EuGH: Datenschutzrechtliche Mitverantwortlichkeit von Facebook und Fanseiten-Betreibern

Nach der jüngst ergangenen Entscheidung des EuGH zu C-210/16 vom 5.6.2018 sind Betreiber von Facebook-Fanpages gemeinsam mit Facebook datenschutzrechtlich verantwortlich.

Die Entscheidung erging zwar nach der alten Rechtslage, jedoch sind die Regeln zur Verantwortlichkeit und der Rollenverteilung als Verantwortlicher (DSG 2000: „Auftraggeber“) auch mit der DSGVO weitestgehend gleichgeblieben.

Fanpages sind (zumeist) öffentliche Konten von Unternehmen oder Privatpersonen zur Bewerbung des Unternehmens, der Person oder von Produkten oder Dienstleistungen. Dabei wird von Facebook in jedem Fall die Funktion Insight implementiert, mittels derer über Cookies – die Facebook setzt – das Nutzerverhalten der Besucher analysiert werden kann. Relevant sind dabei besonders Nutzer ohne Facebook-Profil, die daher den Nutzungs- und Datenschutzbestimmungen von Facebook nicht zugestimmt haben. Diese Besucher müssten aber über die Verwendung der Cookies informiert werden. Diese Informationspflicht trifft gemäß Art 13 DSGVO den Verantwortlichen. Aber wer ist das im konkreten Fall?

Wie auch der Entscheidung zu entnehmen ist, kann der Betreiber der Fanpage durch verfügbare Filter bestimmte demographische Daten über seine Zielgruppe bzw. Nutzer verlangen; etwa Alter, Geschlecht, Beziehungsstatus oder Wohnort. Indem er diese Parametrierung vornimmt und so die Kriterien bestimmt, nach denen die Statistiken erstellt werden, entscheidet der Betreiber nach Ansicht des EuGH über die Zwecke und Mittel der Datenverarbeitung zumindest mit. Das macht ihn zum gemeinsamen Verantwortlichen mit Facebook gemäß Art 2 lit d) der Richtlinie 95/46/EG, dessen Wortlaut inhaltlich dem der Definition des Verantwortlichen in Art 4 Z 7 DSGVO entspricht. Dabei ist es unerheblich, dass die Verantwortlichen in unterschiedlichem Ausmaß und in unterschiedlichen Phasen der Datenverarbeitung tätig werden.