EuGH-Urteil: Betreiber von Facebook-Seiten sind mitverantwortlich

Co-Autor:innen: Mag. Sabine Brunner, LLB.oec.; Mag. Rafael Linus Nagel

Informationspflichten sind auch von den Fanpage-Betreibern zu erfüllen.

Am 5. Juni 2018 sorgte der Europäische Gerichtshof (EuGH) mit einem aktuellen Urteil[1] für Aufsehen: Nach der Auffassung des Gerichtshofs sind Betreiber einer Facebook-Fanpage gemeinsam mit Facebook zur Erteilung der datenschutzrechtlichen Informationen verpflichtet.

Die Hintergründe dazu für Sie in Kürze:

Die Wirtschaftsakademie Schleswig-Holstein ist Betreiberin einer Facebook-Fanpage zur Bewerbung ihrer Bildungsdienstleistungen. Mithilfe der Funktion Facebook Insights, die Facebook den Betreibern unabdingbar kostenfrei zur Verfügung stellt, werden auf Basis sogenannter „Cookies“, die mitunter einen für zwei Jahre aktiven Benutzercode beinhalten, (auch personenbezogene) Daten gesammelt. Auf Basis der erhobenen Daten kann Facebook den Betreibern entsprechende Auswertungen zum Nutzungsverhalten der Fanpage-Besucher zur Verfügung stellen.

Im November 2011 ordnete das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein mit Bescheid gegenüber der Wirtschaftsakademie die Deaktivierung ihrer Fanpage an. Das Landeszentrum verwies dabei auf die fehlenden Informationen zur Verarbeitung personenbezogener Daten.

Die Wirtschaftsakademie erhob Klage beim Verwaltungsgericht (Deutschland) und machte u.a. geltend, dass ihr die Verarbeitung personenbezogener Daten durch Facebook (Irland) nicht zugerechnet werden könne.

Vor diesem Hintergrund ersuchte das Bundesverwaltungsgericht (Deutschland) den EuGH in einem Vorabentscheidungsverfahren u.a. um Klärung der Frage zur gemeinsamen Verantwortlichkeit beim Betrieb einer derartigen Seite.

In seinem Urteil befindet der EuGH unter anderem, dass Betreiber einer Facebook-Fanpage in der Union gemeinsam mit Facebook Irland für die fragliche Verarbeitung personenbezogener Daten als verantwortlich anzusehen sind.

Ein solcher Betreiber sei nämlich durch die von ihm durchgeführte Parametrierung (u.a. entsprechend seinem Zielpublikum sowie den Zielen der Steuerung oder Förderung seiner Tätigkeiten) an der Entscheidung über die Zwecke und Mittel der Verarbeitung der personenbezogenen Daten der Fanpage-Besucher verantwortlich.

Das Urteil ist insoweit beachtlich, als bisher Betreiber von Facebook-Fanpages nicht von einer solchen gemeinsamen Verantwortlichkeit ausgegangen sein dürften und die Verantwortlichkeit daher primär bei Facebook gesehen wurde.

——————————

Ist Ihr Unternehmen bereits auf die neuen Anforderungen im Datenschutz vorbereitet? Wir unterstützen Sie gerne mit folgenden Leistungen:

• Individuelle Erstberatung und Status-Quo-Analyse Ihres Unternehmens
• Unterstützung bei der Erstellung eines Datenverarbeitungsverzeichnisses
• Unterstützung bei der Durchführung von Datenschutz-Folgenabschätzungen
• Erstellung von
  • Interfirm-Agreements
  • Auftragsverarbeitervereinbarungen mit Dienstleistern
  • Datenschutzerklärungen für den Web-Auftritt
  • Einwilligungserklärungen
  • Informationsblätter gemäß Art. 13 und Art. 14 DSGVO
  • Geheimhaltungserklärungen für Mitarbeiter
  • Vorlagen für die Meldung von Datenschutzverletzungen
  • v.m.
• Begleitende Unterstützung bei konkreten Fragestellungen in der Implementierungsphase
• Stellung eines externen Datenschutzbeauftragten
• Anwaltliche Begleitung vor Behörden und Gerichten

[1] EuGH, Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein vs. Wirtschaftsakademie Schleswig-Holstein GmbH, C-210/16, 05. Juni 2018.