Betrieb von Facebook Fanpage-Seiten ist weiterhin nicht datenschutzkonform möglich.
Nahezu ein Jahr nach dem weitreichenden Facebook- Fanpage Urteil des EuGH vom 5. Juni 2018 (C-210/16) hat die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) in einer neuen Stellungnahme vom 01.04.2019 klargestellt, dass der Betrieb einer Facebook Fanpage weiterhin nicht datenschutzkonform möglich sei und den deutschen Behörden die Möglichkeit offenstehe gegen deutsche Betreiber von Fanpages vorzugehen.
Rückblick:
Der EuGH entschied mit Urteil vom 5. Juni 2018, dass Facebook sowie die Fanpage Betreiber eine gemeinsame Verantwortlichkeit für die auf Fanpages verarbeiteten personenbezogenen Daten (Speziell „Facebook- Insights Daten“) treffe.
In einer auf das EuGH Urteil folgenden Stellungnahme vom 5. September 2018 führte die DSK aus, dass das EuGH Urteil den Fanpage- Betreiber insbesondere auferlegt, die Rechtmäßigkeit der gemeinsamen Datenverarbeitung zu gewährleisten und dies auch nachweisen zu können. Zudem müsse für Betroffene die Möglichkeit bestehen, ihre Rechte aus der DSGVO bei und gegenüber jedem Verantwortlichen geltend machen zu können.
Auf diese Stellungnahme der DSK reagierte Facebook und veröffentlichte am 11. September 2018 unter anderem das Dokument „Seiten-Insights-Ergänzung bezüglich des Verantwortlichen“. Mit diesem Dokument erhoffte man sich bei Facebook, die Gemeinsame Verantwortlichkeit zwischen dem Fanpage Betreiber und Facebook rechtkonform gemäß Art. 26 DSGVO regeln zu können.
DSK Stellungnahme vom 01.04.2019:
In seiner jetzigen Stellungnahme wies die DSK diesen Versuch von Facebook als ungenügend zurück und stellte klar, dass ein datenschutzkonformer Betrieb einer Facebook-Fanpage weiterhin nicht möglich sei.
Insbesondere heißt es in der Stellungnahme:
„Diese von Facebook veröffentliche „Seiten-Insights-Ergänzung bezüglich des Verantwortlichen“ erfüllt nicht die Anforderungen an eine Vereinbarung nach Art. 26 DSGVO. Insbesondere steht es im Widerspruch zur gemeinsamen Verantwortlichkeit gemäß Art. 26 DSGVO, dass sich Facebook die alleinige Entscheidungsmacht „hinsichtlich der Verarbeitung von Insights-Daten“ einräumen lassen will.“
„Die von Facebook veröffentlichten Informationen stellen zudem die Verarbeitungstätigkeiten, die im Zusammenhang mit Fanpages und insbesondere Seiten-Insights durchgeführt werden und der gemeinsamen Verantwortlichkeit unterfallen, nicht hinreichend transparent und konkret dar. Sie sind nicht ausreichend, um den Fanpage-Betreibern die Prüfung der Rechtmäßigkeit der Verarbeitung der personenbezogenen Daten der Besucherinnen und Besucher ihrer Fanpage zu ermöglichen.“
Fazit:
Die Stellungnahmen der DSK haben grundsätzlich keinen rechtsverbindlichen Charakter, sie zeigen jedoch auf, wie die deutschen Datenschutzbehörden den Sachverhalt beurteilen.
Zwar sind noch keine Fälle bekannt, in denen Aufsichtsbehörden Bußgeldverfahren gegen Fanpage Betreiber eröffnet haben, jedoch betont die DSK in ihrer jetzigen Stellungnahme, dass den deutschen Aufsichtsbehörden gemäß Art. 55 ff DSGVO die Möglichkeiten gegeben ist, gegen deutsche Fanpage Betreiber vorzugehen.
Betreibern von Facebook Fanpages bleibt daher entweder die Möglichkeit ihre Fanpages zu schießen oder darauf zu vertrauen, dass sich die Aufsichtsbehörden weiter in Zurückhaltung üben.
Wir empfehlen bei Weiterbetrieb der Facebook Fanpage zumindest die eigenen datenschutzrechtlichen Möglichkeiten voll auszuschöpfen. Hierzu zählt zum Beispiel eine ordnungsgemäße Datenschutzerklärung, die unter anderem transparent die Datenverarbeitung auf der Fanpage beschreibt und die hierfür erforderliche Rechtsgrundlage nennt.
Ansprechpartner:
Thomas Hertl t.hertl@asd-law.com
Adrian Kowalski a.kowalski@asd-law.com