Urteil zu Datenschutz

Internetnutzung am Arbeitsplatz, grenzüberschreitende Verarbeitung von personenbezogenen Daten

Webseitenbetreiber sind mitverantwortlich für "Like"-Button

Der Betreiber einer Website, in der der Gefällt mir“-Button von Facebook enthalten ist, kann für das Erheben und die Übermittlung der personen­bezogenen Daten der Besucher seiner Website gemeinsam mit Facebook verantwortlich sein, so der EuGH.

Er trägt jedoch grundsätzlich nicht die Verantwortung für die spätere Verarbeitung dieser Daten allein durch Facebook.

Der deutsche Online-Händler für Modeartikel Fashion ID band in ihre Website den Gefällt mir“-Button von Facebook ein. Diese Einbindung hat zur Folge, dass beim Aufrufen der Website von Fashion ID durch einen Besucher die personen­bezogenen Daten dieses Besuchers an Facebook übermittelt werden. Offenbar erfolgt diese Übermittlung, ohne dass sich der Besucher dessen bewusst ist und unabhängig davon, ob er Mitglied des sozialen Netzwerks Facebook ist oder den Gefällt mir“-Button überhaupt angeklickt hat.
Die Verbraucherzentrale NRW wirft Fashion ID daher vor, personenbezogene Daten ohne die Einwilligung der Besucher und unter Verstoß gegen die Informati­ons­pflichten an Facebook übermittelt zu haben. Das mit dem Rechtsstreit befasste OLG Düsseldorf ersuchte beim EuGH die Auslegung einer Reihe von Bestimmungen der früheren Datenschutz­richtlinie von 1951, die weiterhin auf den Fall anwendbar ist, auch wenn sie durch die neue Datenschutz-Grundverordnung von 2016 mit Wirkung vom 25. Mai 2018 ersetzt worden ist. Der EuGH stellte zunächst klar, dass die alte Datenschutz­richtlinie nicht verbietet, dass Verbände zur Wahrung von Verbraucher­interessen gegen den mutmaßlichen Verletzer von Vorschriften zum Schutz personen­bezogener Daten Klage erheben. Der Gerichtshof wies außerdem darauf hin, dass die neue DS-GVO nunmehr diese Möglichkeit ausdrücklich vorsieht.

Der Gerichtshof stellte fest, dass Fashion ID für die Datenver­ar­bei­tungsvorgänge, die Facebook nach der Übermittlung der Daten an sie vorgenommen hat, anscheinend nicht als verantwortlich angesehen werden kann. Es erscheine nämlich auf den ersten Blick ausgeschlossen, dass Fashion ID über die Zwecke und Mittel dieser Vorgänge entscheide. Dagegen kann Fashion ID für die Vorgänge des Erhebens der Daten und deren Weiterleitung durch Übermittlung an Facebook als gemeinsam mit Facebook verantwortlich angesehen werden, da davon ausgegangen werden könne, dass Fashion ID und Facebook gemeinsam über die Zwecke und Mittel entscheiden.
Es scheine insbesondere so, dass die Einbindung des Gefällt mir“-Buttons von Facebook durch Fashion ID in ihre Website es ermöglicht, die Werbung für ihre Produkte zu optimieren, wenn ein Besucher ihrer Website den Button anklickt. Um in den Genuss dieses wirtschaftlichen Vorteils kommen zu können, habe Fashion ID mit der Einbindung eines solchen Buttons in ihre Website zumindest stillschweigend in das Erheben personen­bezogener Daten und deren Weitergabe durch Übermittlung eingewilligt. Dabei werden diese Verarbei­tungsvorgänge im wirtschaftlichen Interesse sowohl von Fashion ID als auch von Facebook durchgeführt, für die die Tatsache, über diese Daten für ihre eigenen wirtschaftlichen Zwecke verfügen zu können, die Gegenleistung für den Fashion ID gebotenen Vorteil darstellt.

Der Gerichtshof betonte, dass der Betreiber einer Website wie Fashion ID für bestimmte Vorgänge der Datenver­arbeitung, wie das Erheben der Daten und deren Übermittlung an Facebook, zu informieren hat, wie beispielsweise seine Identität und die Zwecke der Verarbeitung. Außerdem präzisierte der EuGH noch zwei der sechs in der Richtlinie vorgesehenen Fälle einer rechtmäßigen Verarbeitung personen­bezogener Daten. Zu dem Fall, in dem die betroffene Person ihre Einwilligung gegeben hat, entschied der Gerichtshof, dass der Betreiber einer Website wie Fashion ID diese Einwilli­gungvorher für die Vorgänge einholen muss, für die er wenigstens mitverantwortlich ist, d.h. das Erheben und die Übermittlung der Daten. Zu den Fällen, in denen die Datenver­arbeitung zur Verwirklichung eines berechtigten Interesses erforderlich ist, befand der EuGH, dass jeder der für die Verarbeitung (Mit-)Verantwortlichen, d.h. der Betreiber einer Website und der Anbieter eines Social Plugins, mit dem Erheben und der Übermittlung der personen­bezogenen Daten ein berechtigtes Interesse wahrnehmen muss, damit diese Vorgänge für jeden Einzelnen von ihnen jeweils gerechtfertigt sind.

Zu dieser Pressemitteilung im Original hier.