BVerwG zur Verantwortlichkeit für Facebook-Fanpage: Eine Handlungsempfehlung

Durch ein neues Urteil des Bundesverwaltungsgericht wird die Debatte um Facebook-Fanpages wieder angefacht. Was wurde im neuen Urteil beschlossen?

Mit einem neuen Urteil des Bundesverwaltungsgerichts (BVerwG) vom 11.09.2019 wird die Debatte um Facebook Fanpages neu entfacht. In diesem hat das Gericht entschieden, dass der Betreiber einer Fanpage sie bei schwerwiegenden datenschutzrechtlichen Mängeln nach Aufforderung durch die Datenschutzbehörde abschalten muss. Wir besprechen das Urteil und geben Handlungsempfehlungen zur datenschutzkonformen Nutzung von Facebook Fanpages.

Was passierte bisher im Fanpage-Rechtsstreit?

2011 hatte das Unabhängige Landeszentrum für Datenschutz (ULD) die Wirtschaftsakademie Schleswig-Holstein zur Abschaltung ihrer Fanpage aufgefordert. Sie begründete dies damit, dass dort eine unzulässige Verarbeitung personenbezogener Daten (insbesondere mittels Cookies) stattfinde. Besucherdaten werden von Facebook für Werbung und zur Bereitstellung sogenannter Seiten-Insights (Besucherstatistiken und -profile) genutzt.

Die Wirtschaftsakademie klagte gegen diesen Bescheid und hatte vor dem Schleswig-Holsteinischen Verwaltungsgericht zunächst Erfolg. Anschließend ging dieser Rechtsstreit jedoch weiter durch die Instanzen bis zum BVerwG, das dem Europäischen Gerichtshof (EuGH) schließlich Vorlagefragen im Rahmen des Vorabentscheidungsverfahrens zur Auslegung des Datenschutzrechts vorlegte.

Am 05.06.2018 hatte der EuGH dann ein Grundsatzurteil (Az.: C-210/16) zur gemeinsamen Verantwortlichkeit gefällt. Darin machte das Gericht klar, dass Facebook und der Betreiber der Fanpage gemeinsam für die dortige Datenverarbeitung verantwortlich sind.

Begründet wurde dies damit, dass auch der Betreiber einen Beitrag zur Entscheidung über Zwecke und Mittel der Datenverarbeitung leiste. Denn er könne durch die von Facebook erhobenen Daten insbesondere seine eigenen Tätigkeiten auf der Fanpage an die Zielgruppe passender steuern und fördern (sog. Parametrierung). Er mache die Datenverarbeitung gerade erst möglich, indem er die Fanpage einrichte und betreibe.

Was hat nun das BVerwG zu Fanpages entschieden?

Im aktuellen Urteil entschied das BVerwG (Az.: 6 C 15.18), dass für die Datenverarbeitung auf einer Fanpage deren Betreiber und Facebook gemeinsam verantwortlich sind. Damit hat das Gericht direkt auf das EuGH-Urteil reagiert und dieses umgesetzt.

Ausgehend davon kam das BVerwG jedoch auch zu dem Schluss, dass der Betreiber auch verpflichtet werden kann, die Fanpage abzuschalten, wenn die Datenverarbeitung auf dieser rechtswidrig ist. Bei gemeinsamen Verantwortlichen könne bei der Auswahl desjenigen, an den man sich wendet, nach dem Prinzip der Effektivität vorgegangen werden.

Hierzu führte das BVerwG aus, dass es unsicher sei, sich mit der Aufforderung zur Abschaltung an Facebook zu wenden, da es an einer entsprechenden Kooperationsbereitschaft fehle. Deshalb sei es zur zügigen und wirkungsvollen Durchsetzung des Datenschutzrechts möglich, den Betreiber direkt zur Abschaltung aufzufordern, wenn die Datenverarbeitung auf der Fanpage rechtswidrig sei. Dies könne beispielsweise der Fall sein, wenn die digitale Infrastruktur von Facebook gravierende datenschutzrechtliche Mängel aufweise.

Ob die Verarbeitung der Daten tatsächlich rechtswidrig war, musste das BVerwG jedoch nicht beantworten. Diese Frage klärt nun wieder das Schleswig-Holsteinische Oberverwaltungsgericht, an das der Rechtsstreit zurückverwiesen wurde.

Was können Fanpage-Betreiber nun tun?

Als Fanpage-Betreiber sollte man – spätestens jetzt – überprüfen, ob man für den Betrieb der Fanpage bereits die grundlegenden Anforderungen im Rahmen der gemeinsamen Verantwortlichkeit erfüllt. Hierzu müssen die oben beschrieben Informationen ausgehend von der Vereinbarung mit Facebook mitgeteilt werden. Man muss sie schnell auffindbar auf der Fanpage platzieren und/oder entsprechend auf die eigene Website verlinken, auf der darüber informiert wird.

Solange kein Gericht über die Rechtsgrundlage zum Betrieb einer Fanpage geurteilt hat, kann dieser auf ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO gestützt werden. Eine Rechtsgrundlage muss auf jeden Fall genannt werden, auch wenn man als Fanpage-Betreiber selbst wenig Einfluss darauf hat, wie Facebook die Daten verarbeitet. Dabei sollte auch darüber informiert werden, wie die durch Facebook erhaltenen statistischen Daten helfen, die Fanpage zu optimieren und zu verbessern. Im Übrigen sollte daneben stets auf die passenden Datenschutzhinweise von Facebook verwiesen werden.

Im Hinterkopf muss man dabei behalten, dass die Datenschutzkonferenz (DSK) in ihren Stellungnahmen zu Tracking (Nachverfolgen des Nutzerverhaltens) im Allgemeinen und dem Betrieb einer Fanpage im Speziellen eine restriktive Position vertritt. Insbesondere zu Tracking verlangt sie eine Einwilligung als Rechtsgrundlage. Wie eine Einwilligung beim Besuch einer Fanpage eingeholt werden soll, ist jedoch unklar. Abschließend gerichtlich entschieden ist ein etwaiges Einwilligungserfordernis ebenfalls noch nicht.

Bei der Beurteilung der Frage, ob die Nutzung einer Fanpage datenschutzkonform und welche Rechtsgrundlage der Datenverarbeitung zugrunde zu legen ist, ist zu beachten, dass sich die von der Datenverarbeitung betroffenen Personen aktiv und freiwillig dazu entscheiden, eine Fanpage zu besuchen, und insofern selbst die dortige Datenverarbeitung initiieren.

Facebook Fanpages sind wichtig für die Außendarstellung eines Unternehmens sowie um den Kontakt zu Kunden und Interessenten aufzubauen und zu halten, etwa durch direkte Nachrichten oder der Beantwortung von Kommentaren. Darüber hinaus dienen sie dazu, Kunden und Interessenten über aktuelle Entwicklungen und Produkte zu informieren, etwa durch das Teilen von Beiträgen. Dabei kann die Datenverarbeitung zu diesen Zwecken bei Unternehmen auch oft zur Vertragsanbahnung oder zur Erfüllung vertraglicher Pflichten auf Art. 6 Abs. 1 lit. b DSGVO gestützt werden. Im Übrigen kann man sich jedoch auch auf ein berechtigtes Interesse beziehen.

Insbesondere die werbliche Ansprache ist ein legitimes berechtigtes Interesse eines Unternehmens, ebenso wie die Optimierung und Verbesserung einer Fanpage und des dortigen Angebots mithilfe statistischer Daten. Alternativen zu Facebook Fanpages sind aufgrund der hohen Verbreitung wohl eher nicht ersichtlich. Sie sind insofern ein unverzichtbares Instrument des Marketings im Wettbewerb. Zudem erwarten nicht zuletzt auch Kunden und Interessenten, dass ein Unternehmen auch in sozialen Netzwerken präsent ist.

Es gibt also viele gute Gründe, die für die Zulässigkeit der Datenverarbeitung auf Facebook Fanpages sprechen.

Um Risiken bei der Nutzung einer Fanpage trotzdem zu minimieren, sollte man die grundlegenden Pflichten umso ernster nehmen.

Fazit

Das Schleswig-Holsteinische Oberverwaltungsgericht hat nach dem Urteil des BVerwG nun über die Rechtmäßigkeit der Verarbeitung personenbezogener Daten auf Fanpages zu entscheiden. Bis es soweit ist, kann der Betrieb einer Fanpage unserer Ansicht nach insbesondere auf ein berechtigtes Interesse gestützt werden. Jedoch müssen die Pflichten im Rahmen der gemeinsamen Verantwortung besonders beachtet werden. Sollte es beim Thema Fanpages weitere Neuigkeiten geben, werden wir natürlich darüber berichten.