Betreiber einer Facebook-Fanpage sind mitverantwortlich
Kaum haben sich die ersten Wogen rund um den Start der neuen Datenschutz-Grundverordnung (DS-GVO) ein wenig geglättet, da sorgt ein bestätigtes Urteil des Europäischen Gerichtshofs (EuGH) bei den zahlreichen Betreibern einer Facebook-Fanpage für zusätzliche Unruhe.
Die unklare Nutzung von Daten durch und auf Facebook ist Datenschützern und auch dem EuGH schon seit mehreren Jahren ein Dorn im Auge. So führte jetzt ein entsprechendes Verfahren im Juni 2018 zu dem richtungsweisenden Urteil, dass neben Facebook auch die Betreiber einer Facebook-Unternehmensseite für die Verarbeitung der Daten von Besuchern verantwortlich sind.
Die Datenschutzkonferenz (DSK), als Gremium der unabhängigen deutschen Datenschutzaufsichtsbehörden des Bundes und der Länder, bezog zu diesem Urteil Stellung und forderte von Facebook und Fanpage-Betreibern eine entsprechende Vereinbarung. Facebook kündigte eine zügige Anpassung der Nutzungsbedingungen für Seiten-Betreiber an, rührte sich dann aber nicht mehr. Stattdessen mehrten sich im Internet die Empfehlungen an Unternehmen, ihre Fanpages vollständig vom Netz zu nehmen.
Holprige Suche nach einer Vereinbarung
Das Urteil des Europäischen Gerichtshofs, verschiedene Stellungnahmen der DSK sowie eine fehlende Antwort von Facebook führten zu weiteren Unsicherheiten bei den Betreibern von Unternehmensseiten. Am 05.09.2018 veröffentlichte die DSK in einem Beschluss konkrete Vorgaben für die Betreiber und mahnte eine Vereinbarung über die gemeinsame Verantwortlichkeit nach Art. 26 DSGVO an. Fehle eine solche Vereinbarung – dann sei der Betrieb einer Facebook-Fanpage rechtswidrig.
Durch diesen Beschluss sah sich Facebook gezwungen zu reagieren und veröffentlichte kurz darauf ergänzende Vertragsbedingungen, unter dem Titel „Seiten-Insights-Ergänzung bezüglich des Verantwortlichen“ (Page Controller Addendum).
Über die Funktion „Insights“ erhalten Fanpage-Betreiber von Facebook bereitgestellte Daten, die statistische Auswertungen über die Besucher ihrer Seite ermöglichen. Die erweiterten Vertragsbedingungen legen nun fest, dass die Seitenbetreiber und Facebook gemeinsam datenschutzrechtlich Verantwortliche für die Verarbeitung von Insights-Daten sind.
Aktueller Stand der Vereinbarung
Die ergänzende Vereinbarung, die der Fanpage-Betreiber zu akzeptieren hat, sieht neben der Insights-Regelung vor, dass auf der Seite ein für die Datenverarbeitung Verantwortlicher zu benennen ist. Angaben zum verantwortlichen Unternehmen und deren Datenschutzbeauftragten sollen zukünftig, einschließlich der Kontaktdaten, im Info-Bereich der Fanpage eingetragen werden.
Auch wenn Facebook die generellen Informationspflichten nach Art. 13 DSGVO übernimmt, müssen die Unternehmen nach wie vor über die Datenverarbeitungen informieren, die sie selbst durchführen. Ein entsprechender Passus in der Datenschutzerklärung für Facebook ist für Fanpage-Betreiber also weiterhin notwendig. Diese Erklärung ist auf der Facebook-Unternehmensseite über den Punkt „Datenrichtlinie“ im Infobereich einzubinden. Schließlich muss auch noch darauf verwiesen werden, dass Facebook für die übrigen Verarbeitungen zuständig ist.
Erhält der Betreiber einer Facebook-Fanpage in Hinblick auf die Verarbeitung von Insights-Daten eine Anfrage von einer betroffenen Person oder einer Aufsichtsbehörde, besteht nun eine Pflicht zur Weiterleitung sämtlicher relevanter Informationen. Diese sollen spätestens innerhalb von 7 Kalendertagen und mittels eines bereitgestellten Formulars an Facebook gesandt werden.
Facebook-Fanpage – abschalten oder nicht?
Die Nutzung von Facebook ist rechtlich gesehen zwar weiterhin noch nicht vollständig sicher, aber die neue Vereinbarung und eine erweiterte Datenschutzerklärung sind für Facebook-Fanpagebetreiber sowie auch Facebook-Nutzer schon ein deutlicher Schritt nach vorn.
Aus unserer Sicht als Agentur können Sie nach Umsetzung der Facebook-Anpassungen Ihre Facebook-Fanpage weiter betreiben.
Zu einer ähnlichen Erkenntnis kommt auch der Lübecker Fachanwalt für Informationstechnologierecht (IT) Herr Christian Schmidt, mit dem wir im Bereich Datenschutz für unsere Kunden eng zusammenarbeiten.
Hier das aktuelle Statement von Rechtsanwalt Christian Schmidt:
„Das Urteil des Europäischen Gerichtshofs (EuGH) hat für Klarheit gesorgt und das Bundesverwaltungsgericht, welches dem EuGH die Vorabanfrage gestellt hatte, wird den Ratschlag des EuGH mit aller Sicherheit in den ihm vorliegenden Rechtsfall zwischen dem Unabhängigen Landeszentrum für Datenschutz Schleswig-Holstein (ULD) und der Industrie- und Handelskammer zu Kiel (IHK) auch befolgen.
Facebook muss es akzeptieren, dass die datenschutzrechtlichen Uhren in Europa anders ticken und ein Stück weit sein Geschäftsmodell und seine Unternehmensphilosophie anpassen. Facebook muss und musste reagieren, um nicht womöglich einen großen Markt auf lange Sicht zu verlieren. Ob aber die derzeitigen datenschutzrechtlichen Informationen und Vereinbarungen zu den Insights-Daten den Vorgaben der Datenschutz-Grundverordnung tatsächlich genügen, ist unter den Datenschutzbehörden und in der Fachanwaltschaft weiterhin umstritten. Die Tendenz geht dahin, dass die Voraussetzungen durch Facebook noch nicht erfüllt wurden.
Es ist am Ende ein theoretischer Streit, in dem der einfache Unternehmer und Fansite-Betreiber das kleinste und schwächste Glied in einer Kette ist. Dies wird auch noch ein weiterer politischer Streit werden und bleiben, steht doch eine Gesetzesänderung an, die gewisse datenschutzrechtliche Verstöße wettbewerbsrechtlich „bagatellisiert“, d.h. dass ein Wettbewerber derartige Verstöße selbst nicht abmahnen kann.
Geht man pragmatisch an die Sache heran, wäre die Abschaltung der Facebook-Fanpage komplett unverhältnismäßig und als Lösung nur das letzte Mittel, solange nicht wirklich eine hundertprozentige Klarheit geschaffen wurde. Ich empfehle dagegen meinen Mandanten, die Vorgaben und Informationen, die es gibt, schlichtweg auch zu nutzen und innerhalb des jeweiligen Auftritts zu verwenden. Das bedeutet: Eine ordnungsgemäße Datenschutzerklärung auch für die eigene Facebook-Unternehmensseite vorhalten, auf die Bestimmungen und Vereinbarungen, die Facebook datenschutzspezifisch vorhält, hinweisen und verlinken. Transparent sein, wo man kann.
Der Unternehmer sollte im Rahmen seines Wissensstandes zumindest diejenigen Informationen anbieten, die er vorgeben und somit dem Nutzer vorhalten kann. Insofern macht er sich dann nicht deswegen angreifbar, sondern gesellt sich zu den Unternehmern, die reagiert haben, sich der aktuellen Rechts- und Faktenlage angepasst haben und sich gerade nicht vorwerfen lassen müssen, gar nichts getan zu haben. Denn eher die letztere Art stößt unangenehm auf und würde durch eine Datenschutzbehörde, die etwas gegen den Facebook-Fanpage-Auftritt hat, entsprechend geahndet werden.“
Gerne beraten wir Sie zu diesem Thema ausführlich und stehen Ihnen für Ihre Fragen zur Verfügung.
Bild: ©_Eisenhans_AdobeStock_207762257