Wie wir nun erfahren haben, prüft das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) weiterhin stichprobenartig die Verwendung von „Facebook Custom Audiences“. Dabei wird nicht nur der Einsatz von Custom Audience als solcher geprüft, sondern auch die mittlerweile immer mehr an Popularität gewinnende Pixel-Variante des umstrittenen Tools.
UNUMSTRITTEN PERSONENBEZOGENE DATEN
Grundsätzlich hat das BayLDA den Einsatz beider Verfahren datenschutzrechtlich bewertet und kam dabei zu folgendem Ergebnis: Indem die verantwortliche Stelle Kundenlisten mit E-Mail Adressen innerhalb ihres Facebook-Accounts hochlädt und Facebook Ireland Ltd. zur Verfügung stellt, werden personenbezogene Daten übermittelt.
NICHT ANONYMISIERT
Diese werden auch nicht vor dem Upload anonymisiert. Das stattdessen verwendete Hash-Verfahren kann weiterhin Rückschluss auf den konkreten Nutzer geben. Facebook kann durch einen Vergleich der Hashwerte feststellen welcher Facebook-Nutzer auch Kunde der verantwortlichen Stelle ist. Darüber hinaus kann der Hashwert ohne großen Aufwand durch eine einfache Brute-Force-Attacke zurückgerechnet werden.
KEINE AUFTRAGSVERARBEITUNG
Da der Facebook Ireland Ltd. quasi eine eigenständige „Rechtliche Zuständigkeit“ bzw. ein inhaltlicher Bewertungs- und Ermessensspielraum eingeräumt wird – z. B. welche Facebook-Nutzer beworben werden – liegt auch keine Auftragsdatenverarbeitung vor. Diese käme nur in Frage, wenn die verantwortliche Stelle die andere Stelle damit betraut, Daten zu erheben, verarbeiten oder nutzen, aber selber Herr der Daten bleibt.
Die Übermittlung der personenbezogenen Daten durch die verantwortliche Stelle an Facebook ist also datenschutzrechtlich unzulässig, sofern keine informierte Einwilligung der Betroffenen vorliegt. Wer diese also nicht explizit für jeden einzelnen Betroffenen vorweisen kann, verstößt also gegen gültiges Recht und muss entsprechende Konsequenzen tragen.
BEWERTUNG DES PIXEL-VERFAHRENS
Der Einsatz des Pixel-Verfahrens wiederum kann laut BayLDA auf § 15 Abs. 3 TMG gestützt werden. Allerdings setzt ein zulässiger Einsatz voraus, dass der Nutzer der Datenverarbeitung jederzeit widersprechen kann. Auf gut Deutsch: Gibt es kein Opt-Out Verfahren in der Datenschutzerklärung, ist auch dieser Einsatz unzulässig. Darüber hinaus muss auch in der Datenschutzerklärung über den Einsatz des Facebook-Pixels aufgeklärt werden.
Ein Vorschlag für den Text in der Datenschutzerklärung wäre z. B.:
Nutzung des Facebook Custom Audience Pixel
Auf unserer Webseite verwenden wir „Custom Audiences Pixel“ der Facebook Inc.,1601 S. California Ave, Palo Alto, CA 94304, USA („Facebook“). Dies dient dem Zweck, Besuchern unserer Webseite im Rahmen ihres Besuchs des sozialen Netzwerkes Facebook interessenbezogene Werbeanzeigen zu präsentieren. Dazu wurde auf unserer Website ein Pixel von Facebook implementiert. Über dieses Pixel wird beim Besuch unserer Webseite eine direkte Verbindung zu den Facebook-Servern hergestellt. Dabei wird an den Facebook-Server übermittelt, dass Sie unsere Website besucht haben und Facebook ordnet diese Information Ihrem persönlichen Facebook-Benutzerkonto zu. Nähere Informationen zur Erhebung und Nutzung der Daten durch Facebook sowie über Ihre diesbezüglichen Rechte und Möglichkeiten zum Schutz Ihrer Privatsphäre finden Sie in den Datenschutzhinweisen von Facebook unter https://www.facebook.com/about/privacy/. Sie können interessenbezogener Werbung auf Facebook unter https://www.facebook.com/settings/?tab=ads#_=_ widersprechen. Hierfür müssen Sie bei Facebook angemeldet sein. Sie können darüber hinaus Custom Audience durch einen Klick HIER* widersprechen
(*Opt-Out Link integrieren)
UPDATE Oktober 2017: Das BayLDA hat diese Art des Opt-Outs für unzureichend erklärt. Die neuen Anforderungen an ein Custom Audience Pixel Opt-Out finden sich in unserem Blogartikel HIER.