Datenschutz und der Facebook Like Button

EuGH-Entscheidung zur gemeinsamen Verantwortlichkeit

Mit Spannung wurde die Entscheidung des Gerichtshofs der Europäischen Union (EuGH) in Sachen „Fashion ID“ erwartet (Rechtssache C-40/17). Am 29.07.2019 hat der EuGH entschieden, dass Website-Betreiber (zumindest teilweise) gemeinsam mit Facebook datenschutzrechtlich verantwortlich sind, wenn sie auf ihren Websites den Facebook Like Button („Gefällt Mir“-Button) einbinden. Das führt zu einer zumindest partiellen Mitverantwortlichkeit auch für die Datenverarbeitung durch Facebook.

• Positiv aus Sicht der Website-Betreiber: Der EuGH betont mehrfach, dass die gemeinsame Verantwortlichkeit nicht für alle mit dem Like Button in Verbindung stehenden Datenverarbeitungsvorgänge gilt.

• Vielmehr besteht die gemeinsame Verantwortlichkeit mit Facebook nur insoweit, als der Website-Betreiber tatsächlich Einfluss auf die Verarbeitung bei Facebook hat. Ein solcher tatsächlicher Einfluss ist laut EuGH nur für die Erhebung der Daten durch den auf der Website eingesetzten Like Button sowie für die Übermittlung dieser Daten an Facebook anzunehmen.

• Für nachgelagerte Themen, z.B. etwaige Analysen, wäre Facebook demnach alleine verantwortlich, soweit Facebook diese vollkommen eigenständig durchführt.

Empfehlungen für die Praxis

Damit hat der EuGH klargestellt, dass das Risiko beim Einsatz des Facebook Like Buttons nun eindeutig (auch) beim jeweiligen Website-Betreiber liegt.

In der Praxis sind insbesondere folgenden Punkte zu beachten:

Erfüllung von Informationspflichten

In seinen Datenschutzinformationen hat der Website-Betreiber die Besucher seiner Website transparent über die Details der Verarbeitung personenbezogener Daten zu informieren. Das schließt auch die gemeinsame Verantwortlichkeit mit Facebook ein.

Abschluss einer Vereinbarung zur gemeinsamen Verantwortlichkeit

Soweit der Website-Betreiber datenschutzrechtlich mit Facebook gemeinsam verantwortlich ist, hat er mit Facebook eine Vereinbarung über die gemeinsame Verantwortlichkeit zu schließen. Diese muss gemäß DS-GVO gewisse Mindestinhalte abbilden (z.B. zur Wahrung der Betroffenenrechte).

Soweit ersichtlich bietet Facebook einen solchen Vertrag derzeit noch nicht an. Die Implementierung des Like Buttons ist schon deshalb derzeit mit datenschutzrechtlichen Risiken behaftet.

Datenschutzkonforme Implementierung auf der Website

Die Einbindung des Like Buttons setzt eine datenschutzrechtliche Rechtsgrundlage voraus. Ob hier eine (vorherige) gegenüber dem Website-Betreiber zu erklärende Einwilligung der Nutzer erforderlich ist, oder ob der Einsatz des Like Buttons auch ohne Einwilligung bereits auf Grundlage einer sog. Interessenabwägung zulässig ist, hat der EuGH ausdrücklich offen gelassen.

Auch hier besteht weiterhin eine gewisse Rechtsunsicherheit, die andererseits auch Argumentationsspielräume eröffnet.

Weiterhin in Betracht zu ziehen ist die Implementierung von in der Praxis bereits heute anzutreffenden „Zwei-Klick-Lösungen“, bei denen der Like Button erst auf ausdrückliche Anforderung des Nutzers aktiviert wird und erst dann Daten an Facebook sendet. Auch hierbei ist stets auf die Details auch der technischen Umsetzung zu achten, um datenschutzrechtliche Risiken bestmöglich zu vermeiden.

Das aktuelle Urteil bestätigt erneut: Der datenschutzrechtliche Druck auf Website-Betreiber wächst. Eine moderne Webpräsenz und ein erfolgversprechendes Marketing erfordern regelmäßig die Einbindung externer Tools und Drittanbieter-Plugins (Analysewerkzeuge, Social Media Plugins, Werbenetzwerke etc.).

Die Entscheidung des EuGH lässt ebenso wie Stellungnahmen der deutschen Aufsichtsbehörden (z.B. die „Orientierungshilfe der Aufsichtsbehörden für Anbieter von Telemedien“) oder die kürzlich veröffentlichte Stellungnahme des britischen Information Commissioner’s Office zu Cookies keinen Zweifel daran, dass bei all diesen Maßnahmen das Datenschutzrecht einzuhalten ist. Somit gilt es, praxisorientierte Lösungen zu finden, die eine datenschutzkonforme Nutzung moderner Web-Technologien erlauben und das Unternehmen bestmöglich vor Unterlassungsansprüchen, Bußgeldern etc. schützen.