Facebook-Fanpages im Fokus des Datenschutzrechtes - Verantwortung für datenschutzkonformer Zustände
16.09.2019, Autor: Herr Bernd Fleischer / Lesedauer ca. 2 Min. (139 mal gelesen)
Schwerwiegende datenschutzrechtliche Mängel bei der digitalen Infrastruktur von Facebook können dazu führen, dass Betreiber von Fanpages auf Facebook ihre Seiten abschalten müssen, urteilte nun das Bundesverwaltungsgericht (BVerwG). Damit trifft auch die Seitenbetreiber eine datenschutzrechtliche Mitverpflichtung bei der Datenerhebung.
Wieder verdeckte Datensammlung auf Facebook
Ausgangspunkt der Entscheidung war eine Anordnung der schleswig-holsteinischen Datenschutzaufsicht, die eine in Kiel ansässige Bildungseinrichtung unter der Geltung der Datenschutzrichtlinie verpflichtet hatte, die von ihr betriebene Fanpage bei Facebook zu deaktivieren. Der Grund dafür: Facebook greife bei Aufruf der Seite auf personenbezogene Daten der Internetnutzer zu, ohne dass diese vorher darüber informiert wurden. Von Seiten des sozialen Netzwerkes wurden die Nutzer weder über die Art, den Umfang und Zweck der Datenerhebung, noch über ein bestehendes Widerspruchsrecht gegen die Erstellung eines Nutzerprofils zum Zwecke der Werbung oder Marktforschung unterrichtet. Selbst wenn Widerspruch gegen die Datenerhebung durch einen Nutzer gegenüber der Bildungseinrichtung erhoben wurde, blieb dieser mangels entsprechender technischer Einwirkungsmöglichkeiten für die Datenerhebung erfolglos.
Eine solche Datensammlung ohne Unterrichtung der Seitenbesucher verstoße aber nach Ansicht der Behörden gegen geltendes Datenschutzrecht. Der Seitenbetreiber wurde daher angewiesen, die Seite zu deaktivieren und so eine weitere Datenerhebung zu stoppen. Der Seitenbetreiber selbst wollte sich mit dieser Deaktivierungsanordnung aber nicht abfinden.
Wer ist für Datenerhebung verantwortlich?
Nun war die Frage zu klären, inwieweit der Betreiber der Fanpage für die Datenerhebung durch Facebook in die Verantwortung gezogen werden kann. Die Daten hatte schließlich Facebook selbst erhoben. Konnte dann dem Fanpage-Betreiber die Deaktivierung seiner Seite drohen?
In der Vorinstanz hatte das Oberverwaltungsgericht die datenschutzrechtliche Verantwortlichkeit des Fanpagebetreibers abgelehnt, da der Betreiber der Fanpage selbst keinen Zugriff auf die erhobenen Daten habe. Nach Vorlage vom BVerwG hatte der Europäische Gerichtshof sich dagegen für eine Mitverantwortlichkeit der Betreiber einer Fanpage für die von Facebook erfolgte Datenerhebung ausgesprochen. Erst durch das Betreiben der Fanpage werde nämlich der Zugriff auf die Daten der Besucher durch Facebook ermöglicht.
OVG muss erneut entscheiden
Auf Grundlage dieser Entscheidung hat nun auch das BVerwG das Urteil des Oberverwaltungsgerichtes aufgehoben (Urteil v. 11.09.2019; Az.: 6 C 15.18). Das schleswig-holsteinische OVG muss damit über die Deaktivierungsanordnung erneut entscheiden.
Hinsichtlich der Frage der Rechtswidrigkeit der beanstandeten Datenverarbeitungsvorgänge muss das Gericht nun noch einmal nachforschen und eine tiefergehende Aufklärung betreiben. Die tatsächlichen Umstände seien noch nicht hinreichend geklärt, so das BVerwG.
Grundsätzlich stellte das BVerwG aber klar, dass die Datenschutzaufsicht sich bei der Auswahl der möglichen datenschutzrechtlichen Verantwortlichen an dem Gesichtspunkt der Effektivität orientieren dürfe und so auch der Betreiber einer Fanpage in den Fokus einer datenschutzrechtlichen Anordnung geraten könne. Nur so könne das bezweckte hohe Datenschutzniveau auch wirkungsvoll durchgesetzt werden. Zwingend gegen Facebook muss damit nicht vorgegangen werden. Hier berücksichtigt das Gericht gerade auch eine fehlende Kooperationsbereitschaft des sozialen Netzwerkes und den damit verbundenen erheblichen tatsächlichen und rechtlichen Unsicherheiten.
Stellt sich die Datenerhebung nach einer erneuten Untersuchung des OVG damit als rechtswidrig heraus, stelle die Deaktivierungsanordnung an den Seitenbetreiber die wirkungsvollste Möglichkeit zur Herstellung datenschutzkonformer Zustände dar. Er dürfe daher als Mitverantwortlicher neben Facebook ebenfalls herangezogen werden.
Weitere Informationen zum Datenschutzrecht erhalten Sie auch unter: https://www.rosepartner.de/datenschutz-datenschutzrecht.html
Wieder verdeckte Datensammlung auf Facebook
Ausgangspunkt der Entscheidung war eine Anordnung der schleswig-holsteinischen Datenschutzaufsicht, die eine in Kiel ansässige Bildungseinrichtung unter der Geltung der Datenschutzrichtlinie verpflichtet hatte, die von ihr betriebene Fanpage bei Facebook zu deaktivieren. Der Grund dafür: Facebook greife bei Aufruf der Seite auf personenbezogene Daten der Internetnutzer zu, ohne dass diese vorher darüber informiert wurden. Von Seiten des sozialen Netzwerkes wurden die Nutzer weder über die Art, den Umfang und Zweck der Datenerhebung, noch über ein bestehendes Widerspruchsrecht gegen die Erstellung eines Nutzerprofils zum Zwecke der Werbung oder Marktforschung unterrichtet. Selbst wenn Widerspruch gegen die Datenerhebung durch einen Nutzer gegenüber der Bildungseinrichtung erhoben wurde, blieb dieser mangels entsprechender technischer Einwirkungsmöglichkeiten für die Datenerhebung erfolglos.
Eine solche Datensammlung ohne Unterrichtung der Seitenbesucher verstoße aber nach Ansicht der Behörden gegen geltendes Datenschutzrecht. Der Seitenbetreiber wurde daher angewiesen, die Seite zu deaktivieren und so eine weitere Datenerhebung zu stoppen. Der Seitenbetreiber selbst wollte sich mit dieser Deaktivierungsanordnung aber nicht abfinden.
Wer ist für Datenerhebung verantwortlich?
Nun war die Frage zu klären, inwieweit der Betreiber der Fanpage für die Datenerhebung durch Facebook in die Verantwortung gezogen werden kann. Die Daten hatte schließlich Facebook selbst erhoben. Konnte dann dem Fanpage-Betreiber die Deaktivierung seiner Seite drohen?
In der Vorinstanz hatte das Oberverwaltungsgericht die datenschutzrechtliche Verantwortlichkeit des Fanpagebetreibers abgelehnt, da der Betreiber der Fanpage selbst keinen Zugriff auf die erhobenen Daten habe. Nach Vorlage vom BVerwG hatte der Europäische Gerichtshof sich dagegen für eine Mitverantwortlichkeit der Betreiber einer Fanpage für die von Facebook erfolgte Datenerhebung ausgesprochen. Erst durch das Betreiben der Fanpage werde nämlich der Zugriff auf die Daten der Besucher durch Facebook ermöglicht.
OVG muss erneut entscheiden
Auf Grundlage dieser Entscheidung hat nun auch das BVerwG das Urteil des Oberverwaltungsgerichtes aufgehoben (Urteil v. 11.09.2019; Az.: 6 C 15.18). Das schleswig-holsteinische OVG muss damit über die Deaktivierungsanordnung erneut entscheiden.
Hinsichtlich der Frage der Rechtswidrigkeit der beanstandeten Datenverarbeitungsvorgänge muss das Gericht nun noch einmal nachforschen und eine tiefergehende Aufklärung betreiben. Die tatsächlichen Umstände seien noch nicht hinreichend geklärt, so das BVerwG.
Grundsätzlich stellte das BVerwG aber klar, dass die Datenschutzaufsicht sich bei der Auswahl der möglichen datenschutzrechtlichen Verantwortlichen an dem Gesichtspunkt der Effektivität orientieren dürfe und so auch der Betreiber einer Fanpage in den Fokus einer datenschutzrechtlichen Anordnung geraten könne. Nur so könne das bezweckte hohe Datenschutzniveau auch wirkungsvoll durchgesetzt werden. Zwingend gegen Facebook muss damit nicht vorgegangen werden. Hier berücksichtigt das Gericht gerade auch eine fehlende Kooperationsbereitschaft des sozialen Netzwerkes und den damit verbundenen erheblichen tatsächlichen und rechtlichen Unsicherheiten.
Stellt sich die Datenerhebung nach einer erneuten Untersuchung des OVG damit als rechtswidrig heraus, stelle die Deaktivierungsanordnung an den Seitenbetreiber die wirkungsvollste Möglichkeit zur Herstellung datenschutzkonformer Zustände dar. Er dürfe daher als Mitverantwortlicher neben Facebook ebenfalls herangezogen werden.
Weitere Informationen zum Datenschutzrecht erhalten Sie auch unter: https://www.rosepartner.de/datenschutz-datenschutzrecht.html
