Neues zum Datenschutzrecht
30.7.2019
EuGH: Neue Entscheidung zur gemeinsamen Verantwortlichkeit („Like“-Button von Facebook)
Betreiber einer Website, die einen „Like“- bzw. „Gefällt mir“-Button von Facebook einbinden, sind für das Erheben und Übermitteln der personenbezogenen Daten ihrer Website-Besucher an Facebook gemeinsam mit Facebook verantwortlich. Aus dieser gemeinsamen Verantwortlichkeit folgt insbesondere auch eine Informationspflicht des Website-Betreibers in Bezug auf das Erheben und Weitergeben der personenbezogenen Daten an Facebook. Diese Informationen wie z.B. der Zweck der Verarbeitung sind den Website-Besuchern zum Zeitpunkt der Datenerhebung zu geben. Das hat der EuGH am 29.7.2019 entschieden (EuGH, Urt. v. 29.7.2019, Az. C-40/17, „Fashion ID“).
Der Entscheidung lag folgender Sachverhalt zugrunde: Ein deutscher Online-Modehändler (Fashion ID) hat in seine Website den „Like“-Button von Facebook eingebunden. Dadurch werden beim Aufruf der Website die personenbezogenen Daten der Website-Besucher an Facebook Irland übermittelt. Diese Datenübermittlung erfolgt ohne, dass sich die Website-Besucher dessen bewusst sind und unabhängig davon, ob sie Mitglied von Facebook sind oder den „Like“-Button anklicken. Die Verbraucherzentrale NRW warf Fashion ID vor, unzulässig zu handeln, da personenbezogene Daten der Website-Besucher ohne deren Einwilligung und unter Verstoß gegen die datenschutzrechtlichen Informationspflichten an Facebook Irland übermittelt werden. Das in der Berufungsinstanz mit der Sache befasste OLG Düsseldorf setzte das Verfahren aus und legte dem EuGH mehrere Fragen zur Auslegung des europäischen Datenschutzrechts vor. Das EuGH-Urteil erging zwar zur Rechtslage unter der Datenschutzrichtline von 1995 (Richtlinie 95/46/EG), ist aber auf die DSGVO übertragbar.
Der EuGH bejaht eine gemeinsame Verantwortlichkeit des Betreibers der Website mit dem „Like“-Button und Facebook. Es sei unerheblich, dass der Website-Betreiber nach der Datenübermittlung mittels des Social Plugins an Facebook gar keinen Zugriff mehr auf die personenbezogenen Daten habe. Es reiche bereits, dass der Website-Betreiber durch Einbindung des „Like“-Buttons die Datenübermittlung an Facebook ermögliche und selbst von der durch den Klick auf den „Like“-Button generierten Werbung profitiere. Auf diese Weise entschieden Fashion ID und Facebook gemeinsam über die Zwecke und Mittel der Datenverarbeitung und erreichen – jeweils für sich – einen wirtschaftlichen Vorteil.
Damit führt das Gericht seine Rechtsprechung zur gemeinsamen Verantwortlichkeit fort, der ein relativ weiter Ansatz zugrunde liegt. Bereits am 5.6.2018 entschied der EuGH in dem Verfahren ULD S-H / Wirtschaftsakademie Schleswig-Holstein GmbH (Az. C-210/16), dass eine gemeinsame Verantwortlichkeit auch im Verhältnis zwischen dem Social Media-Dienste-Anbieter Facebook und dem Betreiber einer Fanpage auf der Plattform von Facebook vorliegen kann – zumindest, wenn dabei wie im konkreten Fall eine Funktion zum Einsatz kommt, mit der Daten der Fanpage-Besucher erhoben und an Facebook übermittelt wurden (Facebook Insight).
Der EuGH macht in seiner aktuellen Entscheidung aber deutlich, dass die gemeinsame Verantwortlichkeit sich nur auf die Phasen der Verarbeitung erstreckt, für die tatsächlich die Voraussetzungen einer gemeinsamen Verantwortlichkeit vorliegen. Das setzt eine gemeinsame Entscheidung über Zwecke und Mittel der Verarbeitung voraus. Für die weitere Verarbeitung durch Facebook ist Facebook allein verantwortlich, da der Betreiber der Website mit dem „Like“-Button nicht über Zwecke und Mittel dieser weiteren Phasen der Verarbeitung entscheidet.
Darüber hinaus hat der EuGH einzelne Aspekte der gemeinsamen Verantwortlichkeit beim Einsatz von Social Plugins konkretisiert. So muss die gesetzlich vorgeschriebene Information über die Verarbeitung (Art. 13 DSGVO) durch den Website-Betreiber erfolgen, soweit sie die Phasen betrifft, für die ein gemeinsame Verantwortlichkeit besteht. Soweit diese Phasen der Verarbeitung auf Basis einer Einwilligung erfolgt, muss diese Einwilligung vor Erheben und Weitergabe der Daten vom Website-Betreiber eingeholt werden. Allerdings zeigt der EuGH auch, dass eine rechtmäßige Datenverarbeitung gegebenenfalls auch zur Verwirklichung eines berechtigten Interesses des Website-Betreibers erfolgen kann, was im Einzelfall zu prüfen ist.
Sollten Sie Fragen zu der gemeinsamen Verantwortlichkeit, dem Einsatz von Social Plugins und anderen datenschutzrechtlichen Themen haben oder insoweit Unterstützung benötigen, können Sie mich gerne kontaktieren.