Kann die Datenschutzbehörde dem Betreiber einer Fanseite auf Facebook dazu zwingen, seine Seite zu deaktivieren, wenn die digitale Infrastruktur, die Facebook zur Verfügung gestellt hat, erhebliche datenschutzrechtliche Mängel aufweist? Hierzu hat sich das Bundesverwaltungsgericht (BVerwG) vor kurzem geäußert.

Die Schleswig-holsteinische Datenschutzaufsichtsbehörde nahm Anstoß an der Facebook-Fanseite einer Bildungseinrichtung in Kiel. Daher hatte die Behörde die Einrichtung dazu verpflichtet, ihre Fanseite auf Facebook zu deaktivieren. Nach Auffassung der Behörde greift Facebook beim Aufruf der Fanseite auf personenbezogene Daten von Internetusern zu. Die Nutzer würden nicht nach den Vorgaben des Telemediengesetzes (TMG) über Art, Umfang und Zwecke der Erhebung informiert. Das Gleiche gilt der Aufsicht zufolge für das Widerspruchsrecht gegen die Erstellung von Nutzungsprofilen für Werbezwecke oder zur Marktforschung.

Klägerin: Keine datenschutzrechtliche Verantwortung

Gegen die Entscheidung der Aufsichtsbehörde hatte die Bildungseinrichtung geklagt. Die Begründung der Klägerin: Sie habe als Fanseitenbetreiberin keinen Zugriff auf die erhobenen Daten. In den Vorinstanzen hatte die Klage Erfolg. Auch das Oberverwaltungsgericht (OVG) Schleswig nahm an, dass die Klägerin datenschutzrechtlich nicht verantwortlich wäre. Gegen die Entscheidung des OVG legte die beklagte Datenschutzbehörde Revision zum BVerwG ein.

Der kostenlose Newsletter Recht - Hier können Sie sich anmelden!

Redaktionelle Nachrichten zu neuen Entscheidungen und Rechtsentwicklungen, Interviews und Literaturtipps.

BVerwG: Anordnung der Datenschutzaufsichtsbehörde rechtmäßig

Der 6. Senat des BVerwG hob das Berufungsurteil auf und wies die Sache an das OVG zurück. Zwischendurch hatte der Senat dem Europäischen Gerichtshof (EuGH) die Frage vorgelegt, wer bei Facebook-Fanseiten die datenschutzrechtliche Verantwortung trägt.

Die Richter in Luxemburg sind der Auffassung, dass der Betreiber einer Fanpage zusammen mit Facebook als gemeinsamer Verantwortlicher gilt. Entscheidend sei, dass der Fanseitenbetreiber über den Zweck und die Mittel der Datenverarbeitung mitentscheidet. Er gestalte sein Informations- und Kommunikationsangebot selbst und trage damit zur Verarbeitung der personenbezogenen Daten der Besucher seiner Fanpage bei.

Mehrere datenschutzrechtliche Verantwortliche

Als Konsequenz der benannten EuGH-Entscheidung trägt dem 6. Senat des BVerwG zufolge auch die Betreiberin der Fanseiten die datenschutzrechtliche Verantwortung, und zwar gemeinsam mit Facebook. Die weiteren Überlegungen des Senats:

• Wirksamster Weg zur Herstellung datenschutzkonformer Zuständen: Gibt es mehrere datenschutzrechtliche Verantwortliche, so der Senat weiter, könne die Aufsichtsbehörde den wirksamsten Weg wählen.
• Ermessensfehlerfreie Entscheidung der Datenschutzaufsicht:  Deshalb habe die Aufsichtsbehörde die Klägerin ermessensfehlerfrei dazu verpflichtet, bei der Nutzung der Fanseite datenschutzkonforme Zustände herzustellen.

Allerdings ließen die Richter aus Leipzig die konkrete Frage der Rechtswidrigkeit der beanstandeten Datenverarbeitungsvorgänge offen. Dies muss nun das OVG Schleswig anhand der Vorgaben des TMG aufklären. 

Quelle: PM des BVerwG vom 11.9.2019 zum Urteil vom selben Tag – 6 C 15.18

PinG Privacy in Germany Die Zeitschrift für alle, die mit Datenschutz in Unternehmen zu tun haben und bei der regelkonformen Umsetzung stets auf der sicheren Seite sein wollen: Privacy Topics – Spezialthemen und richtungweisende Beiträge aus dem In- und Ausland, Privacy News – prägnante Artikel zu aktuellen rechtspolitischen Themen, Privacy Compliance – Antworten auf alle drängenden Fragen aus dem betrieblichen Alltag. PinG ist interdisziplinär, international, intermedial: PinG versteht sich als Forum für ein breites interdisziplinäres Meinungsspektrum.  PinG wird jetzt noch digitaler: Unsere neue Kolumne „Neues aus der Digitalwirtschaft“ gibt digitalen Entrepreneuren, juristischen Vor- und Querdenkern eine Stimme. Lesen Sie ab sofort noch konzentrierter, was die digitale Wirtschaftswelt datenschutzrechtlich bewegt.

(ESV/bp)