Es sind Fragen, die jeden Betreiber von sogenannten Facebook-Fanpages schon länger beschäftigen. Wie sind die Fanseiten im weltweit größten sozialen Netzwerk nach Einführung der EU-Datenschutzgrundverordnung (DS-GVO) datenschutzrechtlich zu bewerten? Wie kann ich eine Seite rechtskonform betreiben? Wir hatten hierzu bereits im September des vergangenen Jahres berichtet.

Was bisher geschah…

Die Diskussion hatte im letzten Jahr eine Entscheidung des Europäischen Gerichtshofs (EuGH) ins Rollen gebracht. Dieser hatte mit Urteil vom 5. Juni 2018, Az.C-210/16, entschieden, dass Facebook und die jeweiligen Betreiber der Fanpage für die Verarbeitung personenbezogener Daten gemeinsam verantwortlich i.S.v. Art. 26 DS-GVO sind. Gemeinsame Verantwortlichkeit erfordert mit Blick auf die jeweiligen Verarbeitungsvorgänge, aber vor allem auch hinsichtlich der Erfüllung der Betroffenenrechte, eine entsprechende gemeinsame Vereinbarung, mit der Klarheit über die beiderseitigen Verantwortungsbereiche und Zuständigkeiten geschaffen wird. Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) hatte als Konsequenz aus der EuGH-Entscheidung in einem gemeinsamen Beschluss vom 5. September 2018 seinerzeit gefordert, dass die dort statuierten Anforderungen des Datenschutzrechts beim Betrieb von Fanpages erfüllt werden müssten. Wir hatten ebenfalls bereits darüber berichtet, dass Facebook als Reaktion auf das EuGH-Urteil und die Kritik der DSK – auch wenn dies öffentlich nicht so kommuniziert wurde – eine sogenannte „Seiten-Insights-Ergänzung bezüglich des Verantwortlichen“ ergänzt.

Positionspapier der DSK vom 1. April 2019

Hierzu hat sich die DSK nunmehr ebenfalls positioniert . Nach Ansicht der DSK erfüllt die von Facebook vorgenommene Ergänzung nicht die Anforderungen an die bei gemeinsamer Verantwortlichkeit zwingend vorgeschriebene Vereinbarung nach Art. 26 DS-GVO. Insoweit sei vor allem problematisch, dass sich Facebook hinsichtlich der Verarbeitung von Insights-Daten die alleinige Entscheidungsmacht einräumen lasse. Ferner seien auch die konkreten Verarbeitungstätigkeiten, die im Zusammenhang mit dem Betrieb der Fanpages durchgeführt werden, nicht hinreichend transparent und konkret dargestellt, so die DSK. Ein Nutzer bzw. der Besucher der Fanseite sei anhand der Angaben nicht in der Lage, die Rechtmäßigkeit der Verarbeitung seiner personenbezogenen Daten zu prüfen.

Die DSK bleibt damit dabei, dass Facebook zur Erfüllung der sowohl dem Fanpage-Betreiber als auch Facebook selbst obliegenden Rechenschaftspflicht nachbessern muss.

Folge des Positionspapiers für Fanpage-Betreiber

Das bereits 2018 entstandene Dilemma für die Fanpage-Betreiber besteht damit fort. Aus der gemeinsamen Verantwortlichkeit ergibt sich die Pflicht, über alle Verarbeitungen dem Umfang und der Art nach, zu informieren, soweit diese den Verantwortungsbereich des Seitenbetreibers betreffen. Problem hierbei ist aber, dass weder klar ist, welche Verarbeitungen das sind, noch wie der einzelne Betreiber der Fanpage an Informationen über solche Verarbeitungen gelangt, die er im Zweifel gar nicht selbst in der Hand hat.

Möchte man etwas Positives aus der Stellungnahme der DSK ziehen, so könnte man argumentieren, dass der Umstand, dass Facebook zur Nachbesserung aufgefordert wird, eher dagegen spricht, dass die Datenschutzbehörden in naher Zukunft gegen die Betreiber der Fanpages unmittelbar vorgehen. Auch weil die personellen Ressourcen hierfür fehlen. Ausschließen kann man dies jedoch nicht. Da auch das EuGH-Urteil noch nicht regelt, welche Pflichten den Fanpage-Betreiber konkret treffen und wie er diesen nachkommen kann, erscheint es in der Gesamtschau übertrieben, Fanpages mit Blick auf die vorstehenden Ausführungen einfach „abzuschalten“.

Praxistipp: Zum jetzigen Zeitpunkt sollten Fanpage-Betreiber die in der Seiten-Insights-Ergänzung von Facebook von Ihnen verlangten Maßnahmen umsetzen. Das heißt, Sie sollten

  • den Verantwortlichen deutlich auf der Fanpage benennen
  • einen Prozess zur Weiterleitung bei Ihnen eingehender Nutzeranfragen an Facebook einrichten
  • auf die Seiten-Insights-Ergänzung verlinken
  • die Besucher der Fanpage über die Rechtsgrundlage der Datenverarbeitung informieren
  • die Situation der gemeinsamen Verantwortlichkeit und ihre wesentlichen Folgen für die Besucher transparent in einer kurzen Beschreibung darstellen

Teilweise können die vorstehenden Informationen auch über die Verlinkung auf die eigene Datenschutzerklärung des Fanpage-Betreibers erfüllt werden.

Autor: Sebastian Keilholz