Update zur Verantwortlichkeit auf Facebook Fanpages

14. September 2018

Die Vorgeschichte

Für viel Verunsicherung hat das Urteil des Europäischen Gerichtshofs im Juni 2018 gesorgt, dass Betreiber von Facebook-Fanpages eine gemeinsame Verantwortung mit Facebook unter Gesichtspunkten des Datenpunkts eingehen. Die Argumentation: Wer einen Vorteil aus der Erhebung der Daten gewinnt, der hat dafür auch eine Verantwortung. Zwar hat Facebook versprochen, entsprechende Vereinbarungen anzubieten, die einen sicheren Betrieb ermöglichen, aber passiert ist lange – nichts. Betreiber mussten eine Risikoabwägung vornehmen, zumal das Bundesverwaltungsgericht erst eine Entscheidung nach deutschem Recht vornehmen musste.

Die Reaktion der DSK

Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes (DSK) hat sich schließlich am 05. September dazu entschlossen, sich in der Sache zu positionieren. Der  Beschluss  hat sich dabei ganz klar dazu geäußert, dass der Betrieb einer Facebook-Fanpage zu dem Zeitpunkt als nicht konform zur DSGVO einzustufen ist:

Ohne Vereinbarung nach Art. 26 DSGVO ist der Betrieb einer Fanpage, wie sie derzeit von Facebook angeboten wird, rechtswidrig.

Der angehängte Fragenkatalog machte es für Betreiber noch schwieriger, sich der Verantwortung zu entziehen und wies wieder auf das grundlegende Problem hin: Die meisten Fragen konnten diese, ohne das Mitwirken Facebooks, gar nicht beantworten. In erster Linie waren die Fragen aber wohl auch dazu ausgelegt, Druck auf Facebook auszuüben.

Die Anpassungen durch Facebook

Wenige Tage später bewegte sich der Internet-Gigant. In der Insights-Ergänzung bezüglich des Verantwortlichen werden Betreiber vor allem von der Umsetzung technischer Maßnahmen entbunden, die gar nicht zu leisten wären. Folgende Punkte finden sich zusammengefasst in der Erklärung:

  • Facebook übernimmt die primäre Verantwortung bei den Informationspflichten (im Grunde die Datenschutzerklärung)
  • Facebook übernimmt die primäre Verantwortung bei Auskunftsrecht, Recht auf Berichtigung, auf Löschung, auf Sperrung, auf Widerspruch und Datenübertragbarkeit
  • Ebenso übernimmt Facebook die primäre Verantwortung bei automatisierten Entscheidungen durch Profiling sowie im Hinblick auf Sicherheit der Verarbeitung und die Meldepflicht


Welche Pflichten haben Betreiber damit noch?

Tatsächlich muss man sagen, dass Facebook dem Betreiber hiermit einen großen Teil der Verpflichtungen abgenommen hat. Sollte es zu relevanten Anfragen von Aufsichtsbehörden oder Nutzern kommen, ist Facebook über dieses Formular zu kontaktieren. Entscheidender ist indes, dass man sich weiterhin auf eine Rechtsgrundlage festlegen muss. Diese wird in der Regel Art. 6 Abs. 1 Buchst. f sein, das berechtigte Interesse des Unternehmers, der die Kommunikation mit seiner Zielgruppe und seinen Kunden sucht.

Seit dem Positionspapier der DSK kann man aber nicht ganz sicher sein, ob dies bei ganz strenger Auslegung ausreichend ist. Da eine Einwilligung in das Speichern von Cookies durch den Betreiber selbst aber nicht umsetzbar ist, bleibt vorerst nur die angesprochene Rechtsgrundlage und die Hoffnung, dass die ePrivacy-Verordnung hier für noch mehr Klarheit sorgt.

Abschließend sollte noch im Hinterkopf behalten werden, dass die ganze Erklärung irischem Recht unterliegt.

Was muss ich jetzt ganz konkret noch tun?

Aus der Erklärung lässt sich durchaus lesen, dass Facebook bereits den Informationspflichten nachkommt. Wie so oft bei der DSGVO schadet es aber nicht, auf Nummer Sicher zu gehen. Fügen Sie dazu bei Facebook im Infobereich unter „Datenrichtlinie“ einen Link auf die Datenschutzerklärung der Website ein. Hier sollte vor allem auf die Rechtsgrundlage eingegangen sowie ein Link auf die Erklärung von Facebook eingebunden werden. Eine mögliche Textvorlage könnte folgendermaßen aussehen

Wir verarbeiten ihre Daten zum Zwecke der effektiven Information und Unterstützung unserer Kunden und Interessenten. Hierin liegt unser berechtigtes Interesse nach Art. 6 Abs. 1 Buchst. f DSGVO. Die Verarbeitung findet auf Grundlage der Erklärung zur gemeinsamen Verantwortung statt.

Und welche Auswirkungen hat dies auf andere Plattformen?

Gehen wir zurück auf die ursprüngliche Aussage: „Wer einen Vorteil aus der Erhebung der Daten gewinnt, der hat dafür auch eine Verantwortung“ Dies lässt sich freilich auch auf andere Plattformen wie Instagram anwenden. Allerdings haben sich keine Anbieter aus dem Bereich bisher dementsprechend geäußert. Da die DSK sich in ihrem Beschluss nur zu Facebook geäußert hat, muss man hier erneut eine Risikoabwägung vornehmen und zum eigenen Schutz zumindest der Informationspflicht durch Verlinkung der eigenen Datenschutzerklärung nachkommen.

Autor

Nemo Pohle

Nemo Pohle

Datenschutz Quick-Check

Testen Sie jetzt wie Ihr Unternehmen im Datenschutz nach DSGVO aufgestellt ist.

Jetzt testen

Ihre Anfrage

Als Partner für den Datenschutz beraten wir auch Sie gerne. Stellen Sie uns eine unverbindliche Anfrage und wir melden uns bei Ihnen.

Jetzt kontaktieren