EuGH fällt Urteil zum Datenschutz auf Facebook-Seiten

Der Europäische Gerichtshof hat einen nun seit 2011 andauernden Disput zu Gunsten deutscher Datenschützer entschieden. Zwar bezieht sich das Urteil auf eine Richtlinie, die ihre Gültigkeit verloren hat, der Entscheid könnte jedoch die Weichen für die Zukunft stellen.

Unternehmen, die eine eigene Facebook-Seite betreiben, können die Verantwortung für die Datenverarbeitung nicht ausschließlich auf das Online-Netzwerk übertragen. Der Europäische Gerichtshof entschied einen über sechs Jahre laufenden Streit im Sinne deutscher Datenschützer. Rechtlich gesehen hat die Entscheidung des EuGH zwar mehr symbolischen Charakter als juristischen Wert, dennoch mit klarer Signalwirkung für die Zukunft. Weil die einstige Datenschutz-Richtlinie von der neuen EU-Verordnung abgelöst wurde, müsste jedes Verfahren neu aufgerollt werden.

Der Streit eskalierte, als das schleswig-holsteinische Landeszentrum für Datenschutz die Wirtschaftsakademie Schleswig-Holstein ermahnte, ihre Facebook-Fanpage vom Netz zu nehmen. Weder die Akademie noch Facebook hätten die Besucher der Seite darüber informiert, dass ihre Daten erhoben und zur Verbreitung zielgerichteter Werbung genutzt werden. Die Wirtschaftsakademie substanziierte, sie sei nicht für die Datenverarbeitung durch Facebook verantwortlich. Das Bundesverwaltungsgericht überwies den Fall nach Luxemburg an den Europäischen Gerichtshof.

Das Gericht entschied, dass Betreiber von Facebook-Fanseiten nach der alten EU-Datenschutzrichtlinie gemeinsam mit dem Online-Netzwerk für die Verarbeitung der personenbezogenen Nutzerdaten verantwortlich waren. Roland Barth, Rechtsanwalt der Kanzlei Clifford, zu der EuGH-Entscheidung:»Es betrifft vom Recht her tatsächlich noch die alte Datenschutz-Richtlinie […] Aber die Definition der Verantwortlichkeit in der alten Richtlinie und in der neuen Grundverordnung ist nahezu wortgleich, so dass hiervon eine deutliche Signalwirkung für die Zukunft ausgeht.« Nun ist die Richtlinie seit Inkrafttreten der neuen DSGVO am 25. Mai unwirksam und Datenschützer können die EuGH-Entscheidung nicht in den bisherigen Verfahren anwenden. »Was wir jetzt geklärt haben, ist, dass man auch verantwortlich ist, wenn man auf einer fremden Plattform Inhalte hostet. Alles weitere bedarf jetzt unter dem neuen Rechtsrahmen einer neuen Prüfung«, sagte Barth weiter.

Die neue Datenschutzgrundverordnung regelt im Kern die Verarbeitung personenbezogener Daten durch Unternehmen. Nutzer müssen künftig informiert werden, wenn und wozu ihre Daten erhoben werden. Zwar bezieht sich das Urteil auf einen Sachverhalt aus dem Jahr 2011 und beruht auf einer überholten Rechtslage, wer aber Facebook oder vergleichbare Dienste in sein Angebot einbindet, bleibt trotzdem in der Verantwortung. Wie dieser Verantwortungsbereich konkret aussehen wird, richtet sich entscheidend nach den entsprechenden Nutzungsbedingen.