Am 5. Juni 2018 hat der Europäische Gerichtshof entschieden (Rechtssache C-210/16), dass die Betreiberin / der Betreiber einer Facebook-Fanpage gemeinsam mit Facebook für die Verarbeitung personenbezogener Daten der Besucherinnen und Besucher der Fanpage datenschutzrechtlich verantwortlich ist. Der EuGH hat diese Entscheidung auf die Auslegung des Art. 2 Buchst. d der EUDatenschutz-Richtlinie (DSRL) 95/46/EG gestützt. Die Erwägungen des Urteils lassen sich jedoch in vollem Umfang auf die seit dem 25.Mai 2018 geltende Rechtslage übertragen, denn die Definition der verantwortlichen Stelle in Art. 2 Buchst. d der DSRL 95/46/EG, als eine Stelle, die „allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet“, ist deckungsgleich mit der Definition des Verantwortlichen in Art. 4 Nr. 7 Datenschutz-Grundverordnung (DS-GVO). Vor diesem Hintergrund hat die Entscheidung auch nach Gültigkeit der DS-GVO Bestand.
GEMEINSAME VERANTWORTUNG
Im Falle der gemeinsamen Verantwortung sieht die DS-GVO zusätzliche Anforderungen vor, die in Art. 26 DS-GVO niedergelegt sind. Danach sind gemeinsam Verantwortliche verpflichtet, in einer Vereinbarung transparent festzulegen, wer welche Verpflichtungen nach der DS-GVO erfüllt. Darüber hinaus müssen gem. Art. 26 Abs. 2 DS-GVO
die jeweiligen tatsächlichen Funktionen und Beziehungen der gemeinsam Verantwortlichen gegenüber den betroffenen Personen in der Vereinbarung gebührend widergespiegelt und das Wesentliche der Vereinbarung muss den Betroffenen zur Verfügung gestellt werden.
DSK: FANPAGE OHNE ART.26 VEREINBARUNG RECHTSWIDRIG
Die DSK machte deutlich, dass Fanpage-Betreiberinnen und -Betreiber (unabhängig davon, ob es sich um öffentliche oder nicht-öffentliche Verantwortliche handelt) die Rechtmäßigkeit der gemeinsam zu verantwortenden Datenverarbeitung gewährleisten und dies nachweisen (Art. 5 Abs. 2 DS-GVO) können müssen. Zudem können betroffene
Personen ihre Rechte aus der DS-GVO bei und gegenüber jedem Verantwortlichen geltend machen (Art. 26 Abs. 3 DS-GVO). Zusammen mit dem Beschluss hatte die DSK daher eine Reihe von Fragen veröffentlicht, die Fanpage-Betreiberinnen und -Betreiber beantworten können sollten.
Am 11. September 2018 veröffentlichte Facebook eine sog. „Seiten-Insights-Ergänzung bezüglich des Verantwortlichen“ (abrufbar unter: https://www.facebook.com/legal/terms/page_controller_addendum; im Folgenden „Insights-Ergänzung“) sowie „Informationen zu Seiten Insights“ (abrufbar unter: https://www.facebook.com/legal/terms/information_about_page_insights_data; im Folgenden „Insights-Information“).
Vor dem Hintergrund der EuGH-Entscheidung vom 5. Juni 2018 sowie des o. g. Beschlusses der DSK geht die Berliner Beauftragte für Datenschutz und Informationsfreiheit davon aus, dass Facebook mit der „Seiten-Insights-
Ergänzung bezüglich des Verantwortlichen“ seinen Verpflichtungen aus Art. 26 DS-GVO nachkommen möchte, ohne dabei direkt auf Art. 26 DS-GVO zu verweisen.
FRAGENKATALOG DER BERLINER DATENSCHUTZBEHÖRDE
1. Haben Sie die Insights-Ergänzung mit Facebook abgeschlossen? Wenn ja, auf welche Weise ist dies erfolgt?
2. Zu welchem Text / zu welcher Vereinbarung stellt die Insights- Ergänzung eine Ergänzung dar? Bitte stellen Sie uns diesen Text zur Verfügung bzw. legen Sie die entsprechenden Inhalte dar, die von der Insights-Ergänzung ergänzt werden.
3. Handelt es sich bei der Insights-Ergänzung um eine Vereinbarung i. S. d. Art. 26 Abs. 1 Satz 1 DS-GVO?
4. Für welche konkreten Verarbeitungen personenbezogener Daten besteht nach dieser Vereinbarung eine gemeinsame Ver-antwortung? Bitte stellen Sie dies im Detail dar.
5. Was ist unter den in der Insights-Ergänzung und in den Insights-Informationen genannten „Insights-Daten“ zu verstehen? Bitte erläutern Sie abschließend.
6. In der Insights-Ergänzung wird auf die „Verarbeitung von Insights-Daten“ Bezug genommen. Um welche konkreten Verar-beitungen zu welchen Zwecken handelt es sich hierbei? Bitte erläutern Sie im Detail.
7. Auf welche Art und Weise werden die betroffenen Personen (Facebook-Mitglieder sowie Nicht-Mitglieder) über das Wesentliche der Vereinbarung nach Art. 26 Abs. 2 DS-GVO informiert?
8. Welche Informationen haben Sie erhalten bzw. erhalten Sie von Facebook über die Verarbeitung personenbezogener Daten der Besucherinnen und Besucher ihrer Fanpage? Ermöglichen es die Ihnen zur Verfügung stehenden Informationen, dass Sie Ihren Verpflichtungen nach der DS-GVO, insbesondere Ihrer Pflicht aus Art. 5 Abs. 2 DS-GVO, nachkommen kön-nen?
9. Bitte erläutern Sie, wie die personenbezogenen Daten der Besucherinnen und Besucher ihrer Fanpage verarbeitet werden. Zu welchen Zwecken erfolgen diese Verarbeitungen?
FAZIT
Was bedeutet dies nun für Fanpage-Betreiber? Viele Punkte des Fragenkatalogs beziehen sich vor allem auf das Facebook-eigene Tool Insights. Insights lässt sich nur von Facebook selber deaktivieren und ist für den Nutzer nicht greifbar. Abgesichert ist man also selbst mit einer eigenen Datenschutzerklärung für die Fanpage nicht. Eine Interessensabwägung ist hier Seitens des Betreibers durchzuführen: Wie wichtig ist einem der Facebook-Auftritt. Sind künftige Geldbußen zu vernachlässigen, da der Kosten-Nutzen-Faktor höher ist? Dies müssen sich Betreiber in Zukunft fragen bzw. hoffen, dass die Urteile Facebook zur Handlung zwingen und eine Deaktivierung von Insights durch den Nutzer oder Betreiber möglich gemacht wird.