Facebook Custom Audience nur mit Einwilligung möglich

Am 26.09.2018 entschied der Verwaltungsgerichtshof München, dass der Einsatz von Facebook Custom Audiences datenschutzwidrig sei. Denn die Datenübermittlung erfolge nicht im Wege einer Auftragsdatenverarbeitung, sondern als Übermittlung an einen Dritten. Hierzu müsse eine entsprechende Einwilligung der Betroffenen vorliegen.

Facebook Custom Audience als Auftragsdatenverarbeitung?
Antragsstellerin war die Betreiberin eines Online-Shops, welche auch ein Konto bei Facebook unterhielt. Antragsgegner war das Bayerische Landesamt für Datenschutzaufsicht. Um Facebook-Werbung zu schalten, nutzte die Antragstellerin den Dienst „Facebook Custom Audience“. Dieser Dienst lädt Unternehmen eine Liste der eigenen Kundendaten innerhalb des Facebook-Kontos hoch, berechnet einen sogenannten Hashwert und gleicht diesen mit den E-Mail-Adressen aller Facebook-Mitglieder ab. Sind zwei Hashwerte identisch, wird das dazugehörige Facebook-Mitglied bestimmt. Alle ermittelten Facebook-Mitglieder bilden eine sogenannte „Custom Audience“ (Kundenliste) und erhalten innerhalb ihres Facebook-Profils zielgerichtete Werbung durch die jeweiligen Unternehmen. Die Antragsstellerin erfuhr hierbei nicht, welche konkreten Facebook-Mitglieder beworben wurden. Im Übrigen schloss sie einen Auftragsdatenvertrag mit Facebook ab. Der Antragsgegner verpflichtete die Antragsstellerin unter Androhung eines Zwangsgeldes, die erstellte Kundenliste zu löschen. Hiergegen erhob die Antragsstellerin Klage. Die erste Instanz erachtete die Anordnung des Antragsgegners als rechtmäßig, wogegen die Antragsstellerin Beschwerde einlegte.

Entscheidungsgrundlage ist das alte Bundesdatenschutzgesetz
Der Verwaltungsgerichtshof München entschied, dass es für die Beurteilung der Rechtmäßigkeit auf die Rechtslage zum Zeitpunkt der Anordnung ankomme. Da diese Anfang 2018 erlassen wurde, müsse noch das alte Bundesdatenschutzgesetz (BDSG a.F.) herangezogen werden.

Untersuchung des gesamten Vorganges erforderlich
Für die Entscheidung müsse der vollständige Custom Audience-Dienst untersucht werden und nicht nur die Überschneidungsanalyse, so das Gericht. Denn maßgebend für die Einordnung als Auftragsdatenverarbeitung sei eine objektive Qualifikation der tatsächlichen Abläufe. Der Dienst ermögliche es, Kunden, die zugleich Facebook-Nutzer sind, auf Facebook gezielt zu bewerben. Welche Kunden das genau betreffe, werde durch Abgleich der jeweiligen E-Mail-Adresse im Wege der sogenannte Überschneidungsanalyse ermittelt. Die dadurch erstellte Kundenliste diene aber keinem eigenen, abtrennbaren Zweck. Vielmehr sei sie Grundlage und Voraussetzung für die vertraglich vereinbarte, zielgerichtete Werbung durch Facebook und somit des vollständigen Dienstes.

Datenverarbeitung stellt keine Auftragsdatenverarbeitung dar
Der Verwaltungsgerichtshof erachtete die Datenübermittlung durch Facebook nicht als Auftragsdatenverarbeitung. Denn für die Einordnung komme es maßgeblich darauf an, wer die Verantwortung für die Datenverarbeitung trage. Generell könne von einer Auftragsdatenverarbeitung ausgegangen werden, wenn sich der Auftraggeber seine Entscheidungsbefugnis vorbehalte und dem Dienstleister keinen eigenen inhaltlichen Bewertungs- und Ermessensspielraum einräume. Anders liege jedoch der Fall, wenn das beauftragte Unternehmen eigenständig und ohne Vorgaben über die technischen und organisatorischen Mittel der Datenverarbeitung entscheide. Und genau so sei es vorliegend. Denn Facebook entscheide selbstständig, wer der Zielgruppenbestimmung der Antragstellerin entsprechen. Daraufhin treffe Facebook eine Auswahl anhand der nur Facebook bekannten und verfügbaren Profildaten. Darauf abgestimmt erfolge die entsprechende Bewerbung. Somit sei ausschließlich Facebook in der Lage, die zu bewerbenden Kunden zu ermitteln. Die Antragstellerin selbst habe keinerlei Einfluss auf die Verarbeitung.

Keine Einwilligung und keine gesetzliche Grundlage für die Datenübermittlung gegeben
Auch lag für die Übermittlung der gehashten E-Mail-Adressen an Facebook weder eine Einwilligung der Betroffenen vor, noch war die Übermittlung durch eine gesetzliche Regelung gestattet. Zwar könne die Datennutzung zu Werbezwecken im Wege einer Interessenabwägung zulässig sein. Hierbei falle jedoch die Interessenabwägung zu Ungunsten der Antragstellerin aus. Diese habe zwar ein Interesse an zielgerichteter Werbung. Diesem Interesse stehen jedoch die überwiegenden, schutzwürdigen Interessen der Betroffenen gegenüber. Denn diese rechnen nicht damit, dass ihre im Rahmen eines Bestellvorgangs angegebene E-Mail-Adresse an Facebook übermittelt werden.

Auch Hashwerte sind personenbezogene Daten
Nach Ansicht des Gerichts komme auch nicht darauf an, dass lediglich Hashwerte übertragen worden seien. Diese Hashwerte enthielten zwar lediglich Information darüber, dass eine bestimmte Person auf einer Liste stehe. Aber auch derartige Informationen seien Daten. Gegenstand der Datenübermittlung sind die E-Mail-Adressen der Kunden, die lediglich aus Gründen der Datenverarbeitung mittels einer Hashfunktion an Facebook übersandt werden. Anhand der identischen E-Mail-Adresse des Kunden werde das zu bewerbende Nutzerkonto ermittelt. Daher sei für die datenschutzrechtliche Prüfung maßgeblich darauf abzustellen, ob für die Weitergabe der E-Mail-Adressen eine rechtliche Grundlage bestehe. Erst durch die Übermittlung dieser Daten sei im zweiten Schritt die Information „Zugehörigkeit des Betroffenen zu einer Liste“ möglich.

Verwaltungsgerichtshof München, Urteil vom 26.09.2018, Az. 5 CS 18.1157

von Jana Krzewsky