Neues zum Datenschutzrecht
24.2.2023
BfDI untersagt Bundesregierung den Betrieb ihrer Facebook-Fanpage
Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) hat das Bundespresseamt angewiesen, den Betrieb der Facebook-Fanpage der Bundesregierung einzustellen. Darüber hat der BfDI in einer Pressemitteilung vom 22.2.2023 informiert. Darin nimmt der BfDI auch Bezug auf die Feststellungen und Bewertungen des Kurzgutachtens zur Datenschutzrechtskonformität des Betriebs von Facebook-Fanpages vom 10.11.2022 (dazu s. Datenschutz-News v. 24.3.2022). Dieses Dokument folgte auf das EuGH-Urteil vom 5.7.2018, wonach Betreiber von Facebook-Fanpages gemeinsam mit Facebook datenschutzrechtlich verantwortlich sind (Rs. C-210/16, „Wirtschaftsakademie“), sowie die darauf folgende Rechtsprechung des vorlegenden Bundesverwaltungsgerichts vom 11.9.2019 (Az. 6 C 15.18) und des Oberverwaltungsgerichts Schleswig-Holstein vom 25.11.2021 (Az. 4 LB 20/13) mit dem ein Schlusspunkt unter den jahrelangen Rechtsstreit zwischen dem ULD Schleswig-Holstein und der Wirtschaftsakademie Schleswig-Holstein GmbH gesetzt wurde (s. Datenschutz-News v. 12.9.2019 und 24.3.2022).
Inhalt des BfDI-Bescheids
Nach Auffassung des BfDI ist dem Bundespresseamt bislang nicht der Nachweis gelungen, dass die Verarbeitung personenbezogener Daten in Einklang mit den gesetzlichen Vorgaben steht. Als Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO müsse das Bundespresseamt aber nachweisen können, dass die Verarbeitung datenschutzrechtskonform ist. Das folge aus der Rechenschaftspflicht gem. Art. 5 Abs. 2 DSGVO. Nach Einschätzung der Datenschutzaufsichtsbehörde besteht eine gemeinsame Verantwortlichkeit für die Verarbeitung der bei Nutzung der Fanpage erhobenen personenbezogenen Daten vom Bundespresseamt als Betreiber der Fanpage auf der einen und Meta Platforms Ireland Limited (früher Facebook Ireland Limited) auf der anderen Seite, da sich deren Interessen ergänzten.
Nach dem Ergebnis der aufsichtsbehördlichen Prüfung fehlt es bislang an einer wirksamen Rechtsgrundlage für die Datenverarbeitung gem. Art. 6 Abs. 1 DSGVO im Rahmen des Betriebs der Facebook-Fanpage der Bundesregierung.
Zudem werde die nach den Vorschriften des TTDSG notwendige Einwilligung für den Einsatz nicht unbedingt erforderlicher Cookies und ähnlicher Trackingtechnologien nicht wirksam eingeholt. Damit werde gegen § 25 Abs. 1 Satz 1 TTDSG verstoßen. Danach ist die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf Informationen, die bereits in der Endeinrichtung gespeichert sind, nur zulässig, wenn der Endnutzer auf der Grundlage von klaren und umfassenden Informationen einwilligt. Die Voraussetzungen für die gem. Art. 25 Abs. 2 Nr. 1 TTDSG grundsätzlich mögliche Ausnahme, dass die Speicherung oder der Zugriff unbedingt erforderlich ist, damit der Anbieter eines Telemediendienstes einen vom Nutzer ausdrücklich gewünschten Telemediendienst zur Verfügung stellen kann, liegt nach Ansicht des BfDI nicht vor.
Für jeden der drei vorgenannten Verstöße hat der BfDI das Bundespresseamt gem. Art. 58 Abs. 2 lit. b DSGVO verwarnt und zudem die weitere Verarbeitung personenbezogener Daten, also den Weiterbetrieb der Fanpage untersagt.
Fazit und Ausblick
Das Bundespresseamt hat zur Einstellung des Betriebs der Fanpage vier Wochen Zeit und kann innerhalb dieses Zeitraums auch dagegen vorgehen.
Der 44-seitige Bescheid ist hier abrufbar und durchaus eine Lektüre wert. Das gilt nicht nur für die Begründung der getroffenen Maßnahmen (Anordnung der Untersagung, also Verbot der Verarbeitung, und Verwarnung) statt milderer Abhilfemaßnahmen wie z.B. eine Anweisung, die Verarbeitungsvorgänge auf bestimmte Weise innerhalb eines bestimmten Zeitraums DSGVO-konform zu gestalten (Art. 58 Abs. 2 lit. d DSGVO), sondern gerade auch für die aktuelle Sichtweise der Datenschutzaufsichtsbehörden auf die gemeinsame Verantwortlichkeit und die rechtskonforme Umsetzung der entsprechenden Vorgaben gem. Art. 26 DSGVO sowie die Anforderungen an eine rechtswirksame Einwilligung.
Der BfDI setzt das um, was er zusammen mit den Landesbeauftragten für den Datenschutz in einem Beschluss der Datenschutzkonferenz vom 23. März 2022 angekündigt hatte: Die Behörden wollen auf der Grundlage des Kurzgutachtens aufsichtsbehördlich tätig werden und sich hierbei zunächst auf die öffentlichen Stellen konzentrieren. Dieses Statement schließt es jedoch nicht aus, dass auch Unternehmen und sonstige nicht-öffentliche Stellen Adressat von aufsichtsbehördlichen Untersuchungs- und Abhilfemaßnahmen werden können. Facebook-Fanpage-Betreiber müssen sich weiterhin des Risikos bewusst sein, Adressat einer aufsichtsbehördlichen Handlung und von der Aufsicht in die Pflicht genommen werden zu können.
Sollten Sie Fragen zur Nutzung von Facebook-Fanpages, dem Einsatz von Social Plugins auf Websites oder zu sonstigen datenschutzrechtlichen Themen haben oder insoweit Unterstützung benötigen, können Sie mich gerne kontaktieren.
Zurück zur Übersicht