Mithaftung für Facebook-Fanpages: Das müssen Sie jetzt tun

Zunächst einmal: "Behalten Sie die Angelegenheit im Auge, aber rennen Sie nicht verrückt im Kreis." Der Rat der Juristin ist angebracht angesichts der Aufregung, die das Urteil des Europäischen Gerichtshofs (EuGH) vom 05.06.18 ausgelöst hatte. Darin hatte der EuGH entschieden, dass Unternehmen, die Facebook-Fanpages betreiben, gemeinsam mit Facebook für den Umgang mit personenbezogenen Daten haften.

Kurz darauf hat sich auch die Datenschutzkonferenz (DSK), der Zusammenschluss der Vertreter der deutschen Aufsichtsbehörden, zu dem Urteil geäußert unter dem Titel: "Die Zeit der Verantwortungslosigkeit ist vorbei". Den Inhalt erklärt Nina Diercks so: "Zunächst hält die DSK klipp und klar fest, dass sich die vom EuGH fest gestellte gemeinsame Verantwortung auch auf das geltende Recht erstreckt. Das heißt dann natürlich auch, dass die der gemeinsamen Verantwortung unterliegenden Parteien jeweils ihren nach der DSGVO bestehenden Informationspflichten nachkommen und den Betroffenen in ihren Rechten abhelfen können müssen."

Wie hat das konkret auszusehen? Wer eine Fanpage besucht, muss über die Datenverarbeitung transparent informiert werden. Das bedeutet, dass der Betreiber entsprechende Informationen zur Datenverarbeitung (IDV) nach Art. 12, 13 DSGVO, besser bekannt als "Datenschutzerklärung", im Hinblick auf seine Facebook-Seite geben sollte, beispielsweise indem ein Link auf die IDV der Webseite gesetzt wird, auf der sich dann eine Passage zu der Datenverarbeitung auf der Facebook-Page findet, erläutert Diercks. "Wer eine Fanpage betreibt, muss sich als Betreiber selbst versichern, dass Facebook die Informationen zur Verfügung stellt, die zur Erfüllung der genannten Informationspflichten benötigt werden." Das ist nach Einschätzung der Juristin nicht wirklich realisitisch: "Haben Sie mal versucht irgendwie mit Facebook in Kontakt zu treten?"

Findet über die Facebook-Seite ein Tracking statt, gleich ob durch Cookies oder User-IDs oder die Speicherung der IP-Adresse, dann sei grundsätzlich eine Einwilligung einzuholen. Diercks: "Hier sträuben sich mir die Nackenhaare und zwar vorwiegend deswegen, weil die DSK schon wieder ohne jede Differenzierung jegliche Trackingformen über einen Kamm schert."

Zwischen Facebook und den Fanpage-Betreibern sei ein Vertrag nach Artikel 26 DSGVO (Joint Control Contract, JCC) zu schließen, in dem festgelegt wird, wer welche Verpflichtungen zu erfüllen hat; die wesentlichen Elemente des Vertrages sind den Betroffenen, also den Nutzern, zu Verfügung zu stellen. Das ergibt sich alles aus Art. 26 DSGVO. Schließlich werde betont, dass die DSK einen dringenden Handlungsbedarf bei den Betreibern von Fanpages sieht. Jedoch heißt es daraufhin sogleich: "Dabei ist nicht zu verkennen, dass die Fanpage-Betreiber ihre datenschutzrechtlichen Verantwortung nur erfüllen können, wenn Facebook selbst an der Lösung mitwirkt und ein datenschutzkonformes Produkt anbietet, das die Rechte der Betroffenen wahrt und einen ordnungsgemäßen Betrieb in Europa ermöglich."

Mit diesem Satz endet die Entschließung der DSK. Was das nun heißt, interpretiert Diercks so: "Die Auffassung der DSK ist, dass

• Sie als Betreiber einer Facebook-Page eine IDV (Informationen zur Datenverarbeitung) im Hinblick auf die Datenverarbeitung über die Facebook-Page bereithalten müssen.
  
• Sie, wenn getrackt wird, bezüglich dieses Trackings eine Einwilligung einholen müssen.
  
• Sie einen Vertrag gemäß Art. 26 DSGVO mit Facebook abschließen müssen."

Laut Diercks immer noch kein Grund zur Panik. "Wenn man eine gemeinsame Verantwortung annimmt, dann ist die Folge, dass Sie über die Datenverarbeitung aufklären müssen nur logisch, bzw. vielmehr in Art. 12, 13 DSGVO festgelegt. Das nervt zwar vielleicht. Aber es ist, wie es ist. Derzeit können Sie jedoch überhaupt nicht ordentlich über die Datenverarbeitung aufklären. Sie wissen ja selbst nichts. Außer das, was Facebook in seinen Informationen zur Datenverarbeitung bereithält. Und das ist herzlich wenig und immer noch herzlich wenig durchschaubar." Ob Sie bezüglich des "Trackings" eine Einwilligung einholen müssen, könne man schon dem Grunde nach trefflich streiten. Diercks: "Vorliegend können Sie das selbst verständlich schon rein technisch nicht. Sie haben ja gar keinen Zugriff auf die Seiten bzw. die Technik selbst. Sowas muss schon Facebook anbieten."

Hinsichtlich der Pflichtenverteilung zwischen Facebook und Fanpage-Betreibern , wer die Informationen bereitstellen und die Tracking-Problematik umsetzen muss, schlägt das Pendel klar Richtung Facebook aus. Diercks: "Ihnen bleibt dann nur noch Ihre Nutzer zu informieren. Das sollte nicht so schwierig sein."

Die Frage, ob Unternehmen nun ihre Facebook-Seite abschalten müssen oder nicht, kann Diercks nicht eindeutig beantworten: "Ehrlich gesagt, diese Entscheidung kann ich Ihnen nicht abnehmen. Nach Auffassung der DSK befinden Sie sich mit Ihrer Facebook-Seite gerade im grauen Niemandsland, wenn nicht sogar eher auf der dunklen Seite. Wenn Sie ganz, ganz sicher sein wollen, dann nehmen Sie die Seite vorerst offline."

Sie ist allerdings immer noch der Meinung, dass dies übervorsichtig wäre, denn die DSK habe klar statuiert, dass Rechtskonformität nur mit Facebook zu erreichen ist. "Alles, was Sie derzeit tun können, ist Ihren Informationspflichten soweit nachzukommen, wie es derzeit eben möglich ist. Und das ist nicht viel mehr als auf die Informationen zur Datenverarbeitung von Facebook zu verweisen", resümiert sie.