Muss ich als Apotheker jetzt meine Facebook-Fanpage löschen?

Nach den Neuerungen, die die EU-Datenschutz-Grundverordnung mit sich brachte, sorgte Anfang Juni auch ein Urteil des Europäischen Gerichtshofs (EuGH) für Aufsehen. Jetzt stellt sich vielen die Frage: Ist es für ein Unternehmen datenschutzrechtlich überhaupt zu verantworten, eine Facebook-Fanpage zu unterhalten?

Doch zunächst einen Schritt zurück: Worum ging es in dem Fall, der dem EuGH vorlag überhaupt? Das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein (ULD) hatte 2001 gegenüber der Wirtschaftsakademie Schleswig-Holstein GmbH angeordnet, ihre Facebook-Fanpage zu deaktivieren. Der Grund: Weder die Wirtschaftsakademie noch Facebook wiesen die Besucher der Fanpage darauf hin, dass Facebook mittels Cookies sie betreffende personenbezogene Daten erhebt und diese Daten danach verarbeitet.

Die Wirtschaftsakademie zog gegen den Bescheid des UDL durch die verwaltungsgerichtlichen Instanzen bis hin zum Bundesverwaltungsgericht. Sie war der Meinung, dass ihr die Verarbeitung personenbezogener Daten durch Facebook nicht zugerechnet werden könne. Auch habe sie Facebook nicht mit einer von ihr kontrollierten oder beeinflussbaren Datenverarbeitung beauftragt. Daraus schloss die Wirtschaftsakademie, dass das UDL direkt gegen Facebook und nicht gegen sie hätte vorgehen müssen.

EuGH: Facebook und Fanseiten-Betreiber gemeinsam verantwortlich

Das Bundesverwaltungsgericht entschied, unter anderem diese Frage der Verantwortlichkeit dem EuGH zur Vorabentscheidung vorzulegen. Am 5. Juni erging das Urteil in Luxemburg. Darin stellt der Gerichtshof zunächst fest, dass auf jeden Fall die amerikanische Gesellschaft Facebook und ihre irische Tochtergesellschaft als „für die Verarbeitung“ der personenbezogenen Daten „Verantwortliche“ anzusehen sind. Denn diese Gesellschaften entschieden in erster Linie über die Zwecke und Mittel der Verarbeitung dieser Daten.

Aber auch der Betreiber einer Facebook-Fanpage sei gemeinsam mit Facebook für die fragliche Datenverarbeitung verantwortlich. Er sei nämlich beteiligt an dieser Entscheidung über die Zwecke und Mittel der Verarbeitung personenbezogener Daten seiner Fanpage-Besucher – über die von ihm vorgenommene „Parametrierung“. Denn der Fanpage-Betreiber kann sein Informations- und Kommunikationsangebot selbst gestalten, so der EuGH: Er kann demografische Daten über seine Zielgruppe – und damit die Verarbeitung dieser Daten – verlangen, zum Beispiel Tendenzen in den Bereichen Alter, Geschlecht, Beziehungsstatus und berufliche Situation. Das gleiche gelte für Informationen über den Lebensstil und die Interessen seiner Zielgruppe und geografische Daten. All dies ermögliche es dem Betreiber, sein Informationsangebot so zielgerichtet wie möglich zu gestalten.

Wer nun die Leistungen von Facebook für seine Fanpage in Anpruch nimmt, könne sich aber nicht davon befreien, seine Verpflichtungen im Bereich des Schutzes personenbezogener Daten zu beachten.

Gemeinsam ist nicht gleichwertig

Diese gemeinsame Verantwortlichkeit von Facebook und Fanpage-Betreiber bedeute aber nicht zwangsläufig auch eine gleichwertige Verantwortlichkeit, so der EuGH weiter. In welchem Grad die jeweils eine Seite bei der Datenverarbeitung verantwortlich ist, sei vielmehr unter Berücksichtigung der Umstände des Einzelfalls zu beurteilen. 

Die Richter urteilten außerdem, dass deutsche Datenschützer in derartigen Fällen gegen Facebook in Deutschland vorgehen können – obwohl Facebooks Europazentrale in Dublin angesiedelt ist.