Verantwortung von Facebook-Fanseitenbetreibern

Betreiber von auf Facebook gehostete Fanseiten sind für unzulässige Zusammenführung von personenbezogenen Daten zur Profilbildung mit zur Verantwortung zu ziehen. Relevant für FSRe und StuRa: das Gericht folgte dem dem Statement des Generalstaatsanwaltes, dies ist praktisch das Aus für die Facebookseiten, da das SächsDSG öffentlichen Aufgabenträgern (wie die Studentenschaft TU Dresden) eine Mitwirkung an Datenzusammenführungen ohne Einwilligung Betroffener untersagt. Weiterhin ist es Fanseiten-Betreibern nach aktuellem Stand (10.07.2019) nicht möglich, als Mitverantwortliche ihren Auskunftspflichten nachzukommen, da bis heute keine schriftliche Vereinbarungen zur Verarbeitung personenbezogener Daten durch Dritte (hier Seitenbetreiber ↔ facebook) abgeschlossen werden kann, der Umfang und der Verarbeitung personenbezogener Merkmale ungeklärt ist und kein Mechanismus implementiert wurde, die DS-GVO-konforme Einholung des Einverständnisses zur Datenverarbeitung vor Aufruf der Fanpage existiert.

Entweder müssen Soziale Medien sich an die in Europa geltenden Datenschutzvorschriften halten oder sie können nicht mitverantwortlich genutzt werden. Mögliche Vorteile bei der Öffentlichkeitsarbeit rechtfertigen jedenfalls keine Datenschutzverstöße.¹⁾

Die am 11.09.2018 seitens Facebook getätigten Änderung AGB bezüglich einer exklusiven Kenntnis der durch „Site-Insights“ erhobenen Daten und Algorithmen ist nach Beurteilung der Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder vom 01.04.2019 nicht mit geltendem Recht vereinbar. Daher werden auch nach dieser Änderung der Facebook-AGB Fanseitenbetreiber nicht ihren Auskunftspflichten nachkommen können ²⁾.

Am 11.09.2019 wurde in der eigentlichen Sache die Untersagung der Nutzung von Facebook-Fanseiten vom Bundesverwaltungsgericht Leipzig als zulässig beurteilt https://www.bverwg.de/de/pm/2019/62:

[…]
Um das von der Datenschutzrichtlinie bezweckte hohe Datenschutzniveau möglichst zügig und wirkungsvoll durchzusetzen, konnte sich der Beklagte bei der Auswahl unter mehreren datenschutzrechtlichen Verantwortlichen vom Gedanken der Effektivität leiten lassen und ermessenfehlerfrei die Klägerin für die Herstellung datenschutzkonformer Zustände bei Nutzung ihrer Fanpage in die Pflicht nehmen. Er musste nicht gegen eine der Untergliederungen oder Niederlassungen von Facebook vorgehen, weil das wegen der fehlenden Kooperationsbereitschaft von Facebook mit erheblichen tatsächlichen und rechtlichen Unsicherheiten verbunden gewesen wäre. Erweisen sich die bei Aufruf der Fanpage ablaufenden Datenverarbeitungen als rechtswidrig, so stellt die Deaktivierungsanordnung ein verhältnismäßiges Mittel dar, weil der Klägerin keine anderweitige Möglichkeit zur Herstellung datenschutzkonformer Zustände offensteht.
[..]

Bezüglich der aktuellen datenschutzrechtlichen Rechtslage gibt es weitere Beurteilungen:

Pressemitteilung der Bundesbeauftragten für den Datenschutz und die Informationsfreiheit:

[…]
In seiner heutigen Entscheidung stellte der EuGH fest, dass einem Fanpage-Betreiber selbst dann eine Mitverantwortung für die Datenverarbeitungsprozesse bei Facebook zukommen kann, wenn er faktisch keine Möglichkeit hat, diese unmittelbar zu beeinflussen. Die Anerkennung der gemeinsamen Verantwortlichkeit von Facebook und Fanpage-Betreiber ermögliche es, Besuchern einer Fanpage den vom Gesetz bezweckten umfassenden Rechtsschutz zu gewährleisten.
[..]
Vor allem öffentlichen Stellen rät die BfDI, die Entscheidung des EuGH zum Anlass zu nehmen, die Rechtskonformität ihrer Fanpages zu überprüfen und - soweit erforderlich - Facebook zu datenschutzrechtlichen Anpassungen zu bewegen. Andrea Voßhoff: „Gerade den in besonderem Maß an Recht und Gesetz gebundenen öffentlichen Stellen kommt hier eine Vorbildfunktion zu. Vor allem und in erster Linie steht aber Facebook nun umso mehr in der Pflicht, all seinen öffentlichen Beteuerungen endlich Taten folgen zu lassen und sein Angebot uneingeschränkt datenschutzkonform auszugestalten.“

Die Konferenz der unabhängigen Datenschutzbehörden hat am 06.06.2018 eine Entschließung zu der Thematik veröffentlicht:

[…]
Im Einzelnen ist Folgendes zu beachten:

• Wer eine Fanpage besucht, muss transparent und in verständlicher Form darüber informiert werden, welche Daten zu welchen Zwecken durch Facebook und die Fanpage-Betreiber verarbeitet werden. Dies gilt sowohl für Personen, die bei Facebook registriert sind, als auch für nicht registrierte Besucherinnen und Besucher des Netzwerks.
• Betreiber von Fanpages sollten sich selbst versichern, dass Facebook ihnen die Informationen zur Verfügung stellt, die zur Erfüllung der genannten Informationspflichten benötigt werden.
• Soweit Facebook Besucherinnen und Besucher einer Fanpage durch Erhebung personenbezogener Daten trackt, sei es durch den Einsatz von Cookies oder vergleichbarer Techniken oder durch die Speicherung der IP-Adresse, ist grundsätzlich eine Einwilligung der Nutzenden erforderlich, die die Anforderung der DS-GVO erfüllt.
• Für die Bereiche der gemeinsamen Verantwortung von Facebook und Fanpage-Betreibern ist in einer Vereinbarung festzulegen, wer von ihnen welche Verpflichtung der DS-GVO erfüllt. Diese Vereinbarung muss in wesentlichen Punkten den Betroffenen zur Verfügung gestellt werden, damit diese ihre Betroffenenrechte wahrnehmen können.

[…]

Pressemitteilung des Unabhängigen Landeszentrums für Datenschutz Schleswig-Holstein:

[…]
Die Vereinbarung zwischen Facebook und Facebook-Fanpage-Betreibern wird in Artikel 26 der Datenschutz-Grundverordnung gefordert, um klarzustellen, wer welche Verpflichtungen erfüllen muss.

Hansen weist darauf hin, dass Facebook anscheinend bislang nicht auf das EuGH-Urteil reagiert hat und den Fanpage-Betreibern auch noch nicht den Abschluss der rechtlich zwingend notwen­digen Vereinbarung nach Artikel 26 der Datenschutz-Grundverordnung anbietet – ein klarer Rechtsverstoß in Bezug auf alle Beteiligten einer gemeinsamen Verantwortlichkeit, also für die Fanpage-Betreiber und Facebook. Gleiches gilt für die Einholung ordnungsgemäßer Einwilligungserklärungen für Datenverarbeitungen beim Einsatz von Mechanismen für die Verfolgung von Nutzenden. Einige Fanpage-Betreiber hingegen wenden sich an die Landes­beauftragte für Datenschutz Schleswig-Holstein, weil sie sich bemühen, mit Facebook Kontakt aufzunehmen, um ihre datenschutzrechtliche Verantwortung wahrnehmen zu können.

Hansen stellt klar: „Nichtstun ist keine Option! Es geht nicht darum, dass jeder einzelne Fanpage-Betreiber direkt mit Facebook eigene Bedingungen verhandelt. Fanpage-Betreiber haben jedoch eine eigene Verantwortung, nur datenschutzkonforme Webauftritte zu unterhalten. Facebook behauptet hingegen von sich selbst, das Angebot sei datenschutzkonform. Dann sollte es doch ein Leichtes sein, dass unverzüglich die nötigen Maßnahmen getroffen werden, damit sowohl Facebook als auch die Facebook-Fanpage-Betreiber ihrer Verantwortung nachkommen. Facebook muss endlich Butter bei die Fische tun.“

Link Schlussantrag: http://curia.europa.eu/juris/document/document.jsf?text=&docid=195902&pageIndex=0&doclang=DE&mode=lst&dir=&occ=first&part=1&cid=887410
Link Urteil: http://curia.europa.eu/juris/document/document.jsf?docid=202543&pageIndex=0&doclang=de&mode=req&occ=first&part=1&cid=369809

Artikel zu Hintergrund: https://www.lto.de/recht/hintergruende/h/eugh-azc21016-facebook-fanseiten-schliessen-datenschutz-social-media/, \\https://meedia.de/2018/06/05/abschalten-der-fanpages-derzeit-einzige-rechtskonforme-loesung-was-der-anwalt-zum-eugh-facebook-urteil-sagt/,
https://www.heise.de/newsticker/meldung/EuGH-Betreiber-von-Facebook-Fanseiten-sind-fuer-Datenschutz-mitverantwortlich-4068846.html,
https://meedia.de/2018/06/05/quo-vadis-facebook-jura-professorin-erklaert-die-dramatischen-folgen-des-eugh-urteils-fuer-netzwerk-und-nutzer/