Facebook Seiten Betreiber sind verantwortlich für Datenschutz

Der Europäische Gerichtshof („EuGH“) hat vorgestern in einem viel beachteten Rechtsstreit (auf Vorlage des Bundesverwaltungsgerichts) zwischen der Wirtschaftsakademie Schleswig -Holstein und dem Unabhängigen Landeszentrum für Datenschutz („ULD“) entschieden, dass auch ein Betreiber einer Facebook Fan-Seite (zusammen mit Facebook) Datenschutzrechtlich verantwortlich sei.

Die Entscheidung hat weitreichende Konsequenzen und sollte von allen, die eine Facebook Fan-Seite betreiben, beachtet und umgesetzt werden.

Denn neben einer Impressumspflicht (§ 5 TMG) müssen Betreiber einer Facebook Fan-Seite auch an die Pflicht zur Veröffentlichung einer Datenschutzerklärung denken (§ 13 TMG bzw. Art. 13 bzw. Art. 14 DSGVO). Dies galt auch bisher. Allerdings ist nun weiter zu überlegen (siehe dazu am Ende), wie mit der Entscheidung umzugehen ist.

Hintergrund – worum geht es?

Das ULD hat angeordnet, dass die Fan-Page der Wirtschaftsakademie deaktiviert wird, da weder Facebook noch die Wirtschaftsakademie die Nutzer darüber informiert haben, dass beim Aufruf der Fan-Page Daten Cookies platziert werden, die Informationen in den Browsern der Nutzer speichern, die jeweils einen eindeutigen Benutzercode enthalten, der für zwei Jahre aktiv ist.

Der Benutzercode kann mit den Anmeldedaten der Facebook Nutzer verknüpft und statistisch ausgewertet werden.

Warum ist auch der Fan-Seiten Betreiber verantwortlich?

Der Fan-Seiten Betreiber enthält von Facebook über die Funktion Facebook Insights verschiedene anonymisierte statistische Daten kostenfrei übermittelt. Jedoch beruht – so der EuGH – diese Übermittlung auf der Erhebung von Daten über die gesetzten Cookies und die Auswertung für statistische Zwecke.

Die Fanseite gibt dem Betreiber die Möglichkeit, die Cookies sowohl dann zu platzieren, wenn derjenige ein Facebook-Konto hat als auch dann, wenn dieser über kein Konto verfügt. Der Fan-Seiten Betreiber kann zudem eine Parametrisierung entsprechend dem Zielpublikum vornehmen, z.B. indem dieser über Filter definiert, anhand welcher Kriterien die Statistiken erstellt und welche Kategorien von Personen ausgewertet werden sollen.

Wie ist das Urteil umzusetzen?

Das ist schwierig. Denn der Betreiber muss die Nutzer über Dinge informieren, die Facebook bisher nicht eindeutig offenlegt, nämlich wie die Daten seitens Facebook ausgewertet werden.

Es bleibt abzuwarten, wie sich Facebook verhält. Betreiber einer Fan-Page sollten jedoch diese Diskussion jedenfalls erstmal dazu nutzen und überprüfen, ob auf der Fan-Seite eine Datenschutzerklärung vorhanden ist, diese auch der DSGVO entspricht und sich dann überlegen, wie eine eigene Haftung (Datenschutzrechtliche Verantwortlichkeit) minimiert werden kann.