InR

ULD kann Facebook-Fanpages nicht verbieten

Das unabhängige Landeszentrum für Datenschutz (ULD) in Schleswig-Holstein hatte für sämtliche Unternehmen in seinem Zuständigkeitsbereich verfügt, ihre Fanseiten auf Facebook zu deaktivieren. Andernfalls drohten ihnen Bußgelder von bis zu 50.000 Euro. Begründet wurde die Verfügung mit der Tatsache, dass die Erhebung und Nutzung der persönlichen Daten der Fanseiten-Besucher auf Facebook überwiegend ohne deren Wissen und Einwilligung geschieht. Somit würde gegen geltendes Datenschutzrecht verstoßen. Betroffene Unternehmen klagten, weil sie sich ohne Facebook-Fanseiten im Wettbewerb benachteiligt sahen.

Das Gericht stellte fest, dass das Besuchen der Fanseiten auf Facebook Datenschutzverletzungen zur Folge hat. Bei dem Besuch einer Fanseite würden sowohl Angaben von Facebook-Mitgliedern als auch Nichtmitgliedern an Facebook in den USA übermittelt. Darüber würden Fanseiten-Besucher weder informiert noch um Einwilligung dazu gebeten, wie es das Telemediengesetz eigentlich vorsähe. Der Umfang der Datenschutzverstöße sei jedoch irrelevant, da die Unternehmen selber keinerlei Einfluss darauf hätten. Die Datenerhebung und weitere Nutzung geschähe ausschließlich durch Facebook selbst. Folglich können die Unternehmen für die Datenschutzverletzungen rechtlich nicht verantwortlich gemacht werden.

Auf der eingerichteten Fanseite werden persönliche Daten durch Facebook erhoben und weiterverarbeitet. Die Unternehmen können kostenlos eine anonymisierte statistische Auswertung dieser Daten erhalten. Die persönlichen Daten werden durch Facebook selbst weiter genutzt und mit den Daten der Nutzerprofile zusammengeführt. Somit ist keine Anonymität für die Fanseiten-Besucher gegeben. Jede Aktivität wird registriert, mitprotokolliert und dem jeweiligen Profil zugeordnet.

Das ULD sah die betroffenen Unternehmen als Diensteanbieter im Sinne des Telemediengesetzes an. Demzufolge haben sie ihre Fans bzw. Kunden nach dem Bundesdatenschutzgesetz zu behandeln und über die Erhebung und Nutzung deren persönlicher Daten beim Besuch der Fanseiten aufzuklären.

Die Unternehmen wiesen diese Verantwortung mit der Begründung zurück, weder selber persönliche Daten zu erheben, noch weiterzuverarbeiten oder zu nutzen. Weiter gäben sie dies bei Facebook auch nicht in Auftrag. Sie seien zu keiner Zeit im Besitz der erhobenen Daten und somit datenschutzrechtlich nicht verantwortlich. Auf den Umgang mit persönlichen Daten ihrer Fans durch Facebook hätten sie keinerlei Einfluss.

Konkret lastete das ULD den einzelnen Unternehmen an, dass durch den Besuch ihrer Fanseiten u. a. IP-Adressen und persönliche Daten wie Vorname, Familienname und Geburtsdatum ohne Wissen und Einwilligung der Betroffenen von Facebook zu Werbezwecken verwendet würden. Ein Widerspruch dagegen sei nicht möglich und durch Facebook technisch auch nicht vorgesehen. Daher bewirke die Einrichtung einer Fanseite auf Facebook, dass gegen geltendes Datenschutzrecht verstoßen würde, indem persönliche Daten der Fanseiten-Besucher gesammelt würden und Facebook daraus Nutzungsprofile erstellen würde. Daher sah das ULD die Unternehmen datenschutzrechtlich in der Verantwortung. Da diese den Fanseiten-Besuchern selber keine Möglichkeit einräumen können, der Nutzung ihrer persönlichen Daten zu widersprechen, untersagte ihnen das Landesamt, die Fanseiten weiter zu betreiben. Es ordnete deren Deaktivierung an.

Der Widerspruch eines betroffenen Unternehmens wurde vom Landesamt abgewiesen. Es begründete dies damit, dass das Einrichten der Fanseite durch das Unternehmen bewusst geschähe und damit aktiv und willentlich zur Erhebung personenbezogener Daten durch Facebook beigetragen würde. Dabei spiele es keine Rolle, ob das Unternehmen selber die personenbezogenen Daten erhält oder nicht. Mit dem Einrichten der Fanseiten bestimme es den Zweck der Datenerhebung mit. Auch wenn es die Nutzungsstatistiken für eigene geschäftliche Zwecke in anonymisierter Form erhielte, so seien diese nur durch die zuvor erhobenen persönlichen Daten möglich. Im Umkehrschluss würde ein Umgang mit persönlichen Daten entgegen der Datenschutzbestimmungen nicht stattfinden, wenn das Unternehmen auf das Betreiben einer Facebook-Fanseite verzichtet hätte.

Das Unternehmen reichte Klage ein und argumentierte, per Gesetz als Diensteanbieter nur für eigene Datenverarbeitung verantwortlich zu sein. Auf die Erhebung persönlicher Daten durch den Besuch der Fanseite habe es keinerlei tatsächlichen Einfluss und könne deren Zweck nicht bestimmen. Es gebe diese weder in Auftrag, noch verfüge es über die erhobenen Daten oder könne auf sie zugreifen. Diese technischen Prozesse laufen ausschließlich innerhalb der Infrastruktur von Facebook ab.

Das Landesamt beantragte, die Klage abzuweisen, da das Einrichten der Fanseite Voraussetzung dafür sei, Verstöße gegen den Datenschutz durch Facebook zu ermöglichen.

Das Gericht erörterte: Datenschutzrechtlich verantwortlich ist derjenige, der über den Zweck und die Mittel der Datenerhebung entscheidet. Das schließt das bloße Möglichmachen der Datenerhebung nicht mit ein. Mit dem Einrichten einer Fanseite entscheidet das Unternehmen weder über Zweck noch über Mittel der Datenverarbeitung durch Facebook. Das Auswerten persönlicher Daten zu statistischen Zwecken geschieht automatisch und folgt nach Angaben von Facebook dem irischen Datenschutzrecht. Der Fanseiten-Betreiber profitiert davon, wenn er sich dazu entschließt, die Statistik (genannt "Insights") anzufordern. Das Betreiben von Facebook-Fanseiten stellt keine vertragliche Beziehung zwischen dem Unternehmen und Facebook dar, die eine Datenverarbeitung beinhaltet. Eine Fanseite bei Facebook bietet keine Entscheidungsmöglichkeiten wie es bei einer eigenen Webseite der Fall wäre. Somit bleibt für das Unternehmen allein die Entscheidung, eine Fanseite einzurichten oder nicht. Davon ausgehend kann keine Verantwortlichkeit im rechtlichen Sinne für die Datenverarbeitung abgeleitet werden.

Das Gericht befand die Klage für berechtigt und hob den Widerspruchsbescheid des ULD auf. Somit ist die Anordnung der Deaktivierung der Facebook-Fanseiten rechtswidrig. In der Begründung stellt das Gericht fest, dass es in der Sache allein um die datenschutzrechtliche Verantwortlichkeit des Unternehmens als Diensteanbieter gehe. Diese Verantwortlichkeit ergibt sich ausschließlich aus dem Telemediengesetz, dem Bundesdatenschutzgesetz (BDSG) und ergänzender Richtlinien (RL). Folglich verneint das Gericht auch eine Mitverantwortlichkeit des Unternehmens an der Datenverarbeitung durch Facebook. Deshalb geht es auf formale Umstände bezüglich der Untersagung einer Fanseite durch Anordnung des Landesamtes nicht weiter ein.

Das Bundesdatenschutzgesetz sieht keine Verantwortlichkeit gegenüber Ursachen, die zu Datenerhebungen führen, vor. § 3 Abs. 7 BDSG und Art. 2 d) RL 95/46/EG regeln die Verantwortlichkeit bezüglich der Datenverarbeitung abschließend. Daher kann weder auf Regelungen aus dem Privatrecht noch dem Polizei- oder Ordnungsrecht zurückgegriffen werden. Somit kann rechtlich nicht dagegen vorgegangen werden, dass ein Unternehmen durch das Eröffnen einer Fanseite auf Facebook ursächlich die rechtswidrige Datenerhebung und -verarbeitung durch Facebook möglich macht.

Das bedeutet derzeit für den Kunden und Verbraucher: Unternehmen können sich bewusst für eine Fanseite in einem sozialen Netzwerk entscheiden, von welchem bekannt ist, dass es die vom Fanseiten-Besucher im Vertrauen in das Unternehmen preisgegebenen Daten entgegen geltende Datenschutzrichtlinien verwenden wird.

VG Schleswig-Holstein, Urteil vom 09.10.2013, Az. 8 A 218/11