Verantwortlichkeit nach DSGVO – wird der Like-Button zur Falle?

EuGH-Entscheidung zu Facebooks Like-Button erwartet

Ein Beitrag von Desiree Szitnick

Bei datenschutzrechtlichen Fragen rund um Facebook wird es nicht ruhiger. In gleich zwei Fällen in den vergangenen Monaten hatte sich der Europäische Gerichtshof (EuGH) mit der datenschutzrechtlichen Verantwortlichkeit von Seitenbetreibern zu beschäftigen. Einstellungen zur Datenerhebung im Zusammenhang mit Facebook könnten in Zukunft auch für unabhängige Website-Betreiber zum Problem werden.

Keine Datenerhebung ohne eigene Pflichten

Im Juni dieses Jahres entschieden die Luxemburger Richter bereits im Fall von Facebook-Fanpages. Es ging dabei um die Frage, ob auch der Betreiber einer Fanpage auf Facebook für die Datenverarbeitung im Zusammenhang mit seiner Website verantwortlich ist.

Das dahinterstehende System erlaubt Facebook den Gewinn von unzähligen personenbezogenen Daten: Beim Aufruf einer Fanpage platziert Facebook beim jeweiligen Besucher Cookies, egal ob es sich überhaupt um einen registrierten Facebook-Nutzer handelt oder eben nicht. Der Betreiber der Fanpage hat zwar selbst keinen unmittelbaren Zugriff auf die gesammelten Daten, erhält von Facebook aber anonymisierte, statistische Informationen über die Besucher der Seite.

Facebook-Fanpages: EuGH bestätigt Mitverantwortlichkeit

Die Richter am EuGH bejahten in ihrem Urteil eine (Mit-) Verantwortlichkeit der Fanpage-Betreiber. Zum einen wird erst mit dem Erstellen der Fanpage dem Sozialen Netzwerk ermöglicht, Cookies zu platzieren. Zum anderen könne auch der Betreiber der Fanpage durch die Nutzung von sogenannten Parametern mitbestimmen, welche Daten der Besucher verarbeitet werden sollen. Zudem werden auch Daten von Besuchern verarbeitet, die gar keine Facebook-Nutzer sind. Auch deshalb sei eine Verantwortlichkeit des Betreibers zu bejahen.

An dieser Einschätzung ändere auch die Tatsache nichts, dass die Betreiber der Websites selbst die Daten nur anonym erhalten hatten, denn eine Verantwortlichkeit in diesem Sinne sei nicht nur dann zu bejahen, wenn die an der Datenverarbeitung beteiligten Akteure alle im selben Maße an der Datenverarbeitung beteiligt wären, sondern auch, wenn nur ein beschränkter Zugriff auf die Daten erfolgt, aber eine zumindest eine Mitbeteiligung an der Verarbeitung der Daten zu bejahen ist.

Entscheidung zum Facebook-Like-Button steht noch aus

Diese Entscheidung wird wohl auch Tendenzen für die noch ausstehende Entscheidung des EuGH in Sachen Facebook-Like-Button begründen. Derzeit liegt dem EuGH ein Vorabentscheidungsverfahren des Oberlandesgerichtes Düsseldorf vor, bei dem es ebenfalls um die Frage der Verantwortlichkeit bei mehreren beteiligten Akteuren geht. Die beiden Fälle weisen wesentliche Ähnlichkeiten auf.

In dem derzeitigen Fall hatte ein Online-Shop den Facebook-Like-Button auf seiner Website eingebunden, sodass mittels eines sogenannten Plug-Ins Daten der Besucher der Website direkt an Facebook übermittelt wurden. Dabei war es unerheblich, ob die Besucher den Like-Button anklickten oder nicht. Das Unternehmen selbst erhielt weder Zugriff auf die Daten, noch konnte es die Datenverarbeitung beeinflussen.

Wettbewerbswidriges Verhalten durch Plug-In Einstellungen

Dennoch entschied das Landgericht Düsseldorf in der Vorinstanz, dass die Vorgehensweise des Website-Betreibers wettbewerbswidrig ist und gegen die Vorschriften gegen den unlauteren Wettbewerb verstoße. Das Unternehmen hatte das Plug-In in seine Website eingebaut, ohne dass die Besucher über die Datenverarbeitung aufgeklärt wurden, geschweige denn eine Zustimmung eingeholt wurde. Damit verstieße der Online-Händler nach Ansicht des Landgerichtes gegen datenschutzrechtliche Vorschriften.

Das Gericht bejahte daher auch eine Verantwortlichkeit des Unternehmens, da erst durch diese Vorgehensweise eine Nutzung der Daten und die Datenerhebung durch Facebook möglich gewesen sei. Gegen diese Entscheidung legte das Unternehmen Berufung ein. Das nun mit dem Rechtsstreit befasste Oberlandesgericht wiederum legte die Frage der (Mit-)Verantwortlichkeit des Website-Betreibers dem EuGH zur Klärung vor.

Bleibt der EuGH seiner Linie treu?

Sollte der EuGH seiner Rechtsprechungslinie vom Fanpage-Urteil treu bleiben, so wird wohl auch in diesem Fall eine (Mit-)Verantwortlichkeit des Website-Betreibers zu bejahen sein. Die Argumente aus dem Urteil vom Juni 2018 lassen sich überwiegend auf den jetzigen Fall übertragen.

Geht der EuGH in seiner Entscheidung tatsächlich von einer bestehenden Verantwortlichkeit des Website-Betreibers aus, sehen insbesondere die Vorschriften der Datenschutzgrundverordnung erhebliche Konsequenzen vor. Art. 26 DSGVO legt die Anforderungen fest, die an gemeinsam Verantwortliche gestellt werden. Insbesondere müssen die Parteien in einer Vereinbarung die gegenseitigen Rechte und Pflichten festhalten.

Das OLG selbst hat dem EuGH bestimmte Anschlussfragen für den Fall gestellt, dass eine (Mit-)Verantwortlichkeit bejaht wird. Denn durch die neuen Vorschriften im Datenschutzrecht ist seit der Einführung der DSGVO noch einiges offen. Es bleibt abzuwarten, wie der EuGH hinsichtlich etwaiger datenschutzrechtlicher Konsequenzen der Website-Betreiber Antworten geben wird, insbesondere zum Verhältnis von Facebook und den Seitenbetreibern.