Betrieb einer Facebook Seite ohne Datenschutzerklärung?

Am 05.09.2018 hat nun die Datenschutzkonferenz das Urteil des Europäischen Gerichtshofs vom Juni aufgegriffen und beschlossen, dass der Betreiber einer Fanpage mit dem entsprechenden sozialen Netzwerk (Facebook) eine Vereinbarung nach Art. 26 DSGVO (Vereinbarung über die gemeinsame Verantwortlichkeit) zu schließen hat; ansonsten sei der Betrieb der Fanpage rechtswidrig. Diese Vereinbarung soll vorsehen, wie die Pflichten zwischen den beiden Verantwortlichen verteilt werden sollen, d. h. wer hat bspw. Auskunft für was zu erteilen etc.

Was war damals passiert?

Am 05.06.2018 hat der Europäische Gerichtshof (EuGH) entschieden, dass der Betreiber einer Fanpage in einem sozialen Netzwerk für die Verarbeitung von personenbezogenen Daten der Besucher verantwortlich ist. Der Grund liegt darin, dass mithilfe der Funktion „Facebook Insight“, anonymisierte statische Daten der Seitennutzer eingesehen werden können, um für die Fans relevantere Inhalte bereitstellen zu können. Diese Funktion ist auch nicht abschaltbar. Hinzu kommt, dass die Fanpages auch von Dritten besucht werden können, deren Daten ebenfalls von Facebook erhoben und in den statistischen Daten bereitgestellt werden.

Bereits damals haben wir darüber aufgeklärt, dass durch das Urteil ein Vertrag zwischen Facebook und dem Fanpage-Betreiber zu schließen ist. In der Pflicht waren daher nun erst einmal v. a. die Fanpage-Betreiber (Zuckerberg & Co.).

Was heißt das nun für den Fanpage-Betreiber?

Das Urteil und die Entscheidung der Datenschutzkonferenz bezog sich zwar auf einen Facebook-Account. Das Urteil ist in der Argumentation auch auf andere Fanpages (LinkedIn, Instagram, Xing & Co.) übertragbar. Folglich unterliegen Fanpage-Betreiber

• Informationspflichten, d. h. es ist eine Datenschutzerklärung einzustellen,
• der Pflicht zur Gewährleistung der Betroffenenrechte (Auskunft, Datenübertragbarkeit etc.) und
• der Haftung nach DSGVO.

Wie haben die sozialen Netzwerke hierauf reagiert?

Von Facebook ist nun bekannt, dass ab nächster Woche (also ab 17.09.2018) alle Fanpage-Betreiber über Updates zu Business-Seiten, Gruppen, Veranstaltungen etc. informiert werden. Verträge zur gemeinsamen Verantwortlichkeit wurden bislang noch nicht von Facebook zur Verfügung gestellt. Allerdings hat Facebook nun zwischenzeitlich eine Auskunftsfunktion zur Verfügung gestellt, die von den Fanpage-Betreibern im Fall einer Anfrage durch Auskunftssuchende verwendet werden können. 

Die anderen Netzwerke haben bisher weder die Entscheidung aufgegriffen noch Hilfen zur Verfügung gestellt.

Was ist nun zu tun?

Nach unserer Meinung ist Panik erst einmal nicht angebracht. Warum?

1. Das Urteil des EuGH muss nun erst einmal im nationalen Gerichtsverfahren vor dem Bundesverwaltungsgericht umgesetzt werden. Wir hoffen, dass das Bundesverfassungsgericht konkrete Vorgaben zur Erfüllung der Informationspflichten macht.
2. Die Verantwortung liegt wohl hauptsächlich bei den sozialen Netzwerken. Diese sollten eine Vereinbarung zur Gemeinsamen Verantwortlichkeit einstellen und gewährleisten können, dass die Rechte der Betroffenen gewährleistet werden können.
3. Die Rechtslage ist auch für die Abmahnenden zu unsicher. Wer aufgrund der DSGVO abmahnt, kann sich derzeit evtl. selbst schaden (Boomerang-Effekt) oder riskiert, dass seine Abmahnung unwirksam ist, weil Verstöße gegen die DSGVO nicht abmahnbar sind.

Wir empfehlen vorläufig zur Reduzierung der Risiken, in Ihren Seiteninformationen in den Sozialen Medien einen „Datenschutzhinweis“ einzufügen, um damit zumindest Ihren Informationspflichten nachzukommen. Dieser Hinweis kann sich jedoch auf Ihre Datenverarbeitung beschränken.

Diejenigen, die kein Risiko eingehen möchten, können Ihre Seite stilllegen. Es wäre jedoch unserer Ansicht nach verfrüht, die Seite komplett zu löschen.

Bitte beachten Sie bei der Erstellung des Datenschutzhinweises: Es reicht ausdrücklich nach den Empfehlungen der Datenschutzkonferenz und auch nach Ansicht unter Juristen nicht aus, lediglich die Datenschutzinformation von Facebook zu posten. Sie müssen vielmehr Ihre Datenschutzinformation anhand der von Ihnen mitgetragenen Verantwortlichkeiten formulieren. 

Gerne stehen wir Ihnen bei der Erfüllung dieser Pflicht zur Verfügung. Wir bieten Datenschutzerklärungen sowohl für Facebook als auch für andere soziale Netzwerke (Instagram, Xing, Twitter etc.) sowie Hinweise zum Einbinden dieser Erklärungen bereits für einen Pauschalpreis an. Fragen Sie einfach unverbindlich an.

Hinweis: Es handelt sich um eine Rechtsansicht der Autorin. Das Datenschutzrecht ist jedoch ein ungeformtes Rechtsgebiet, das erst noch zahlreicher Entscheidungen und Praxis bedarf, um sicher gehen zu können. Wir bitten, dies bei der Lektüre zu beachten.