Es ist heute in aller Munde: Der Europäische Gerichtshof hat in seinem gestrigen Urteil entschieden, dass Facebook-Seitenbetreiber nunmehr in Bezug auf die Datenverarbeitung auf Facebook als gemeinsame Verantwortliche neben Facebook selbst zu bewerten sind.
Was ist nun zu tun? Die Fan- oder Unternehmensseite abschalten? Oder abwarten?

BETREIBER ENTSCHEIDEN MIT UND PROFITIEREN

Wie der EuGH feststellte können Unternehmen Kriterien (z.B. Alter, Geschlecht, berufliche Situation) auswählen, um die Besucherstatistiken zu personalisieren oder z.B. auch geografische Daten verlangen, die sie darüber informieren, wo spezielle Werbeaktionen durchzuführen sind. Damit wird ihnen ermöglicht, ihr Informationsangebot so zielgerichtet wie möglich zu gestalten. Somit bestimmen Sie auch an der Datenverarbeitung mit und sind als gemeinsame Verantwortliche gem. Art. 26 DSGVO zu sehen.

REAKTIONEN VON EXPERTEN – WAS IST ZU TUN?

Netzpolitik zB schreibt:
„Solange solche Fragen nicht geklärt sind, gehen wir nicht davon aus, dass Aufsichtsbehörden gegen Facebook-Seitenbetreiber vorgehen werden – schließlich sind sie an den Verhältnismäßigkeitsgrundsatz gebunden. Unabhängig davon bleibt das Abmahnproblem natürlich in seiner Rechtsunsicherheit schaffenden Weise bestehen. Solange der Gesetzgeber den deutschen Sonderweg der Abmahnindustrienicht endlich beendet, wird auch die Verunsicherung nicht enden.“
Ich denke IT-Rechtsanwalt Sören Siebert hat hier aber wohl die treffendsten Formulierungen gefunden:
„Eine mögliche Sichtweise ist:
Der EuGH hat (vereinfacht gesagt) geurteilt, dass jeder Betreiber einer Facebook-Fanpage auch für Datenschutzverstöße von Facebook verantwortlich gemacht werden kann. Auch dann, wenn er den Umgang von Facebook mit den Nutzerdaten in der Praxis kaum oder gar nicht beeinflussen kann.
Dann wäre das Abschalten der eigenen Facebook-Fanpage die einzige Möglichkeit, rechtlichen Konsequenzen zu entgehen. Zumindest bis Facebook hier für das Nutzertracking auf Facebook und Webseiten eine DSGVOkonforme Lösung zur Verfügung stellt.
Die andere Sichtweise:
Ganz so wild ist das alles nicht. Der EuGH hat betont, „dass die amerikanische Gesellschaft Facebook und … deren irische Tochtergesellschaft Facebook Ireland als „für die Verarbeitung“ der personenbezogenen Daten… „Verantwortliche“ anzusehen sind.“
Abmahnungen und behördliches Vorgehen gegen die Fanpage-Betreiber deshalb unverhältnismäßig, da man sich nun mit weiteren Maßnahmen zunächst an Facebook halten sollte.
Zudem muss nun in der Sache auch erst einmal wieder das Bundesverwaltungsgericht den Fall zu Ende führen. Wobei dieses grundsätzlich an die Entscheidungen des EuGH gebunden ist, allerdings auch einen eigenen Beurteilungsspielraum in bestimmten Punkten besitzt.
Und was sollen Betreiber von Facebook Fanpages jetzt konkret tun?

• Wenn Sie jedes rechtliche Risiko scheuen, sollten Sie Ihre Fanpage deaktivieren.
• Wenn Sie etwas risikofreudiger sind, warten Sie ab, ob ggf. das Bundesverwaltungsgericht der Sache noch einen neuen Aspekt hinzufügen wird.

Der einzig sinnvolle Weg, die Daten der Nutzer und die wirtschaftlichen Interessen der Fanpage-Betreiber in Einklang zu bringen wäre natürlich, dass Facebook nun reagiert und verstärkt über den Umgang mit den Daten der Nutzer informiert und auf datenschutzkonforme Prozesse setzt.
Wie wahrscheinlich dies ist, kann aktuell aber niemand vorhersagen.“
Das Urteil hat ja hier ganz klar eine gemeinsame Verantwortlichkeit von Facebook und Betreiber gem. Art. 26 DSGVO festgelegt. Daraus ergibt sich neben einer eigenen Datenschutzerklärung auf der Social Media Seite die Verpflichtung…

• …einen Vertrag zur gemeinsamen Verantwortlichkeit mit Facebook abzuschließen (das wird FB nicht tun, vor allem nicht wenn der Betreiber hier einenen Vertrag vorlegt) –> Datenschutzverstoß und bußgeldbewährt
• …alle Informationspflichten nach Art. 13 DSGVO gegenüber den Social Media Nutzern zu liefern, was Sie gar nicht können, da Sie das Wissen beim gemeinsamen Verantwortlichen (FB, Youtube, Twitter etc.) nicht haben –> Datenschutzverstoß und bußgeldbewährt
• …alle Betroffenenrechte (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruchsrecht, Beschwerderecht) umzusetzen. Auch das werden Sie nicht können ,da der Social Media Anbieter in den USA hier die Kontrolle hat, SIE als Seitenbetreiber jedoch gem. Art. 26 Abs. 3 DSGVO dennoch zur Umsetzung verpflichtend sind. –> Datenschutzverstoß und bußgeldbewährt

Unterm Strich ist also mit Anpassung von Datenschutzerklärungen in Bezug auf Facebook kaum gedient, wie auch IT-Rechtsanwalt Solmecke schreibt:
„…müssen Betreiber nun Nutzern gegenüber Auskunft erteilen, ob Daten gespeichert und verarbeitet werden und wenn ja, wie genau. Dass jedoch kann nur Facebook, da Betreibern überhaupt nicht bekannt ist, in welcher Art und Weise Daten von Facebook erhoben und verarbeitet werden. Ein Irrsinn, denn damit steht es derzeit Fanpage-Betreibern nur noch offen, ihre Seiten zu löschen. Eine rechtskonforme Umsetzung ist derzeit schlicht unmöglich. Unternehmer müssen nun den Nutzen der eigenen Seite einerseits und das Risiko von etwaigen Abmahnkosten abwägen. Wer keine hohen Kosten tragen kann oder will, der muss seine Seite wohl oder übel offline stellen“
Entweder man schaltet also die Social Media Seiten vorübergehend ab, bis Rechtssicherheit herrscht ODER man wartet erst mal ab, wie RA Siebert vorschlägt, was das Bundesverwaltungsgericht dazu sagen wird oder Facebook hier nachzieht.