Sind Facebooks Fanpages rechtswidrig? Die Datenschutzkonferenz sagt ja

Im Juni hatte der EuGH geurteilt, dass Betreiber von Fanpages bei Facebook ebenso wie das Soziale Netzwerk für die Durchsetzung von Datenschutzbestimmungen verantwortlich sind. Allerdings bemängelt die Datenschutzkonferenz in einem Beschluss nun, dass eine Vereinbarung zur gemeinsamen Verantwortlichkeit gemäß der DSGVO nicht vorliegt – was die Facebook-Seiten grundsätzlich zu widerrechtlichen mache.

Die Datenschutzkonferenz betont die gemeinsame Verantwortung

Infolge des Urteils des EuGH hatte Facebook im Juni angekündigt, man werde „die notwendigen Schritte unternehmen, um es den Seitenbetreibern zu ermöglichen, ihren rechtlichen Verpflichtungen nachzukommen.“ Weiter hieß es im Blogpost:

Wir werden unsere Nutzungsbedingungen bzw. Richtlinien für Seiten aktualisieren, um die Verantwortlichkeiten sowohl von Facebook als auch von Seitenbetreibern klarzustellen, und damit auch die Einhaltung der rechtlichen Vorgaben für die Seitenbetreiber zu erleichtern.

Doch ist in der Datenrichtlinie Facebooks keine konkrete Vereinbarung nachzuvollziehen, die klarstellt, welche Partei für welche Aspekte des Datenschutzes im Kontext der Fanpages verantwortlich zeichnet. Allerdings bedarf es nach der DSGVO, Art. 26 genau solch einer transparenten Vereinbarung:

Gemeinsam für die Verarbeitung Verantwortliche

(1)   Legen zwei oder mehr Verantwortliche gemeinsam die Zwecke der und die Mittel zur Verarbeitung fest, so sind sie gemeinsam Verantwortliche. Sie legen in einer Vereinbarung in transparenter Form fest, wer von ihnen welche Verpflichtung gemäß dieser Verordnung erfüllt, insbesondere was die Wahrnehmung der Rechte der betroffenen Person angeht, und wer welchen Informationspflichten gemäß den Artikeln 13 und 14 nachkommt, sofern und soweit die jeweiligen Aufgaben der Verantwortlichen nicht durch Rechtsvorschriften der Union oder der Mitgliedstaaten, denen die Verantwortlichen unterliegen, festgelegt sind. In der Vereinbarung kann eine Anlaufstelle für die betroffenen Personen angegeben werden.

(2)   Die Vereinbarung gemäß Absatz 1 muss die jeweiligen tatsächlichen Funktionen und Beziehungen der gemeinsam Verantwortlichen gegenüber betroffenen Personen gebührend widerspiegeln. Das wesentliche der Vereinbarung wird der betroffenen Person zur Verfügung gestellt.

(3)   Ungeachtet der Einzelheiten der Vereinbarung gemäß Absatz 1 kann die betroffene Person ihre Rechte im Rahmen dieser Verordnung bei und gegenüber jedem einzelnen der Verantwortlichen geltend machen

Nun macht die Konferenz der unabhängigen Datenschutzaufsichtsbehörden
des Bundes und der Länder in ihrem Beschluss deutlich, dass die Fanpages auf Grundlage der aktuellen Datenschutzrichtlinie bei Facebook rechtlich nicht haltbar seien:

Auch Fanpage-Betreiberinnen und Betreiber müssen sich ihrer datenschutzrechtlichen Verantwortung stellen. Ohne Vereinbarung nach Art. 26 DSGVO ist der Betrieb einer Fanpage, wie sie derzeit von Facebook angeboten wird, rechtswidrig.

Die Datenschutzkonferenz fordert Maßnahmen und stellt einen Fragenkatalog zur Verfügung

Damit die Facebook-Seiten rechtskonform bleiben beziehungsweise wieder werden, ersucht die DSK Facebook eine gemeinsame Verantwortlichkeit transparent zu machen – wie es vor Monaten schon angekündigt worden war. Diese würde auch bedeuten, dass User ebenso von Seitenbetreibern erwarten können Auskunft über die Datenverarbeitung zu erhalten (DSGVO Art. 26, Abs. 3).

Im Zuge ihrer Beratung hat die Datenschutzkonferenz acht Fragen ausgearbeitet, die die gemeinsam Verantwortlichen beantworten können sollen. Darunter finden sich Fragen wie:

In welcher Art und Weise wird zwischen Ihnen und anderen gemeinsamen Verantwortlichen festgelegt, wer von Ihnen welche Verpflichtung gemäß der DSGVO erfüllt? (Art. 26 Abs. 1 DSGVO)

oder :

Wie stellen Sie sicher, dass die Betroffenenrechte (Art. 12 ff. DSGVO) erfüllt werden können, insbesondere die Rechte auf Löschung nach Art. 17 DSGVO, auf Einschränkung der Verarbeitung nach Art. 18 DSGVO, aus Widerspruch nach Art. 21 DSGVO und auf Auskunft nach Art. 15 DSGVO?

Nun können die Seitenbetreiber all die Fragen aber nur mit Facebooks Kooperation beantworten. Das heißt, dass Facebook tatsächlich auf eine Vereinbarung zur gemeinsamen Verantwortlichkeit pochen müsste, um die Fanpages aus Sicht der Datenschutzaufsichtsbehörden des Bundes und der Länder legitim zu gestalten. Dass Facebook aber den Seitenbetreibern so rundheraus Einblick in ihre Praktiken gewährt, dass sie die vorliegenden Fragen selbst beantworten könnten, ist unwahrscheinlich.

Facebook ist in der Pflicht; aber sind die Seiten wirklich gefährdet?

Tatsächlich steht Facebook in der Pflicht, die Verantwortlichkeit für die Durchsetzung von Datenschutzrichtlinien bei Facebook-Seiten transparenter darzustellen. Das fordert die DSGVO und die europäische Gerichtsbarkeit. Allerdings sind auch bis heute die Fanpages trotz dieser Anforderungen und eines Mangels an der Erfüllung derselben nicht von der Bildfläche verschwunden. Dennoch dürfte der Beschluss für viele Unternehmen Auswirkungen haben, sofern er deren Fanpages ihre Legitimität nicht nur theoretisch abspricht, sondern auch eine Prüfung bedingt. Im Facebookpost von Rechtsanwalt Dr. Thomas Schwenke wird deutlich, wie das Szenario sich entfalten könnte.

Viele Seitenbetreiber sind nun besorgt; womöglich zurecht, sollte von Datenschutzseite die Forderung an diese gestellt werden alle Maßnahmen zur Durchsetzung der Datenschutzrichtlinien bei Facebook aufzudecken. Denn das ist derzeit wohl nicht möglich. Im Übrigen dürften diese Anforderungen auch bei anderen sozialen Plattformen Geltung erlangen.

Seitenbetreiber stehen im Lichte dieser Aussagen nun vor der Frage, ob sie ihre Seiten einstellen sollten oder nicht. Zunächst könnten sie auch einfach nur offline geschaltet werden. Letztlich handeln sie rechtlich in einem Graubereich, wenn sie es nicht tun. Facebook selbst ist nun gefragt und sollte Klarheit in die Sache bringen. Andernfalls könnte es dazu kommen, dass viele Fanpages demnächst von der Bildfläche verschwinden. Oder mit Bußgeldern etc. zu rechnen haben. Die Entwicklung wird mit Spannung zu verfolgen sein. Für Datenschützer ebenso wie für die Seitenbetreiber und die User.

Die Rechtsgrundlage zur Datenverarbeitung bei Facebook könnt ihr übrigens hier nachvollziehen.

UPDATE

Wie jüngst bekannt wurde, hat Facebook nun eine Ergänzung zu den bisherigen Bestimmungen für Seitenbetreiber vorgelegt. Diese beginnt wie folgt:

Facebook Ireland Limited („Facebook Ireland“) und du seid gemeinsam Verantwortliche für die Verarbeitung von Insights-Daten. Diese Seiten-Insights-Ergänzung legt die jeweiligen Verantwortlichkeiten von Facebook Ireland und dir im Hinblick auf die Verarbeitung von Insights-Daten fest.

Den Seitenbetreibern wird geraten sich ihrer Rechtsgrundlage für die Verarbeitung von Insights-Daten zu versichern. Allerdings übernimmt Facebook Ireland die „primäre Verantwortung“ und:  „Facebook Ireland entscheidet nach seinem alleinigen Ermessen, wie es seine Pflichten gemäß dieser Seiten-Insights-Ergänzung erfüllt.“ Sollte eine Person oder Aufsichtsbehörde sich in Bezug auf die Datenverarbeitung bei Seitenbetreibern melden, müssen diese die Anfrage an Facebook weiterleiten und können dazu ein Formular einreichen. Dazu heißt es dann auch:

Du stimmst zu, zeitnah sämtliche angemessenen Anstrengungen zu unternehmen, um mit uns an der Beantwortung jedweder derartigen Anfrage zusammenzuarbeiten. Du bist nicht berechtigt, im Namen von Facebook Ireland zu handeln oder zu antworten.