Der EuGH hat zu Facebook Fanpages entschieden, dass der Betreiber einer solchen Fanpage neben Facebook Inc. und Facebook Irland für die Datenverarbeitung mit verantwortlich ist (C-210/16, Urteil vom 05.06.2018). Hintergrund ist, dass Facebook das Verhalten der Besucher von Fanpages trackt und diese Informationen teilweise den Betreibern der Fanpages als Statistiken zur Verfügung stellt. Diese „Insight“ genannte Funktion lässt sich nicht abschalten.
Die Schleswig-Holsteinische Landesdatenschutzbehörde ULD hatte im Jahr 2011 der Wirtschaftsakademie Schleswig Holstein aufgegeben, ihre Fanpage abzuschalten. Daraufhin begann ein jahrelanger Rechtsstreit durch drei Instanzen der Verwaltungsgerichte. Das Bundesverwaltungsgericht legte dem EuGH Fragen vor, die zu dem jetzigen Urteil geführt haben. Die ULD und die in der „Datenschutzkonferenz“ zusammengeschlossenen Bundes- und Landesdatenschutzbehörden haben daraufhin Pressemitteilungen veröffentlicht, wie sie sich den rechtskonformen Betrieb von Fanpages vorstellen.
Kernpunkte sind transparente Informationen über die Datenerhebung (Tracking) durch Facebook, das Einholen einer Einwilligung (per Click oder Checkbox) vor Beginn des Trackings und der Abschluss eines Vertrags zwischen dem Betreiber der Fanpage und Facebook, in dem die gemeinsame Datenverarbeitung geregelt wird.
Facebook hat am 15. Juni angekündigt, es werde „die notwendigen Schritte unternehmen, um es den Seitenbetreibern zu ermöglichen, ihren rechtlichen Verpflichtungen nachzukommen“ und seine Nutzungsbedingungen aktualisieren. Weiter Informationen finden Sie <link https: de.newsroom.fb.com news ein-update-fuer-betreiber-von-facebook-seiten _blank external-link-new-window external link in new>hier. Konkrete Informationen enthält die Ankündigung jedoch nicht.
Ein Vertrag über eine gemeinsame Datenverarbeitung (gDV) nach Art. 26 DS-GVO ist bei gemeinsamer Verarbeitung verpflichtend. Wird kein Vertrag geschlossen, kann eine gemeinsame Verarbeitung mit erheblichen Bußgeldern bestraft werden. Gemeinsame Verarbeiter haften nach außen beide auch für die Verarbeitung durch den jeweiligen anderen Verarbeiter, müssen Anfragen von Betroffenen beantworten können und müssen transparent über die gemeinsame Verarbeitung informieren.
Anmerkung: Ein rechtskonformer Betrieb von Fanpages ist danach derzeit nicht möglich. Unternehmen mit Facebook Fanpages sollten abwägen, ob sie ihre Fanpage vorübergehend deaktivieren oder das ggf. leicht erhöhte Risiko des Erhalts von Abmahnungen in Kauf nehmen und abwarten, welche Lösung Facebook vorschlägt. Ob die Facebook-Lösung den Anforderungen der deutschen Datenschutzbehörden genügen wird, bleibt abzuwarten offen. Eine Zwischenlösung kann sein, in einer eigenen Datenschutzerklärung soweit wie möglich die Funktionsweise von Facebook Insight zu beschreiben und dazu auf die Funktionsbeschreibung von Facebook hier zu verlinken.
Weitere Informationen:
<link http: curia.europa.eu juris _blank external-link-new-window external link in new>Urteil
<link https: www.datenschutzzentrum.de artikel _blank external-link-new-window external link in new>Pressemitteilung des ULD (Unabhängiges Landeszentrum für Datenschutz, Schleswig-Holstein)
<link https: www.datenschutzzentrum.de uploads facebook _blank external-link-new-window external link in new>Entschließung der Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder