie das Bundesverwaltungsgericht mit den Vorgaben des EuGH in seiner Entscheidung umgehen wird.

Autor:

Stelios Tonikidis, Rechtsassessor

Lesetipp:

»DGSVO offensiv durchsetzen« - Interview mit Prof. Peter Wedde zu den Auswirkungen der Facebook-Datenschutzlücken in »Computer und Arbeit« (CuA) 5/2018 ab Seite 6.