Urteil zu Facebook-Fanpages: Händler sind für Datenschutz mitverantwortlich

Über die Datensammelwut von Facebook besteht kein Zweifel. Schließlich verdient das soziale Netzwerk durch diese Daten mittels Werbung Geld. Doch wer kann für die Verarbeitung der personenbezogenen Daten der User eigentlich verantwortlich und somit haftbar gemacht werden? 

Sogenannte „Facebook-Fanpages“ sind für Unternehmen eine gute Möglichkeit, sich nach außen hin zu präsentieren und die Bindung mit neuen, aber auch bestehenden Kunden zu stärken. Doch die Nutzung solcher Fanpages ist aus rechtlicher Sicht nicht ganz unkritisch, wie ein Fall zeigt, der vor dem Gerichtshof der Europäischen Union jüngst verhandelt wurde. Denn die Unternehmen haben keinen Einfluss darauf, welche Daten Facebook über die Besucher der Fanpage sammelt oder welche dritten Parteien diese Daten noch erhalten.

Da Unternehmen mit Blick auf die Datennutzung keine Handhabe haben, heißt das dann gleichzeitig auch, dass sie von ihrer Verantwortung befreit sind? – Der Gerichtshof ist dieser Frage nachgegangen und hat in einem entsprechenden Fall entschieden.

Fanpages und Datennutzung: Worum ging es in dem Prozess?

In dem vorliegenden Prozess ging es um die Wirtschaftsakademie Schleswig-Holstein. Das private Bildungsunternehmen hatte auf Facebook eben eine solche Fanpage betrieben, was ihm die Möglichkeit gab, die Besucher in gewissem Maße zu durchleuchten: Möglich wird dies mit der Funktion „Facebook Insight“, die das Netzwerk kostenfrei zur Verfügung stellt, und mit der anonymisierte statistische Nutzerdaten erfasst werden können.

Dabei kommen Cookies zum Einsatz, die laut Urteil „jeweils einen eindeutigen Benutzercode enthalten“ und über zwei Jahre aktiv sind sowie auf einem Endgerät des Nutzers gespeichert werden. „Der Benutzercode, der mit den Anmeldungsdaten solcher Nutzer, die bei Facebook registriert sind, verknüpft werden kann, wird beim Aufrufen der Fanpages erhoben und verarbeitet.“

Bereits im November 2011 erhielt die Wirtschaftsakademie eine Anordnung durch das Unabhängige Landeszentrum für Datenschutz, ihre Facebook-Fanpage zu deaktivieren, da weder die Akademie selbst noch Facebook die User über die potenzielle Datennutzung informierte. Dem widersprach die Akademie allerdings beim Verwaltungsgericht mit der Begründung, „dass ihr die Verarbeitung personenbezogener Daten durch Facebook nicht zugerechnet werden könne und sie Facebook auch nicht mit einer von ihr kontrollierten oder beeinflussbaren Datenverarbeitung beauftragt habe.“ Demzufolge müsse Facebook in die Pflicht genommen werden. Um die Frage der Verantwortung zu klären, wandte sich schließlich das deutsche Bundesverwaltungsgericht an den Gerichtshof der Europäischen Union.

Wer haftet? Facebook ist die „Verantwortliche“, aber…

Im Rahmen des Urteils stellte der Gerichtshof der Europäischen Union fest, dass Facebook sowie deren irische Tochtergesellschaft Facebook Ireland als „Verantwortliche“ für die Verarbeitung von personenbezogenen Nutzerdaten gilt. „Denn diese Gesellschaften entscheiden in erster Linie über die Zwecke und Mittel der Verarbeitung dieser Daten“, heißt es im Urteil.

Dennoch entschied der Gerichtshof, dass die Betreiber der Pages, also im vorliegenden Fall die Wirtschaftsakademie, ebenfalls in der Mitverantwortung stehen. Schließlich ist jeder Betreiber „an der Entscheidung über die Zwecke und Mittel der Verarbeitung der personenbezogenen Daten der Besucher seiner Fanpage beteiligt“ und kann dementsprechend auch in gewissem Maße beispielsweise über demografische Daten der Besucher (zum Beispiel Tendenzen zu Alter und Geschlecht, Lebensstil oder Online-Kaufverhalten) oder auch über geografische Informationen (lokale Ansässigkeit) verfügen.

Die gemeinsame Verantwortung von Facebook und dem Betreiber der Fanpage soll nach Angaben des Urteils dazu führen, dass den Fanpage-Besuchern ein umfassender Schutz ihrer Rechte gewährt wird.

Was bedeutet diese Entscheidung für Unternehmen?

Für hiesige Unternehmen und Händler ist die aktuelle Entscheidung von großer Tragweite. Denn das Urteil heißt im Prinzip nichts anderes, als dass sie eine Mitverantwortung über die Verarbeitung der Nutzerdaten der Fanpage-Besucher haben und daher auch eine Datenschutzerklärung hinterlegen müssen. Andernfalls handeln sie nicht rechtskonform.

Das Problem daran ist, dass eine Datenschutzerklärung die User unter anderem im Detail darüber aufklären müsste, welche Daten zu welchem Zwecke erhoben werden, wie lange diese gespeichert werden und wer genau Zugriff auf diese Daten hat. Und da sind wir beim Ca­sus knacksus: Denn niemand - außer (der "Datenkrake") - Facebook weiß genau, wie die Algorithmen von Facebook funktionieren, wie und welche Daten im Einzelnen erhoben werden und welche dritten Parteien Zugriff auf die Informationen haben.

Damit lässt sich das Urteil als realitätsfern bezeichnen und nimmt Facebook in die Pflicht. Das soziale Netzwerk muss nun transparenter arbeiten, wenn man auch künftig von Unternehmen (und deren Werbeeinahmen) profitieren möchte. Händler sollten zunächst Ruhe bewahren und juristischen Rat einholen. Händlerbund-Mitglieder werden in Kürze über eine konkrete Handlungsempfehlung informiert.