Letzte Rettung: Facebook-Fanpage löschen?

Die Aufregung war groß, als gestern das wegweisende Urteil des Gerichtshofs der Europäischen Union in der Rechtssache C-210/16 erging. Darin hat der EuGH entschieden, dass Betreiber von Facebook-Fanseiten gemeinsam mit Facebook für die Verarbeitung der personenbezogenen Daten der Besucher verantwortlich sind.

Das Urteil wird in den Medien heiß diskutiert. In zahlreichen Medienberichten wird von einer neuen Abmahnwelle gesprochen; Medienrechtsexperten gehen teilweise soweit, dass sie die Abschaltung der Fanpages derzeit als einzige rechtskonforme Lösung ansehen. Was steckt dahinter? Dieser Frage widmet sich der folgende Artikel.

Vorab sollte klargestellt werden, dass der EuGH keine Entscheidung darüber getroffen hat, dass Facebook-Fanpages in ihrer aktuellen Form rechtswidrig sind. Der Sachverhalt, der gestern vom EuGH entschieden wurde, stammt aus dem Jahr 2011. Die zu dieser Zeit geltende EU-Datenschutz-Richtlinie 95/46 wurde mit Einführung der Datenschutz-Grundverordnung am 25. Mai 2018 abgelöst. Dennoch wird man dem Urteil eine Signalwirkung für die Zukunft nicht absprechen können, weil die Definition des „Verantwortlichen“ in der alten Richtlinie und in der Datenschutzgrundverordnung nahezu identisch sind. Dennoch: Da die Datenschutzrichtlinie durch die DSGVO abgelöst wurde, kann die EuGH-Entscheidung nicht 1:1 auf bisherige Verfahren angewendet werden. Was feststeht, ist „lediglich“, dass derjenige, der fremde Dienste in sein Angebot einbindet, in Verantwortung gezogen werden kann.

Fraglich ist weiterhin, ob das Urteil tatsächlich sämtliche Fanpage-Betreiber tangiert. Denn liest man das Urteil des EuGH aufmerksam, wird man unweigerlich über einzelne Ausführungen stolpern, die darauf hindeuten, dass ein „passiver“ Fanpage-Betreiber, nämlich ein solcher, der die Seite lediglich als Präsenz nutzt, um seine Mitglieder über seine Angebote zu informieren, von dem Urteil überhaupt nicht betroffen ist.

Der EuGH führt in seiner Begründung u. a. aus, dass der Betreiber einer Fanpage mithilfe der von Facebook zur Verfügung gestellten Filter Kriterien festlegen könne, nach denen Facebook-Statistiken erstellt. Der Betreiber habe die Möglichkeit, einzelne Kategorien von Personen zu bezeichnen, deren personenbezogene Daten von Facebook ausgewertet werden sollen. So sei es dem Fanpage-Betreiber möglich, insbesondere demografische Daten über seine Zielgruppe zu erlangen, wie beispielsweise „Tendenzen in den Bereichen Alter, Geschlecht, Beziehungsstatus und berufliche Situation, Informationen über den Lebensstil und die Interessen seiner Zielgruppe und Informationen über die Käufe und das Online-Kaufverhalten der Besucher seiner Seite, die Kategorien von Waren oder Dienstleistungen, die sie am meisten interessieren, sowie geografische Daten, die ihn darüber informieren, wo spezielle Werbeaktionen durchzuführen oder Veranstaltungen zu organisieren sind, und ihm ganz allgemein ermöglichen, sein Informationsangebot so zielgerichtet wie möglich zu gestalten.“ Genau dies dürfte bei einer passiven Nutzung der Fanpage, d. h. ohne die Schaltung kostenpflichtiger personalisierter Werbung oder die Verwendung von Filtern aber gerade nicht der Fall sein. Dies ergibt sich bereits aus dem Urteil selbst, denn der EuGH führt abschließend aus:

„Unter diesen Umständen ist festzustellen, dass der Betreiber einer auf Facebook unterhaltenen Fanpage wie die Wirtschaftsakademie durch die von ihm vorgenommene Parametrierung u. a. entsprechend seinem Zielpublikum sowie den Zielen der Steuerung oder Förderung seiner Tätigkeiten an der Entscheidung über die Zwecke und Mittel der Verarbeitung der personenbezogenen Daten der Besucher seiner Fanpage beteiligt ist. Daher ist der Betreiber im vorliegenden Fall als in der Union gemeinsam mit Facebook Ireland für diese Verarbeitung Verantwortlicher im Sinne von Art. 2 Buchst. d der Richtlinie 95/46 einzustufen.“

[Hervorhebungen erfolgten nachträglich]

Unabhängig davon weist der EuGH explizit darauf hin, dass gemeinsam verantwortlich keine Verantwortung im Verhältnis 50:50 bedeute. Die Datenschutzaufsicht könne sich unmittelbar an Facebook wenden, ohne den Seitenbetreiber selbst in Anspruch zu nehmen. Insoweit stellt sich die Frage, ob das Vorgehen gegen einzelne Fanpage-Betreiber möglicherweise sogar unverhältnismäßig ist (so derzeit auch die IHK Schleswig-Holstein).

Dies wird die Vertreter der Abmahnindustrie möglicherweise nicht davon abhalten, aufgrund des ergangenen Urteils bereits jetzt kostenpflichtige Abmahnungen zu versenden, seien sie nun begründet oder unbegründet.

In den meisten Medienberichten bleibt unberücksichtigt, dass es sich bei dem Urteil um ein solches in einem Vorlageverfahren handelt. Bevor man also seine Fanpage entsprechend dem Rat vieler Kollegen abschaltet, sollte man sich bewusst machen, dass das Verfahren hier in Deutschland, und zwar vor dem Bundesverwaltungsgericht weitergeht. Das Bundesverwaltungsgericht hatte dem EuGH einzelne Grundsatzfragen zur Vorabentscheidung übermittelt und das Verfahren solange ausgesetzt. Der Fall geht nun an das Bundesverwaltungsgericht zurück, welches die vom EuGH beantworteten Fragen inhaltlich umzusetzen hat. Das heißt, das Bundesverwaltungsgericht hat zu entscheiden, ob mit dem Betreiben einer Facebook-Fanpage (automatisch) gegen Datenschutz verstoßen wird. Hierauf wird im Übrigen auch explizit in dem EuGH Urteil hingewiesen:

„Insoweit schließt offenbar jede Person, die eine Fanpage auf Facebook einrichten möchte, mit Facebook Ireland einen speziellen Vertrag über die Eröffnung einer solchen Seite und unterzeichnet dazu die Nutzungsbedingungen dieser Seite einschließlich der entsprechenden Cookie-Richtlinie, was zu prüfen Sache des nationalen Gerichts ist.“

[Hervorhebungen erfolgten nachträglich]

Für die Zukunft wird zu klären sein, welche Datenschutzpflichten von Facebook und welche von den Fanpage-Betreibern zu übernehmen sind. Insoweit ist kaum vorstellbar, dass Facebook aufgrund der Entscheidung des EuGH auf das Geschäft im Zusammenhang mit Fanpages verzichten wird. Deshalb wird Facebook wohl nicht umhinkommen, für eine gewisse Transparenz zu sorgen und den Seitenbetreiber darüber zu informieren, welche Daten wie gesammelt und verarbeitet werden.

Zu hoffen wäre, dass Facebook in naher Zukunft entsprechende Mustertexte zur Verfügung stellt, mit denen der Seitenbetreiber seine Informationspflichten erfüllen können wird.