Fanpage-Seiten: Das große Rätselraten über das Facebook-Urteil
Drei Juristen, vier Meinungen: Diese Alltagsweisheit scheint sich nach dem aktuellen Urteil des Europäischen Gerichtshofs (EuGH) über den Datenschutz bei Fanseiten auf Facebook wieder einmal zu bewahrheiten. Während einige IT-Rechtsexperten den Fanpage-Betreibern empfehlen, ihre Seiten im Zweifel abzuschalten, raten andere, keine Panik zu bekommen und die weitere Entwicklung des Verfahrens abzuwarten. Nur eines dürfte feststehen: Die Betreiber von Fanseiten sind auch nach Inkrafttreten der Datenschutzgrundverordnung (DSGVO) für den Datenschutz mitverantwortlich, obwohl das Urteil auf Basis der inzwischen ungültigen Datenschutzrichtlinie von 1995 getroffen wurde.
Der eigentliche Grund für die Verwirrung beruht auf den Besonderheiten des sogenannten Vorabentscheidungsersuchens. In diesem Fall hat das Bundesverwaltungsgericht in Leipzig dem EuGH einige Fragen aus einem Prozess vorgelegt, den das schleswig-holsteinische Datenschutzzentrum (ULD) im Jahr 2011 gegen die in dem Bundesland ansässige Wirtschaftsakademie angestrengt hatte. Nun wissen die Leipziger Richter zumindest, dass die Wirtschaftsakademie und Facebook gemeinsam für den Datenschutz auf der Fanpage verantwortlich sind. Ob auf der Seite gegen den Datenschutz verstoßen wurde und daher die vom ULD angeordnete Schließung rechtens war, muss das Gericht jedoch nun selbst entscheiden.
Verantwortung nicht unbedingt gleich verteilt
An diesem Punkt kommt wieder Facebook ins Spiel. Denn es war vor allem der intransparente Umgang des US-Konzerns mit den Nutzerdaten, der den damaligen ULD-Chef Thilo Weichert dazu veranlasste, gegen den Fanpage-Betreiber vorzugehen. Könnte Facebook nun zweifelsfrei nachweisen, bei der Datenverarbeitung alle Datenschutzbestimmungen korrekt eingehalten zu haben, wäre der Betrieb dieser Seiten zumindest nicht illegal gewesen.
Anders sieht es hingegen aus, wenn das Bundesverwaltungsgericht Versäumnisse auf Seiten Facebooks feststellt. Dann steht auch der Fanpage-Betreiber mit in der Verantwortung. Allerdings obliegt es auch in diesem Fall dem deutschen Gericht, den jeweiligen Grad der Verantwortung zu bestimmen. Dem EuGH-Urteil zufolge(öffnet im neuen Fenster) hat eine "gemeinsame" Verantwortung nicht zwangsläufig eine "gleichwertige" Verantwortlichkeit der verschiedenen Akteure zur Folge. "Vielmehr können diese Akteure in die Verarbeitung personenbezogener Daten in verschiedenen Phasen und in unterschiedlichem Ausmaß in der Weise einbezogen sein, dass der Grad der Verantwortlichkeit eines jeden von ihnen unter Berücksichtigung aller maßgeblichen Umstände des Einzelfalls zu beurteilen ist", schreibt das Gericht.
Neue Verträge erforderlich
Fanseiten-Betreiber und Facebook müssen nun jedoch die Vorgaben von Artikel 26 der neuen Datenschutzverordnung(öffnet im neuen Fenster) einhalten. Demnach legen beide "in einer Vereinbarung in transparenter Form fest, wer von ihnen welche Verpflichtung gemäß dieser Verordnung erfüllt, insbesondere was die Wahrnehmung der Rechte der betroffenen Person angeht". Dies betrifft demnach die Informations- und Auskunftspflichten nach Artikel 13 und Artikel 14 der DSGVO. Hinzu kommt die Vorschrift, wonach "die betroffene Person ihre Rechte im Rahmen dieser Verordnung bei und gegenüber jedem einzelnen der Verantwortlichen geltend machen" kann. Die Vereinbarung müsste dann jedoch regeln, wer die entsprechenden Anfragen auf welche Weise beantworten muss.
Bis zu diesem Punkt sind sich die Juristen bei der Analyse des Urteils noch einigermaßen einig. Doch nun kommen die kniffligen Fragen. Wie sollen sich Fanpage-Betreiber für den Fall vorbereiten, dass bei Facebook Datenschutzverstöße festgestellt werden? Dann könnten auch den Fanpage-Betreibern Abmahnungen oder Klagen drohen. Also: Auf Nummer sicher gehen und abschalten oder abwarten und Tee trinken?
Härting: Noch keine Abmahnungen zu erwarten
Der IT-Fachanwalt Nico Härting rät in einem Blogbeitrag den Betreibern(öffnet im neuen Fenster), "neben einem Impressum auch Datenschutzinformationen bereitzuhalten". In diesen Informationen werde man weitgehend auf die Facebook-Datenschutzrichtlinien verweisen können. Abmahnungen seien nicht zu erwarten, da nicht einmal entschieden sei, ob es Datenschutzverstöße gebe. "Sollte es wider Erwarten Versuche geben, mit der EuGH-Entscheidung per Abmahnung Kasse zu machen, sollte man nichts unterschreiben und sofort einen Anwalt einschalten", schreibt Härting. Dass Datenschutzbehörden Bußgeldverfahren gegen Fanpage-Betreiber einleiteten, sei auszuschließen, solange die Verwaltungsgerichte den Fall nicht abschließend entschieden hätten.
Ähnlich äußerte sich der Bundesverband Digitale Wirtschaft(öffnet im neuen Fenster) (BVDW). Das Urteil sei "jedenfalls kein Grund für Seitenbetreiber, sofort in Panik zu verfallen", sagte BVDW-Jurist Michael Neuber und fügte hinzu: "Der EuGH hat nicht entschieden, ob Fanpages nun deswegen abgeschaltet werden müssen. Unklar bleibt bis zur Klärung der Detailfragen durch das Bundesverwaltungsgericht hingegen die Frage der Reichweite der Entscheidung."
Nur Abschalten rechtskonform?
Skeptischer reagierte hingegen der IT-Fachanwalt Christian Solmecke. Seiner Ansicht nach ist das Abschalten von Fanpages "strenggenommen tatsächlich derzeit die einzige rechtskonforme Lösung", sagte er in einem Interview mit Meedia.de(öffnet im neuen Fenster). Zwar empfiehlt auch der Berliner IT-Fachanwalt Thomas Schwenke den Betreibern(öffnet im neuen Fenster), zunächst abzuwarten. Wer aber jedes Risiko ausschließen möchte, sollte eine Schließung der Seiten als Option in Erwägung ziehen. Hilfreich könnte es in diesem Zusammenhang sein, wenn die Koalition tatsächlichen ein vorübergehendes Abmahnverbot wegen Datenschutzverstößen beschließen würde.
Facebook selbst zeigte sich erwartungsgemäß "enttäuscht" von dem Urteil. Das Unternehmen werde daran arbeiten, seinen Partnern dabei zu helfen, die Auswirkungen des Urteils zu verstehen, teilte Facebook auf Anfrage von Meedia.de mit(öffnet im neuen Fenster). Das Unternehmen muss nun im weiteren Prozessverlauf nachweisen, keine Datenschutzverstöße begangen zu haben. Zudem müsste Facebook nun sogenannte Joint-Control-Contracts aus der Schublade ziehen, um die gemeinsame Datenschutzverantwortung nach Artikel 26 der DSGVO zu regeln.
Datenschutzkonferenz will "zeitnah" entscheiden
Zu guter Letzt stellt sich noch die Frage, wie sich das EuGH-Urteil auf andere Dienste auswirkt, bei denen mehrere Anbieter gemeinsam personenbezogene Daten verarbeiten. Auch hier gibt es unterschiedliche Positionen. Nach Ansicht Härtings müssten viele Anbieter die bisherige Praxis der Auftragsdatenverarbeitung "kritisch überdenken". Denn in vielen Fällen dürfte in Wahrheit eine "gemeinsame Verantwortlichkeit" vorliegen, sodass die Verträge geändert werden müssten. Ähnlich hatte sich auch der Berliner IT-Fachanwalt Mattias Bergt geäußert und geschrieben(öffnet im neuen Fenster): "Nach dem Wortlaut des EuGH-Urteils gilt das auch für fast jeden anderen Inhalt, der von einem fremden Server geladen wird."
Hilfreich könnte in diesem Zusammenhang die Einschätzung der deutschen Datenschutzkonferenz sein. Die Datenschutzbehörden von Bund und Ländern wollen nach Angaben der Bundesdatenschutzbeauftragten Andrea Voßhoff "zeitnah" entscheiden, "welche konkreten Auswirkungen das Urteil für das weitere aufsichtsrechtliche Vorgehen mit sich bringt". Einen konkreten Termin wollte die Behörde auf Anfrage von Golem.de dazu jedoch nicht nennen. Bei einem Rechtsstreit, der seit fast sieben Jahren läuft, kommt es auf den ein oder anderen Tag wohl auch nicht mehr an.
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.