EuGH-Entscheidung: Betreibern einer Facebook-Fanpage

Das kürzlich veröffentlichte Urteil des Europäischen Gerichtshof (EuGH, Urteil v. 5.6.2018, C-210/16) im Fall Facebook hat für großes Aufsehen bei allen Beteiligten gesorgt. Die wichtigsten Erkenntnisse des Urteils werden an dieser Stelle erläutert.

Sachverhalt des Urteils

Der Europäische Gerichtshof (EuGH) hat im Rahmen eines Vorabentscheidungsverfahrens über die Verantwortlichkeit von Betreibern einer Facebook-Fanpage entschieden. Hintergrund des Urteils war ein Rechtsstreit zwischen der Wirtschaftsakademie Schleswig-Holstein (Betreiber) und dem unabhängigen Landeszentrum für Datenschutz Schleswig-Holstein (kurz: ULD). Das ULD hatte bereits im November 2011 ein aufsichtsbehördliches Verfahren gegen die Wirtschaftsakademie eingeleitet, da diese eine Facebook-Fanpage betrieb und dort Daten verarbeitete, ohne zuvor eine Einwilligung der Nutzer eingeholt und die erforderlichen Informationen zum Datenschutz (Unterrichtungspflicht gemäß § 13 Abs. 1 TMG) dargelegt zu haben. Das Verfahren wurde bis zum Bundesverwaltungsgericht (BVerwG, Beschluss v. 25.2.2016, 1 C 28.14) verhandelt, welches aufgrund europarechtlicher Fragen den EuGH um Vorabentscheidung (gem. Art. 267 AEUV) ersuchte.

Entscheidung des EuGH

Im Mittelpunkt der Entscheidung steht die Frage, ob ein Fanpage-Betreiber als (Mit-)Verantwortlicher im Sinne des Art. 2 lit. d der RL 95/46/EG gelten kann. Dazu müsste der Betreiber über Mittel und Zwecke der Datenverarbeitung entscheiden. Diese Verantwortlichkeit bejaht der EuGH nun in seiner Entscheidung und begründet dies wie folgt:

Die RL 95/46/EG bezweckt die Gewährleistung eines hohen Schutzniveaus für die Privatsphäre (vgl. Art. 1 Abs. 1). Die Einordnung eines Fanpage-Betreibers als (Mit-)Verantwortlicher ist demnach konsequent und trägt zum wirksamen Schutz der Betroffenen bei.
Der Fanpage-Betreiber bekommt Einblick in anonymisierte Nutzerstatistiken über das Tool „Facebook Insights“. Dabei hat er die Möglichkeit, die Statistiken durch das Setzen von Filtern zu individualisieren. Somit kann die Ansprache auf der Fanpage gezielt an bestimmte Personengruppen erfolgen. Nach Auffassung des Gerichts kann der Betreiber durch diese Möglichkeit die Mittel und Zwecke der Verarbeitung zumindest mitbestimmen und ist demnach für die Verarbeitung verantwortlich (vgl. Art. 2 lit. d RL 95/46/EG).
Die Tatsache, dass der Betreiber nur anonymisierte Nutzerdaten übermittelt bekommt, kann nicht zu einem Ausschluss der Verantwortlichkeit führen. Die RL 95/46/EG verlange nicht, dass alle für die Verarbeitung Verantwortlichen auch Zugang zu den ursprünglich verarbeiteten Daten haben müssten.

Auswirkungen für die Praxis

Grundsätzlich hat somit jeder Betreiber dafür Sorge zu tragen, dass die Betroffenen ausreichend über die Datenverarbeitung informiert und die Daten nur nach Einwilligung der Nutzer verarbeitet werden. Streng genommen sollten daher alle Fanpage-Betreiber ihre Auftritte löschen oder zumindest offline stellen, da die Einhaltung der Informationspflichten, sowie das Einholen einer wirksamen Einwilligung von jedem Webseitenbesucher (auch solche, die keine Facebook-Nutzer sind) für einen Betreiber ohne die Zuarbeit durch Facebook praktisch schlicht unmöglich ist.

Trotzdem empfiehlt es sich, zunächst keine voreiligen Entscheidungen zu treffen. Dies hat mehrere Gründe:

Der EuGH selbst verweist darauf, dass die für die Verarbeitung Verantwortlichen nicht gleichwertig zu beurteilen sind. Vielmehr richte sich der Grad der Verantwortlichkeit von Fanpage-Betreibern nach den Umständen des Einzelfalls.
Das eigentliche Urteil in diesem Fall steht noch aus. Die Entscheidung des EuGH erfolgte im Rahmen eines Vorabentscheidungsverfahrens, die endgültige Entscheidung im vorliegenden Fall trifft abschließend das BVerwG. Zwar kann nicht rechtswirksam eingeschätzt werden, welchen Ausgang der Fall beim BVerwG letztendlich nehmen wird. Trotzdem gibt es erste Einschätzungen und Vermutungen, dass das BVerwG die Revision des ULD abweisen wird (für nähere Informationen verweisen wir hier auf die Ausführungen von Dr. Thomas Schwenke, abrufbar unter https://www.heise.de/newsticker/meldung/Analyse-zum-EuGH-Urteil-Noch-kein-Grund-Facebook-Seiten-zu-schliessen-4069690.html?view=print, sowie auf die Stellungnahme der IHK Schleswig Holstein, abrufbar unter https://www.ihk-schleswig-holstein.de/recht/aktuelle-rechtsthemen/facebook-fanpage-eugh/4086290, jeweils abgerufen am 6.6.18).

Folgendes Vorgehen kann empfohlen werden:

1. Prüfen Sie, inwiefern Sie als Betreiber von Fanpages auf Facebook agieren.
2. Erstellen Sie eine Risikoabwägung: Können Sie auf den Betrieb der Fanpage verzichten?
3. Falls ja: Stellen Sie die Fanpage (zumindest vorübergehend) offline
4. Falls nein: Dokumentieren Sie Ihre Entscheidung und versuchen Sie, die Datenverarbeitung so transparent wie möglich zu gestalten. Achten Sie dabei insbesondere auf die Aktualität Ihrer Datenschutzerklärung!

Bei weiteren Fragen oder Anliegen stehen wir Ihnen gerne für Auskünfte zur Verfügung.