Analyse zum EuGH-Urteil: Kein Grund, Facebook-Seiten zu schließen
Laut EuGH sind Betreiber von Facebook-Fanseiten für den Datenschutz mitverantwortlich. Das ist kein Grund, in Panik zu verfallen, analysiert Thomas Schwenke.
(Bild: TY Lim/Shutterstock.com)
Es fällt derzeit schwer, mit den Entwicklungen im Datenschutzrecht mitzukommen. Wenn sich Experten über die Auslegung der Regeln der DSGVO streiten und Datenschutzbehörden mit Onlinekonzernen Kräfte messen, fällt es schwer, den Überblick zu behalten. Das Urteil des Europäischen Gerichtshofs (EuGH) zur datenschutzrechtlichen Mitverantwortung für Facebook-Seiten dürfte das Gefühl der Unsicherheit auf eine neue Ebene gehoben haben (C-210/16). Denn die Entscheidung kann auf die Nutzung aller sozialen Netzwerke, die Einbettung von Videos, die Nutzung von Onlinemarketing-Tools oder von Messengern wie WhatsApp übertragen werden. Plötzlich soll man für die Datenverarbeitungen einer Vielzahl von Anbietern mithaften.
Das Ziel dieses Beitrags ist es jedoch nicht, Ihnen Angst vor möglichen Folgen zu machen. Ganz im Gegenteil ist sein Zweck, Ihnen die Angst zu nehmen und das Unbehagen zu mildern. Die Voraussetzung ist jedoch, dass Sie die rechtlichen Hintergründe und die Geschichte des Urteils kennen.
Die Untersagung von Facebook-Seiten war eine Notlösung
Der Europäische Gerichtshof hatte darüber zu entscheiden, ob die datenschutzrechtliche Aufsichtsbehörde aus Schleswig-Holstein (ULD) einer von den IHK in Schleswig-Holstein beauftragten Wirtschaftsakademie den Betrieb einer Facebook-Seite im Jahr 2011 untersagen durfte.
Zur damaligen Zeit wurde die Behörde von Thilo Weichert geleitet, dessen Engagement für den Datenschutz und gegen Facebook berüchtigt war. Dabei störte sich die Behörde damals wie heute vor allem an mangelnder Transparenz der Verarbeitung sowie Speicherung von Interessens- und Verhaltensprofilen der Nutzer zum Einsatz für Werbe und Marktforschungszwecke.
Allerdings konnte die Behörde nicht direkt gegen Facebook vorgehen, da für Facebooks EU-Niederlassung irische Datenschutzbehörden zuständig sind. Daher griff das ULD zu einer an sich einfachen aber effektiven Überlegung.
Datenschutz mit Bauernopfern
Wenn lokale Unternehmen und öffentlich-rechtliche Stellen für Facebooks Verarbeitung der Nutzerdaten verantwortlich wären, dann könnte die Behörde ihnen die Facebook-Nutzung untersagen. Dadurch könnte sie zwar Facebook immer noch nicht die Datenverarbeitung untersagen. Aber sie könnte die Schließung von Facebook-Seiten anordnen und so dem Unternehmen zur Verfügung stehende Daten und die Mittel zu deren Verarbeitung wegnehmen.
Um datenschutzrechtlich verantwortlich zu sein, müssten die Betreiber der Facebook-Seiten jedoch über die Mittel und Zwecke von Facebooks Datenverarbeitung mitentscheiden können. Das erscheint zunächst fernliegend, aber nur, wenn man unter "Mitentscheiden" bloß an die Beteiligung an den laufenden Verarbeitungsprozessen denkt. Das ULD setzte jedoch viel früher an.
Die Behörde erklärte, dass bereits mit der Entscheidung über die Frage, ob eine Facebook-Seite angelegt wird, eine Entscheidung über Mittel und Zwecke der Verarbeitung fällt. Damit seien die Betreiber von Facebook-Seiten mitverantwortlich und das ULD dürfe Ihnen den Betrieb der Facebook-Seiten untersagen. Dieser Gedanke erscheint nicht unlogisch, führte jedoch zuerst nicht zum Erfolg.
Die anfänglichen Niederlagen der Datenschutzbehörde
Nachdem Facebook die Nutzung der Facebook-Seite der Wirtschaftsakademie der IHK untersagte, wehrte sich diese und zog vor Gericht. Die Wirtschaftsakademie meinte unter anderem, dass sie nur Zugriff auf anonyme Statistiken der Facebook-Seiten, sogenannte Insights, hat. Daraus können zwar demografische Daten wie zum Beispiel die Alters- oder Geschlechterverteilung der Besucher der Facebook-Seite abgelesen werden. Jedoch nur als zusammengefasste und damit anonyme Prozent-Werte. Auch haben Betreiber von Facebook-Seiten sonst keine Einwirkungs- oder Kontrollrechte. Mithin entscheiden sie nicht über Mittel und Zwecke der Verarbeitung und seien nicht verantwortlich.
Nachdem die unteren Gerichte der Wirtschaftsakademie Recht gaben, das ULD jedoch Rechtsmittel dagegen einlegte, landete der Fall schließlich vor dem Bundesverwaltungsgericht (BVerwG).
Da die Verantwortlichkeit in der damals geltenden EU-Datenschutzrichtlinie geregelt war, legte das BVerwG diese Frage dem EuGH zur Entscheidung vor. Dieses Verfahren soll sicherstellen, dass der Datenschutz in der EU einheitlich ausgelegt wird (die Regelung der Verantwortlichkeit findet sich im Art. 4 Nr. 7 der DSGVO wortgleich wieder, weswegen das Urteil auch auf die neue Rechtslage anwendbar sein könnte). Vor dem EuGH wendete sich das Glück vorerst zugunsten des ULD.
EuGH bestätigt die Ansicht der Datenschutzbehörde
Der EuGH schloss sich vollumfänglich der Argumentation des ULD an. Die Richter begründeten ihre Entscheidung damit, dass Datenschutzvorschriften darauf abzielen, die Privatsphäre betroffener Personen umfassend zu schützen. Dazu gehört auch, dass die datenschutzrechtliche Verantwortlichkeit sehr weitreichend zu verstehen ist.
So soll es laut dem EuGH für die (Mit-)Verantwortlichkeit ausreichen, dass Betreiber von Facebook-Seiten zwar anonyme, aber vorteilhafte Informationen erhalten. So können sie zum Beispiel die Altersverteilung oder Standortangaben nutzen, um ihre Marketingmaßnahmen gezielter einzusetzen.
Kurz zusammengefasst sagte der EuGH, dass es bei der Verarbeitung personenbezogener Daten keine Vorteile ohne Verantwortung gibt. Nun liegt es an dem Bundesverwaltungsgericht, zu entscheiden, wie weit diese Verantwortung reicht. Dabei könnte das Gericht entscheiden, dass das ULD zwar 2011 Recht hatte, 2018 aber nicht mehr.
Der Fall ist noch nicht erledigt
Der EuGH hat nur entschieden, dass Betreiber von Facebook-Seiten mitverantwortlich sind und die Datenschutzbehörde den Betrieb einer Facebook-Seite untersagen könnte. Ob sie es in dem konkreten Fall auch tatsächlich durfte, muss das Bundesverwaltungsgericht prüfen.
Dazu muss das Gericht zum einen feststellen, dass Facebook gegen die Datenschutzvorschriften verstieß. Darauf soll an dieser Stelle nicht vertieft eingegangen werden. Aber die bisherige Tendenz der Rechtsprechung gegen Facebook spricht dafür, dass auch das BVerwG Datenschutzverstöße annehmen könnte.
Diese Prüfung könnte sich das Gericht jedoch ersparen, wenn es entscheiden würde, dass das ULD zwar 2011 gegen die Betreiber von Facebook-Seite hätte vorgehen können, aber jetzt nicht mehr. Das wäre der Fall, wenn die Datenschutzbehörde den "Umweg" über die Betreiber der Facebook-Seiten nicht mehr benötigen würde, um sich gegen Facebook zu richten. Darauf setzt anscheinend auch die Wirtschaftsakademie laut der Stellungnahme der IHK zum Urteil und könnte damit sehr gut recht haben.
Die Niederlage könnte sich in einen Sieg wandeln
Um zu verstehen, warum das ULD als zunächst scheinbar klarer Verlierer doch als Gewinner vom Platz gehen könnte, muss man auf die zwischenzeitlich erfolgte Rechtsprechung des EuGH gegen Google blicken (C‑131/12). 2014 entschied der EuGH, dass auch eine spanische Niederlassung von Google datenschutzrechtlich in Verantwortung genommen durfte, obwohl sie selbst keine Daten verarbeitete. Ausreichend war es, dass die Dependance das inländische Anzeigengeschäft verwaltete und dieses mit der Datenverarbeitung verquickt war.
Auf dieses Urteil hat der EuGH auch in dem Fall der der Wirtschaftsakademie verwiesen und öffnete eine Möglichkeit, Betreiber von Facebook-Seiten aus der Schusslinie zu nehmen.
Bauernopfer sind nicht mehr nötig
Das Verfahren begann damit, dass die Datenschutzbehörde nach einer Möglichkeit suchte, gegen Facebook vorgehen zu können. Daher wollte sie sich gegen die Facebook-Betreiber als "Bauernopfer" richten. Eine Behörde muss bei der Auswahl ihrer "Gegner" jedoch ermessensgerecht handeln. Das bedeutet, sie muss aus den ihr zu Verfügung stehenden Möglichkeiten und Adressaten ihrer Maßnahmen, die für die Beteiligten mildeste Alternative wählen. Das zumindest solange diese gleich wirksame Ergebnisse versprechen.
Nach meiner Ansicht spricht vieles dafür, dass das ULD sich zuerst gegen die Facebook Deutschland GmbH richten, beziehungsweise sich an die Hamburger Kollegen wenden müsste. Denn in Hamburg sitzt die Facebook Germany GmbH. Sie verarbeitet zwar keine Daten, betreut aber das Anzeigengeschäft in Deutschland. Sie in die Verantwortung zu nehmen, erscheint zumindest nicht abwegig. Auch Google lenkte 2014 nach dem Urteil gegen Google Spain ein.
Ferner sei noch angemerkt, dass das Oberverwaltungsgericht zudem meinte, statt einer Untersagung hätte zuerst eine Umgestaltung der Facebookseite angeordnet werden müsste. Zumindest als Möglichkeit, da es nicht ausgeschlossen ist, dass Facebook diese Forderung beachten könnte (Az. 4 LB 20/13). Auch diesen Gedanken könnte das BVerwG zu Ungunsten des ULD aufgreifen.
Keep calm and carry on
Zusammengefasst halte ich es für verfrüht, Facebook-Seiten oder gar alle Social-Media-Accounts alleine aufgrund dieses Urteils zu löschen. Wenn, dann sollten Sie sie derzeit offline nehmen und abwarten, wie sich die Lage entwickelt. Als wirtschaftlich agierendes Unternehmen sollten Sie ohnehin abwägen, ob sich angesichts der Unwägbarkeiten der Verlust der Facebook-Seite lohnt.
Auch bei öffentlichen Stellen wie Behörden sehe ich daher einen weiteren Betrieb der Facebook-Seiten (beziehungsweise Gruppen oder sonstiger externe Online-Präsenzen) im gleichen Maße wie bisher als zulässig an. Wenn ihnen die Datenschutzbehörde als zuständige Aufsichtsbehörde die Nutzung der Facebook-Seiten nicht untersagen darf, dann trifft die öffentlichen Stellen auch keine Pflicht, von sich aus tätig zu werden.
Deshalb können wir zum einen davon ausgehen, dass Datenschutzbehörden die Entscheidung des BVerwG abwarten werden, bevor sie sich gegen weitere Facebook-Betreiber richten. Datenschutzbehörden sind zumindest nach meiner Erfahrung bemüht, fair und ermessensgerecht zu handeln. Dazu würde es nicht passen, das Ende eines Musterprozesses nicht abzuwarten.
Ebenso denke ich nicht, dass dem Urteil eine Abmahnungswelle folgen wird. Dafür ist die Rechtslage auch für die Abmahnenden zu unsicher, sodass es für sie vernünftig wäre, den Ausgang des Verfahrens abzuwarten. Dass die Gefahr durch das EuGH-Urteil höher geworden ist und es schwarze Schafe geben wird, die sie ausnutzen, ist leider nicht ganz auszuschließen. Das ist jedoch weniger dem Datenschutzrecht, als dem deutschen Abmahnwesen anzukreiden.
Privatpersonen haben ohnehin wenig zu befürchten. Zum einem könnten Sie sich darauf berufen, dass das Datenschutzrecht nicht anwendbar ist, da sie ihre Facebook-Seiten oder Profile nur zu rein persönlichen und familiären Zwecken nutzen dürfen. Zum anderen können sie allenfalls von deren Besuchern abgemahnt werden. Auch dies ist nach bisheriger Erfahrung sehr unwahrscheinlich.
Es könnte sich alles zum Guten wenden
Am Ende könnte sich alles zum Guten wenden. Die Datenschutzbehörden gehen gegen Facebook vor, Facebook passt die eigene Verarbeitung an, wird transparenter und bietet eine Möglichkeit, die Insights für Facebooks-Seiten abzuschalten oder den Nutzern eine Option Facebook ohne Werbetracking zu verwenden.
Hinweise zum Artikel:
Die dargestellten Rechtsansichten sind die des Autors. Er verweist darauf, dass das Datenschutzrecht in großen Teilen ein umkämpftes und ungeformtes Politikum ist. Das bedeutet wiederum, dass auf dem Weg zu einem möglichst gerechten Datenschutz jede Ansicht hinterfragt werden kann und hinterfragt werden sollte. Ferner stellt der Beitrag die wichtigsten Aspekte des Urteils dar und nicht dessen erschöpfende Würdigung. Zu beachten ist vor allem, dass die Verantwortlichkeit für Facebook-Seiten eine Vielzahl von Pflichten mit sich bringt (Informationspflichten, Auskunftspflichten, etc.), zu deren Übernahme sich Facebook entsprechend den Regelungen für gemeinsame Verantwortlichkeit im Art. 26 DSGVO vertraglich bereit erklären sollte.
Beide Optionen könnte Facebook gegen eine Gebühr anbieten und so etwaige Umsatzverluste vermeiden oder sogar den Gewinn erhöhen. Damit wären alle Parteien zufrieden. Unternehmen und öffentliche Stellen könnten ihre Facebook-Seiten ohne Angst vor Datenschutzbehörden und Abmahnungen nutzen, das ULD hätte Facebook zum Einlenken bewegt und Facebook hätte eine neue Einnahmequelle erschlossen.
Dass damit die Datenschutzbemühungen zu einer Kommerzialisierung des Datenschutzes geführt hätten, könnte sich als der Treppenwitz der Bemühungen der Datenschützer entpuppen. Das ist jedoch eine Frage für sich, die nicht minder heiß diskutiert werden wird wie das besprochene EuGH-Urteil.
Dass ein Unbehagen bleibt oder bis zur Entscheidung des Bundesverwaltungsgerichts vertagt wird, müssen wir leider hinnehmen. Es ist gewissermaßen der Preis derzeitiger technischer und gesellschaftlicher Veränderungen und der Vorteile, die sie uns bringen. Es liegt nun in der Hand der Gerichte, der Datenschutzbehörden, vor allem in der Hand von Facebook, diesen Preis gering zu halten. (mho)
