Am 05.06.2018 erging das Urteil des EuGH zur datenschutzrechtlichen Verantwortlichkeit bei Facebook Seiten. Verkürzt zusammengefasst hat der EuGH entschieden, dass Facebook und der Facebook Seitenbetreiber (Fan oder Unternehmen) gemeinsam für die Datenverarbeitung verantwortlich sind. Fraglich ist nun, welche konkreten Auswirkungen dies auf die Zulässigkeit dieser Seiten hat. Müssen Facebook Seiten jetzt vom Netz genommen werden?

Diese Fragestellung stellt sich insbesondere auch deshalb, weil es gleich nach dem Urteil eine Entschließung der Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder vom 06.06.2018 gab. Danach soll folgendes zu beachten sein:

Wer eine Fanpage besucht, muss transparent und in verständlicher Form darüber informiert werden, welche Daten zu welchen Zwecken durch Facebook und die Fanpage-Betreiber verarbeitet werden. Dies gilt sowohl für Personen, die bei Facebook registriert sind, als auch für nicht registrierte Besucherinnen und Besucher des Netzwerks.

Betreiber von Fanpages sollten sich selbst versichern, dass Facebook ihnen die Informationen zur Verfügung stellt, die zur Erfüllung der genannten Informationspflichten benötigt werden.

Soweit Facebook Besucherinnen und Besucher einer Fanpage durch Erhebung personenbezogener Daten trackt, sei es durch den Einsatz von Cookies oder vergleichbarer Techniken oder durch die Speicherung der IP-Adresse, ist grundsätzlich eine Einwilligung der Nutzenden erforderlich, die die Anforderung der DS-GVO erfüllt.

Für die Bereiche der gemeinsamen Verantwortung von Facebook und Fanpage-Betreibern ist in einer Vereinbarung festzulegen, wer von ihnen welche Verpflichtung der DS-GVO erfüllt. Diese Vereinbar
ung muss in wesentlichen Punkten den Betroffenen zur Verfügung gestellt werden, damit diese ihre Betroffenenrechte wahrnehmen können.

Was bedeutet das konkret? In jedem Fall muss die Datenschutzerklärung angepasst werden.

Fraglich ist jedoch, ob das ausreicht. Denn – wie schon beim Tracking – muss eine vorherige Einwilligung des Nutzers für das Setzen von Cookies eingeholt werden. Und es ist offenbar so, dass Facebook Cookies auf der Seite des Nutzers setzt, ohne dass der Facebookseitenbetreiber dies verhindern oder einstellen kann.

Ob das jedoch ausreicht, ist fraglich, wie sich aus dem letzten Absatz der oben genannten Handlungsempfehlungen ergibt:

Die deutschen Aufsichtsbehörden weisen darauf hin, dass nach dem Urteil des EuGH dringender Handlungsbedarf für die Betreiber von Fanpages besteht. Dabei ist nicht zu verkennen, dass die Fanpage-Betreiber ihre datenschutzrechtlichen Verantwortung nur erfüllen können, wenn Facebook selbst an der Lösung mitwirkt und ein datenschutzkonformes Produkt anbietet, das die Rechte der Betroffenen wahrt und einen ordnungsgemäßen Betrieb in Europa ermöglicht.

Dies kann man eigentlich nur so deuten, dass die Datenschutzbehörden davon ausgehen, Facebook arbeite nicht datenschutzkonform und dass damit auch die einzelnen Betreiber von Facebook Seiten haften (“dringender Handlungsbedarf”).

Die Frage ist nun, ob man vorsichtshalber die eigene Facebook Unternehmensseite abschalten sollte. Aus anwaltlicher Vorsorge muss man dazu raten, um jegliche Risiken zu vermeiden. Andererseits muss jedes Unternehmen selbst abwägen, welchen Schaden es durch die Abschaltung erleidet. Es ist nicht sehr wahrscheinlich, dass die Datenschutzbehörden sofort Bußgelder verhängen, wenn eine Facebook Seite weiter betrieben wird. Zumindest sollte man sich um die entsprechende Datenschutzerklärung bemühen. Außerdem sollte zum frühestmöglichen Zeitpunkt die Vereinbarung mit Facebook getroffen werden, in der geregelt ist, wer welche Verpflichtung der DSGVO erfüllt. Dabei sind die Facebook Seitenbetreiber allerdings auf die Mitwirkung von Facebook angewiesen.

Abmahnungen von Mitbewerbern oder entsprechenden Vereinen sind ebenfalls nicht auszuschließen. Man könnte hier so argumentieren, dass ohne vorherige Einwilligung für das Setzen des Cookies die Nutzung der Facebook Seite nicht zulässig ist. Soweit ersichtlich kann aber eine vorgeschaltete Einwilligungsseite bei Facebook nicht integriert werden, anders als bei Onlineshops etc.

Die Rechtsprechung im Wettbewerbsrecht zu dieser Problematik des Rechtsbruchstatbestandes ist sehr streng. Wenn eine technische Plattform nicht die Voraussetzungen dafür bietet, dass die Teilnehmer wettbewerbsrechtlich konform arbeiten, muss auf die Nutzung verzichtet werden.

Der Abmahner hat dann aber immer noch das Problem, dass ein Zivilgericht die Frage der vorherigen Einwilligung durchaus anders sehen kann als die Datenschutzaufsichtsbehörden. Diese Rechtsfrage hat auf jeden Fall das Potenzial für eine BGH-Entscheidung. Und ob ein Abmahner tatsächlich diesen teuren Weg zu gehen bereit ist, ist fraglich.

Falls tatsächlich eine Abmahnung zugehen sollte, sollte die Unterlassungserklärung keinesfalls ohne vorherige Prüfung unterschrieben werden. Die Angelegenheit sollte in jedem Fall anwaltlich geprüft werden.