Facebook & Datenschutz: Das müssen Seiten­be­treiber wissen

Das Thema Datenschutz und Privat­sphäre im Netz bringt weiterhin für neue Entwick­lungen in der Rechtsprechung. Nachdem Ende Mai 2018 die Europäische Datenschutz­grund­ver­ordnung (DSGVO) endgültig in Kraft getreten ist, sorgt nun das höchste europäische Gericht für Schlag­zeilen: Nach einem jahrelangen Rechts­streit entschied der Europäische Gerichtshof (EuGH): sowohl das Unternehmen Facebook, als auch die jeweiligen Betreiber von Facebook-Fanseiten sind auf den jeweiligen Fanseiten für den Datenschutz verant­wortlich.

Mit der Entscheidung vom 05.06.2018 schützt der EuGH die Privat­sphäre der Nutzer. Gleich­zeitig sorgt er aber für Unsicherheit bei Unternehmen, Behörden und weiteren Institu­tionen. Für die war das Betreiben einer Facebook-Seite bisher selbst­ver­ständlich. Jetzt schürt das EuGH-Urteil die Angst vor Bußgeldern und Abmahnungen wegen Datenschutz­ver­let­zungen. Ist das Betreiben einer Facebook-Seite zum Risiko geworden?

Was bedeutet das Urteil konkret für Facebook-Seiten­be­treiber?

Dies ist zum aktuellen Zeitpunkt (Stand: 08.06.2018) schwer zu sagen. Nach der Verkündung des Urteils war bereits in dem einen oder anderen Beitrag zu lesen: Das rechts­konforme Betreiben einer Fanseite in dem sozialen Netzwerk mit Hauptsitz in den USA sei nun nicht mehr möglich. Wer als Betreiber sicher gehen möchte, müsse seine Seite(n) entweder löschen oder zumindest vorüber­gehend deakti­vieren. Prof. Niko Härting, Rechts­anwalt für Internetrecht und Mitglied im Deutschen Anwalt­verein, hält allerdings wenig von zu drastischen Schritten: „Voreilige Panik rächt sich meist. Wer jetzt seine mühsam aufgebaute Fanseite löscht oder deaktiviert, schneidet sich ins eigene Fleisch.“

Denn der EuGH habe nicht entschieden, dass Unternehmen oder Personen innerhalb der EU keine Fanseiten betreiben dürfen. Oder das dieses Betreiben an sich gegen den Datenschutz verstoße. Entschieden habe das Gericht nur, dass Seiten­be­treiber für den Datenschutz auf den Fanseiten mitver­ant­wortlich seien. „Ob es tatsächlich Datenschutz­verstöße gibt, werden jetzt die deutschen Verwal­tungs­ge­richte entscheiden müssen. Der Prozess geht somit weiter und ist noch lange nicht zu Ende“, lautet die Einschätzung von Professor Härting.

Gefahr von Abmahnungen und Bußgeldern: Müssen Seiten­be­treiber reagieren?

Wer nicht die Maximal­lösung, also die Löschung/Stilllegung der Seite wählen möchte, sollte sich von dem Thema zunächst nicht verunsichern lassen und in Geduld üben. Rechts­anwalt Härting ist überzeugt: „Facebook wird für die Fanpages früher oder später Verträge anbieten müssen, die mit dem Art. 26 DSGVO konform sind. In diesen Verträgen muss definiert werden, wer für die Informations-, Auskunfts- und Löschungs­rechte der Betroffenen zuständig ist." Das sei die logische Konsequenz des Urteils. Diese Verträge werden sich Seiten­be­treiber dann ansehen und im Zweifel unterschreiben müssen.

Denkbar ist auch, dass Facebook als Dienst neue Privat­sphäre-Einstel­lungen zur Verfügung stellt. Über diese könnten Nutzer dann wählen, ob ihre personen­be­zogenen Daten auf der jeweiligen Fanseite erhoben werden dürfen. Derzeit gibt es für Nutzer keine Möglichkeit, diese Privat­sphäre-Einstel­lungen vorzunehmen n.

Auch die "Konferenz der unabhängigen Datenschutz­be­hörden des Bundes und der Länder" (DSK) betont den Handlungs­bedarf für das Unternehmen Facebook. In einer Stellungnahme zum EuGH-Urteil schreibt der DSK, es sei "nicht zu verkennen, dass die Fanpage-Betreiber ihre datenschutz­recht­lichen Verant­wortung nur erfüllen können, wenn Facebook selbst an der Lösung mitwirkt und ein datenschutz­kon­formes Produkt anbietet,"

Derzeit ist auch nicht davon auszugehen, dass Datenschutz­be­hörden Bußgeld­ver­fahren gegen Unternehmen oder andere Betreiber von Fanpages einleiten. Zumindest nicht, solange die Verwal­tungs­ge­richte den Fall nicht abschließend entschieden haben.

Datenschutz auf Facebook: Wie kam es zur Entscheidung des EuGH?

Zugrunde liegt dem Urteil des EuGH vom 05.06.2018 ein Fall aus Deutschland: Die IHK-Wirtschafts­akademie Schleswig-Holstein betrieb auf Facebook eine Seite rund um die Akademie. Der damalige Datenschutz­be­auf­tragte des Landes Schleswig Holsteins ordnete 2011 die Schließung dieser Facebook-Seite an.

Nach der Ansicht des Datenschützers sei der Schutz der Privat­sphäre auf Facebook nicht gewähr­leistet. Denn mittels sogenannter „Cookies“ erhebe der Dienst von den Nutzern personen­be­zogene Daten, zum Beispiel die IP-Adresse. Diese Daten stelle Facebook wiederum den Seiten­be­treibern kostenlos zur Verfügung, um Werbung präziser aussteuern zu können. Ohne, dass Betreiber oder Nutzer eine Möglichkeit hätten, das abzulehnen oder mittels Einstellung zu ändern.

Die Wirtschafts­akademie wollte sich der Anordnung nicht beugen und betrieb die Seite weiter. Dagegen klagte das Land Schleswig-Holstein. In Deutschland ging der Fall bereits durch die Instanzen. Bisher urteilten die nationalen Gerichte dabei zugunsten der Akademie. Das Bundes­ver­wal­tungs­gericht (BVerwG) überwies den Fall schließlich an den Europäischen Gerichtshof, der den deutschen Gerichten widersprach.

Hat das Urteil des EuGH Auswirkung auf die DSGVO?

Nicht direkt. Das Urteil des EuGH vom 05.06.2018 basiert noch auf der EU-Datenschutz­richtlinie von 1995. Also dem Gesetz, das Ende Mai 2018 endgültig von der DSGVO abgelöst wurde. Aber auch die DSGVOV definiert, wer "Verant­wort­licher" für die Verarbeitung von Daten ist. In diesen Passagen ist die neue Verordnung mit der alten Gesetz­gebung wortgleich.

Fanpages und Datenschutz: Wie sehen die weiteren juristischen Schritte aus?

Die nächste zu klärende Frage ist, ob Facebook Fanseiten anbietet, die mit dem rechtlich gültigen Datenschutz konform sind. Darüber muss nun das Bundes­ver­wal­tungs­gericht (BVerwG) entscheiden. Es ist auch möglich, dass das BVerwG den Fall noch einmal eine Instanz nach unten reicht. Dann wird erneut vor dem Landes­ver­wal­tungs­gericht Schleswig-Holstein verhandelt.

Unter anderem wird dann auch geklärt werden müssen, in welchem Verhältnis sich der Dienst Facebook und die jeweiligen Seiten­be­treiber die Verant­wortung für Datenschutz teilen. Der EuGH hat sich in dieser Frage nicht festgelegt. Ob also am Ende "50/50" gilt, ist keine beschlossene Sache. Eine gewisse Zeit wird also noch vergehen, bis sich genauer sagen lässt, welche Regeln zum Datenschutz für Seiten­be­treiber gelten.

Facebook: Wie können sich Seiten­be­treiber vor Abmahnungen schützen?

Vom Schutz der Privat­sphäre der Nutzer einmal abgesehen: Wer eine kommer­zielle oder öffentliche Seite in dem sozialen Netzwerk betreibt, sollte sicher­stellen, dass er die allgemeinen rechtlichen Vorgaben erfüllt - dazu gehören:

• Das Aufführen eines rechtsgültigen Impressums.
• Sorgfalt, dass bei Auswahl von Namen, Titel und Inhalt keine Markenrechte verletzt werden.
• Achtung des Urheber- und Persönlichkeitsrechts bei Veröffentlichungen von Fotos und Videos

Auch wenn es derzeit noch keine Pflicht zu einer Datenschutz­er­klärung auf Facebook gibt - eine derartige Erklärung vorzube­reiten und im "Info"-Bereich der Seite einzupflegen, kann durchaus sinnvoll sein.

Wird man als Betreiber tatsächlich mit einer Abmahnung konfrontiert, rät Internetrecht-Experte Niko Härting zu Gelassenheit und profes­sio­neller Unterstützung: „Niemals einfach unterschreiben. Der Gang zum Anwalt lohnt sich bei einer Abmahnung fast immer.“

Sich von einem Rechts­experten rund um das Thema Datenschutz beraten zu lassen, kann sich allerdings auch ohne Abmahnung im Briefkasten lohnen. Eine qualifi­zierte Rechts­be­ratung kann unangenehme Überra­schungen im Vorfeld bereits verhindern und die Rechts­si­cherheit eines Web-Auftritts fachmännisch prüfen.