Fanpage-Urteil des EuGH: Facebook hat reagiert

Von Karsten Groeger.

Nach dem viel diskutierten Fanpage-Urteil des Europäischen Gerichtshofs (Az. C-210/16) und dem darauffolgenden Beschluss der Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder, die auf Facebook betriebenen Fanpages seien datenschutzrechtlich illegal, hat Facebook nunmehr reagiert.

Das s.g. “Page Controller Addendum” – dt.: “Seiten-Insights-Ergänzung bezüglich des Verantwortlichen” wird von Fanpage-Betreibern automatisch akzeptiert. Nutzer, die die Zusatzvereinbarung nicht abschließen wollen, sind gezwungen, ihre Seite abzuschalten.

Die Fanpage-Ergänzung im Wortlaut

Die relativ kurze Ergänzung, die den Betrieb einer Fanpage nach dem Fanpage-Urteil auf datenschutzrechtlich sichere Füße stellen soll, hat folgenden Wortlaut:

Facebook stellt dir für deine Seite Seiten-Insights zur Verfügung. Bei Seiten-Insights handelt es sich um zusammengefasste Daten, durch die du Aufschluss darüber erlangen kannst, wie die Menschen mit deiner Seite interagieren. Um mehr über die dir in Verbindung mit deiner Seite zur Verfügung stehenden Seiten-Insights zu erfahren, nutze bitte den Insights-Tab auf deiner Seite.Seiten-Insights können auf personenbezogenen Daten basieren, die im Zusammenhang mit einem Besuch oder einer Interaktion von Personen auf bzw. mit deiner Seite und ihren Inhalten erfasst wurden. Wenn du in der Europäischen Union/im Europäischen Wirtschaftsraum wohnst und sofern diese personenbezogenen Daten unter deinem Einfluss und deiner Kontrolle (bzw. dem-/derjenigen irgendeines Dritten, für den du die Seite erstellst oder verwaltest) im Rahmen der Datenschutz-Grundverordnung (Verordnung (EU) 2016/679, „DSGVO“) verarbeitet werden, („Insights-Daten“), erkennst du in deinem eigenen Namen (und als Vertreter für jedweden sonstigen Dritt-Verantwortlichen, für den du die Seite erstellst oder verwaltest, und in dessen Namen) an und stimmst zu, dass diese Seiten-Insights-Ergänzung bezüglich des Verantwortlichen („Seiten-Insights-Ergänzung“) gilt:

  • Facebook Ireland Limited („Facebook Ireland“) und du seid gemeinsam Verantwortliche für die Verarbeitung von Insights-Daten. Diese Seiten-Insights-Ergänzung legt die jeweiligen Verantwortlichkeiten von Facebook Ireland und dir im Hinblick auf die Verarbeitung von Insights-Daten fest.
  • Facebook Ireland stimmt zu, die primäre Verantwortung gemäß DSGVO für die Verarbeitung von Insights-Daten zu übernehmen und sämtliche Pflichten aus der DSGVO im Hinblick auf die Verarbeitung von Insights-Daten zu erfüllen (u. a. Artikel 12 und 13 DSGVO, Artikel 15 bis 22 DSGVO und Artikel 32 bis 34 DSGVO). Darüber hinaus wird Facebook Ireland das Wesentliche dieser Seiten-Insights-Ergänzung den betroffenen Personen zur Verfügung stellen.
  • Du solltest sicherstellen, dass du eine Rechtsgrundlage für die Verarbeitung von Insights-Daten gemäß DSGVO hast, den Verantwortlichen für die Verarbeitung der Seite benennst und jedwede sonstigen geltenden rechtlichen Pflichten erfüllst.
  • Du stimmst zu, dass nur Facebook Ireland Entscheidungen hinsichtlich der Verarbeitung von Insights-Daten treffen und umsetzen kann. Facebook Ireland entscheidet nach seinem alleinigen Ermessen, wie es seine Pflichten gemäß dieser Seiten-Insights-Ergänzung erfüllt. Du stimmst zu, dass Facebook Ireland in der EU die Hauptniederlassung für die Verarbeitung von Insights-Daten für sämtliche Verantwortliche ist. Außerdem erkennst du an, dass die irische Datenschutzkommission die federführende Aufsichtsbehörde für diese Verarbeitung ist.
  • Facebook Ireland bleibt alleinig verantwortlich für die Verarbeitung solcher personenbezogenen Daten im Zusammenhang mit Seiten-Insights, die nicht unter diese Seiten-Insights-Ergänzung fallen. Diese Seiten-Insights-Ergänzung gewährt dir kein Recht, die Offenlegung von im Zusammenhang mit Facebook-Produkten verarbeiteten personenbezogenen Daten von Facebook-Nutzern zu verlangen, einschließlich für Seiten-Insights, welche wir dir bereitstellen.
  • Wenn eine betroffene Person oder eine Aufsichtsbehörde gemäß DSGVO hinsichtlich der Verarbeitung von Insights-Daten und der von Facebook Ireland im Rahmen dieser Seiten-Insights-Ergänzung übernommenen Pflichten Kontakt mit dir aufnimmt (jeweils eine „Anfrage“), bist du verpflichtet, uns unverzüglich, jedoch spätestens innerhalb von 7 Kalendertagen sämtliche relevanten Informationen weiterzuleiten. Zu diesem Zweck kannst du dieses Formular einreichen. Facebook Ireland wird Anfragen im Einklang mit den uns gemäß dieser Seiten-Insights-Ergänzung obliegenden Pflichten beantworten. Du stimmst zu, zeitnah sämtliche angemessenen Anstrengungen zu unternehmen, um mit uns an der Beantwortung jedweder derartigen Anfrage zusammenzuarbeiten. Du bist nicht berechtigt, im Namen von Facebook Ireland zu handeln oder zu antworten.
  • Wenn du eine Seite für irgendeinen geschäftlichen oder gewerblichen Zweck nutzt bzw. auf sie zugreifst (u. a. wenn du eine Seite für ein Unternehmen verwaltest), stimmst du zu, dass jedweder Anspruch, Klagegenstand oder Streitfall, den du uns gegenüber hast und der sich aus dieser Seiten-Insights-Ergänzung ergibt oder damit in Verbindung steht, ausschließlich von den Gerichten in Irland zu klären ist, dass du dich für das Prozessieren jedwedes derartigen Anspruchs unwiderruflich der Rechtsprechung der irischen Gerichte unterwirfst und dass diese Seiten-Insights-Ergänzung irischem Recht unterliegt.
  • Möglicherweise müssen wir diese Seiten-Insights-Ergänzung von Zeit zu Zeit aktualisieren. Deshalb empfehlen wir dir, sie regelmäßig auf Aktualisierungen zu prüfen. Durch deinen weiteren Zugriff auf Seiten bzw. deren weitere Nutzung nach irgendeiner Benachrichtigung über eine Aktualisierung dieser Seiten-Insights-Ergänzung stimmst du zu, an sie gebunden zu sein. Solltest du der aktualisierten Seiten-Insights-Ergänzung nicht zustimmen, beende bitte jedwede Nutzung von Seiten. Wenn du ein Verbraucher mit ständigem Wohnsitz in einem Mitgliedstaat der Europäischen Union bist, gilt nur 4.1 unserer Facebook-Nutzungsbedingungen für Aktualisierungen dieser Seiten-Insights-Ergänzung.
  • Sollte irgendein Teil dieser Seiten-Insights-Ergänzung für nicht durchsetzbar erachtet werden, so bleiben die übrigen Bestimmungen in vollem Umfang wirksam und in Kraft. Ein Versäumnis unsererseits, irgendeinen Teil dieser Seiten-Insights-Ergänzung durchzusetzen, stellt keinen Rechtsverzicht dar. Jedwede Änderung dieser Nutzungsbedingungen oder der Verzicht auf diese muss in schriftlicher Form erfolgen und von uns unterzeichnet werden.
  • „personenbezogene Daten“, „betroffene Person“ und „Verantwortlicher“ haben in dieser Seiten-Insights-Ergänzung die ihnen in der DSGVO zugewiesenen Bedeutungen.

Was müssen Betreiber nach dem Fanpage-Urteil jetzt noch tun?

Zunächst einmal hat Facebook mit der Zusatzvereinbarung lediglich die Vertragsgrundlage nach Art. 26 DSGVO für die gemeinsame Verantwortlichkeit geschaffen und grundsätzlich festgelegt, dass das soziale Netzwerk selbst den Großteil der datenschutzrechtlichen Informationspflichten übernimmt. Den Betreibern einer Fanpage sei aber gleichwohl geraten, eine eigens für die Fanpage-Insights gestaltete Datenschutzerklärung vorzuhalten.

Diese muss beispielsweise u.a. über die Rechtsgrundlage der Datenverarbeitung aufklären und Angaben zum Verantwortlichen, also zum Seitenbetreiber enthalten. Außerdem muss der Betreiber, so Facebook lapidar, “alle sonstigen geltenden rechtlichen Verpflichtungen erfüllen”.

Formular für Betroffenen- und Behördenanfragen

Wenden sich Betroffene oder Datenschutzbehörden mit datenschutzrechtlichen Anliegen an den Seitenbetreiber, so muss dieser die Anfrage binnen sieben Tagen mittels eines eigens von Facebook eingerichteten Formulars übermitteln. Der Seiten-Betreiber muss für die Beantwortung der Anfrage anschließend mit Facebook zusammenarbeiten, um das Fanpage-Urteil umzusetzen. Wie das in der Praxis konkret aussehen wird, bleibt abzuwarten.

Nach Fanpage-Urteil: Jetzt rechtssicher?

Ob die seitens des sozialen Netzes ergriffenen Maßnahmen ausreichen, um die zahlreichen Fanpages auf rechtssichere Füße zu stellen, werden letztlich die Gerichte zu beurteilen haben. Jedenfalls hat Facebook aber schon einmal die nach der DSGVO vorgeschriebene Vereinbarung über die gemeinsame Verantwortlichkeit vorgelegt und damit einen Schritt in Richtung mehr Rechtssicherheit getan. Seitenbetreiber werden nun ihrerseits mit hinreichenden Datenschutzerklärungen nachlegen müssen. Mit Spannung darf auch erwartet werden, wie sich die Regelung der Gesamtschuldnerschaft in Art. 26 Abs. 3 DSGVO auswirken wird, nach der ein Seitenbetreiber theoretisch für datenschutzrechtliche Verstöße von Facebook mithaften kann. Von besonderem Interesse dürfte in diesem Zusammenhang auch sein, ob die Rechtswahlklausel des sozialen Netzes, nach der Facebook einzig und allein irischem Recht unterliegen will, wirksam ist.

Sie haben Fragen zum Artikel über das Fanpage-Urteil? Melden Sie sich bei uns.