Facebook-Fanpage – datenschutzkonform?

Wichtiges EuGH-Urteil vom 05. Juni 2018

Der Gerichtshof der Europäischen Union (EuGH) entschied am 5. Juni 2018 (Az. C‑210/16), dass eine gemeinsame Verantwortlichkeit der Betreiber einer sog. Facebook-Fanpage und Facebook Irland besteht. Die Große Kammer des Gerichtshofs stellte fest, dass der Betreiber einer auf Facebook unterhaltenen Fanpage an der Entscheidung über die Zwecke und Mittel der Verarbeitung der personenbezogenen Daten der Besucher seiner Fanpage beteiligt ist. Daher ist der Betreiber gemeinsam mit Facebook Irland für diese Verarbeitung Verantwortlicher im Sinne von Art. 2 Buchst. d der Richtlinie 95/46 einzustufen.

Urteil betrifft auch die aktuelle DSGVO

Das Urteil des EuGH erging zur Richtlinie zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (Richtlinie 95/46/EG) und damit zur „alten“ Rechtslage. Die Rechtsauffassung des EuGH findet jedoch auch unter Geltung der DSGVO Anwendung.

Die DSGVO enthält in Art. 26 eine Regelung zur gemeinsamen Verantwortlichkeit. Hiernach müssen gemeinsam Verantwortliche in einer Vereinbarung in transparenter Form festlegen, wer von ihnen welche Verpflichtung gemäß der DSGVO erfüllt, insbesondere was die Wahrnehmung der Rechte der betroffenen Person angeht, und wer welchen Informationspflichten gemäß den Artikeln 13 und 14 nachkommt (Art. 26 Abs. 1 Satz 2 DSGVO).

Facebook-Ergänzung derzeit wohl unzureichend

Mit einer „Seiten-Insights-Ergänzung bezüglich des Verantwortlichen“ will Facebook den Anforderungen des Art. 26 DSGVO gerecht werden (die Ergänzung ist unter https://www.facebook.com/legal/terms/page_controller_addendum abrufbar).

Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) betrachtet jedoch diese Vereinbarung als unzulänglich. In der Positionierung vom 01.04.2019 wurde hierzu wie folgt ausgeführt: „Diese von Facebook veröffentlichte „Seiten-Insights-Ergänzung bezüglich des Verantwortlichen“ erfüllt nicht die Anforderungen an eine Vereinbarung nach Art. 26 DSGVO. 

Insbesondere steht es im Widerspruch zur gemeinsamen Verantwortlichkeit gemäß Art. 26 DSGVO, dass sich Facebook die alleinige Entscheidungsmacht „hinsichtlich der Verarbeitung von Insights-Daten“ einräumen lassen will. Die von Facebook veröffentlichten Informationen stellen zudem die Verarbeitungstätigkeiten, die im Zusammenhang mit Fanpages und insbesondere Seiten-Insights durchgeführt werden und der gemeinsamen Verantwortlichkeit unterfallen, nicht hinreichend transparent und konkret dar.“

DSK: Datenschutzkonformer Betrieb einer Fanpage derzeit nicht möglich!

Zusammenfassend stellt die DSK fest, dass derzeit „ein datenschutzkonformer Betrieb einer Fanpage nicht möglich“ ist. Der Betrieb einer Fanpage ist somit mit Risiken verbunden, insbesondere da Verstöße gegen die DSGVO bekanntlich bußgeldbewehrt sind.

Eigene Datenschutzerklärung muss angepasst werden!

Kann aus wirtschaftlichen Gründen auf den Betrieb einer Fanpage nicht verzichtet werden, sollte zumindest der wesentliche Inhalt der „Seiten-Insights-Ergänzung“ von Facebook in die eigene Datenschutzerklärung implementiert werden. Zudem sollte im Infobereich der Fanpage die eigene Datenschutzerklärung verlinkt werden.

 (c) Rechtsanwalt Sven Schmiedel