Auch Webseitenbetreiber sind für Social Plugins verantwortlich

Der Europäische Gerichtshof (EuGH) entschied am 29.07.2019, dass Webseitenbetreiber Social Plugins wie den „Gefällt mir“-Button von Facebook nicht ohne vorherige Einwilligung ihrer Nutzer einsetzen dürfen. Außerdem seien die Webseitenbetreiber für die durch die Plugins erfolgende Datenverarbeitung zusammen mit Facebook als (Mit)Verantwortliche anzusehen.

Wer ist für die Datenverarbeitung verantwortlich?

Klägerin war die Verbraucherzentrale NRW, Beklagter ein deutscher Online-Händler für Modeartikel. Der Beklagte band in seine Website den „Gefällt mir“ – Button von Facebook ein. Dadurch wurden die personenbezogenen Daten der Webseitenbesucher an Facebook übermittelt.  Dies erfolgte, ohne dass die Besucher dem zugestimmt hätten oder ihnen auch nur bewusst war, dass eine Datenübermittlung erfolgte. Vielmehr wurden auch Daten von Besuchern übermittelt, die einfach nur die Webseite öffneten oder die über gar keinen Facebook-Account verfügten.

Hiergegen ging die Klägerin vor. Sie warf dem Beklagten vor, personenbezogene Daten der Webseitenbesucher ohne deren Einwilligung und unter Verstoß gegen die datenschutzrechtlichen Informationspflichten an Facebook übermittelt zu haben. Das mit dem Fall befasste Oberlandesgericht Düsseldorf legte die Sache dem EuGH vor und erbat die Auslegung einer Reihe von Bestimmungen der früheren Datenschutzrichtlinie (die zwar durch die jetzt geltende Datenschutzgrundverordnung (DSGVO) ersetzt wurde, aber auf den vorliegenden Fall noch anwendbar war).

Nach Datenübermittlung ist der Webseitenbetreiber kein Verantwortlicher mehr

Der EuGH stellte fest, dass der Beklagte für die Datenverarbeitung, die Facebook nach Übermittlung der Besucherdaten vornehme, nicht als verantwortlich angesehen werden könne. Es sei nämlich ausgeschlossen, dass der Beklagte selbst über diese Vorgänge entscheiden könne.  Die Entscheidungsmacht liege nach der Übermittlung ausschließlich bei Facebook.

Vor Datenübermittlung ist der Webseitenbetreiber aber Mitverantwortlicher

Allerdings könne der Bekagte für die Erhebung und Übermittlung der Besucherdaten an Facebook gemeinsam mit Facebook als verantwortlich angesehen werden. Denn dabei entscheide der Beklagte zusammen mit Facebook über die Datenverarbeitung. Die Einbindung des „Gefällt mir“-Buttons auf der Webseite ermögliche es, Produktwerbung zu optimieren. Facebook werde angezeigt, wenn ein Besucher den Button anklickt. Der Beklagte sei mit der Einbindung des Buttons und der damit verbundenen Datenerhebung und -weitergabe offenbar auch einverstanden gewesen. Denn dadurch komme er in den Genuss eines wirtschaftlichen Vorteils durch verbesserte Produktwerbung. Für eigene wirtschaftliche Zwecke über die Besucherdaten verfügen zu können, stelle die Gegenleistung für den durch Facebook gebotenen Vorteil dar. Somit sei der Webseitenbetreiber für bestimmte Datenverarbeitungsvorgänge wie die Datenerhebung und deren Übermittlung an Facebook als (mit-)verantwortlich einzustufen.

Vorherige Einwilligung für (mit)verantwortliche Datenerhebung

Grundsätzlich habe der Webseitenbetreiber aber – wenn die Besucher ihre Einwilligung gegeben haben – diese Einwilligung vorher (nur) für die Vorgänge einzuholen, für die er auch (mit-)verantwortlich sei. Dies betreffe somit nur die Datenerhebung und -übermittlung.

Berechtigtes Interesse bei Mitverantwortlichkeit auf beiden Seiten

Ist die Datenverarbeitung zur Verwirklichung eines berechtigten Interesses erforderlich, müsse jeder der (Mit-)Verantwortlichen, d.h. der Betreiber der Webseite und der Anbieter des Social Plugins, mit der Datenerhebung ein berechtigtes Interesse verfolgen. Nur dann seien diese Vorgänge für jeden Einzelnen auch gerechtfertigt.

Was ist jetzt zu tun?

Somit sollten Webseitenbetreiber zukünftig darauf achten, dass die genutzten Social Plugins (nicht nur von Facebook, sondern auch Instagram, Twitter & Co.) nicht von Anfang an aktiviert sind. Vor dem „Teilen“ ist regelmäßig die Einwilligung des Webseitenbesuchers einzuholen. Am besten funktioniert das mit dem Shariff-Button, einem Open Source-Programm oder der Zwei-Klick-Lösung (also allen Safe Sharing Tools).

Es ist davon auszugehen, dass Facebook aufgrund dieses Urteils demnächst seine Nutzungsbedingungen anpassen wird. Dann ist wohl hinsichtlich der gemeinsamen Verantwortlichkeit bei der Datenverarbeitung eine entsprechende Vereinbarung zu treffen. Die Datenschutzerklärung der Webseite und im speziellen die Informationen zu den Social Media-Plugins sind in dem Zusammenhang zu überarbeiten und dem Urteil anzupassen.