Betrieb einer Facebook Fanpage untersagt

(D) Der Bundesdatenschutzbeauftragte (BfDI), Professor Ulrich Kelber, hat den Betrieb der Facebook Fanpage der deutschen Bundesregierung untersagt. Die Begründung der Feststellung zum rechtswidrigen Betrieb ist auch für private Betreiber eines Facebookauftritts von großem Interesse.

Fehlender Nachweis einer rechtskonformen Verarbeitung

Bei dieser Feststellung beruft er sich auf eigene Untersuchungen und das Kurzgutachten der Datenschutzkonferenz. Da sich insbesondere die Interessen von Betreibenden von Fanpages und von Meta ergänzen, besteht nach Einschätzung des BfDI eine gemeinsame Verantwortlichkeit für die Verarbeitung der bei Nutzung der Fanpage erhobenen personenbezogenen Daten. Das BPA muss als Verantwortlicher nachweisen können, dass die Grundsätze des Datenschutzrechts eingehalten werden. Einen solchen Nachweis konnte das BPA im Verfahren nicht zur aufsichtsbehördlichen Überzeugung erbringen. Der BfDI kritisiert insbesondere, dass es nach seiner Begutachtung hier bislang an einer wirksamen Rechtsgrundlage für die Datenverarbeitung fehlt. Außerdem muss nach dem Telekommunikation-Telemedien-Datenschutz-Gesetz (Anmerkung: In Österreich TKG 2021) für die Verwendung nicht unbedingt erforderlicher Cookies und ähnlicher Trackingtechnologien eine Einwilligung eingeholt werden. Im Falle der Facebook Fanpages wird eine solche Einwilligung jedoch nach Ergebnis der aufsichtsbehördlichen Prüfungen derzeit nicht wirksam eingeholt. [1]

Fanpage-Betreiber: Anbieter eines Telemediendienstes

Der BfDI stellt fest, dass es sich bei Betreibern von Facebook-Fanpages um Anbieter von Telemedien iSd TTDSG handelt. Fanpage_Betreiber richten eine separat im Netzwerk aufrufbare Seite ein und stellen diese bereit. Die Seite kann und wird von den Betreibern aktiviert und mit Inhalten befüllt. Betreiber einer Fanpage können diese auch eigenständig wieder deaktivieren. Unabhängig davon, dass die Fanpage in das Netzwerk Facebook eingebunden ist, ist der Betrieb einer Fanpage als das Erbringen eines Telemediendienstes zu sehen. Darüber hinaus wirken Betreiber einer Fanpage durch den Betrieb ihrer Fanpage am sozialen Netzwerk Facebook mit.

Anbieter eines Telemediendienstes unterliegen bei nicht ausdrücklich gewünschten Diensten erhöhten Anforderungen bei der Einholung von Einwilligungen für die Speicherung von Informationen (Cookies oä) auf den Endgeräten der Nutzerinnen und Nutzer. Im Bescheid finden sich zudem eine Reihe von Bewertungen der Einwilligungserfordernisse nach § 25 TTDSG für von Facebook gesetzte Cookies.

Der BfDI stellt fest, dass die Profilbildung zu Werbezwecken und die Erstellung von Insights bis zum Zeitpunkt der Deaktivierung der Insights-Funktion keine von den Nutzerinnen und Nutzern ausdrücklich gewünschten Telemediendienste darstellen.

Deaktivierung von Insights

Der BfDi hat im Bescheid zudem klargestellt, dass auch eine Deaktivierung der Insights (Statistiken zur Nutzung der Fanpages) an der gemeinsamen Verantwortlichkeit nichts ändert. Durch die Deaktivierung verändert sich nämlich die relevante Datenverarbeitung beim Betrieb einer Fanpage kaum. Den Betreibern werden lediglich aus den – nach wie vor – verarbeiteten Nutzungsdaten keine Statistiken mehr ausgespielt. Der Fanpage-Betreiber hat auch bei abgeschalteter Insight-Funktion zumindest für die nachgelagerte Datenverarbeitung auf Basis des Setzens und Auslesens von Cookies eine gemeinsame Verantwortlichkeit mit Meta inne.

Vertrag über gemeinsame Verantwortlichkeit

Als gemeinsam Verantwortlicher ist der Fanpage-Bereiber nach Artikel 26 Absatz 1 Satz 2 DSGVO verpflichtet, eine Vereinbarung mit Meta abzuschließen, die in transparenter Form festlegt, wer von den beiden Verantwortlichen welche Verpflichtungen gemäß der DSGVO erfüllt, insbesondere, was die Wahrnehmung der Rechte der betroffenen Person angeht und wer welchen Informationspflichten nach Artikel 13 und 14 DSGVO nachkommt.

Zu diesem Punkt stelle der BfDI fest, dass die von Facebook (Meta) zur Verfügung gestellten „Seiten-Insights-Ergänzung bezüglich des Verantwortlichen“ (sog. Addendum) den datenschutzrechtlichen Anforderungen zur gemeinsamen Verantwortlichkeit Artikel 26 DSGVO nicht hinreichend nachkommt. Insbesondere würde es Fanpage-Betreiber nicht in die Lage versetzen, ihren Informations- und Nachweispflichten nachkommen zu
können.

Innerhalb der gesetzten Frist klagte der Betreiber der Fanpage, dass Bundespresseamt (DPA), gegen die Anordnung der Aufsichtsbehörde. Damit darf das Amt die Fanpage der Bundesregierung vorläufig weiter betreiben.

[1] Bescheid zum Betrieb von Facebook Fanpages, URL: https://www.bfdi.bund.de/SharedDocs/Downloads/DE/DokumenteBfDI/Dokumente-allg/2023/Bescheid-Facebook-Fanpage.pdf?__blob=publicationFile&v=1