Das Ende der Facebook-Fanpages? Neues Urteil des BVerwG könnte weitreichende Folgen haben
Wer eine gewerbliche Facebook-Fanpage betreibt, ist gemeinsam mit der Plattform für den Schutz der Besucherdaten verantwortlich. Das hat das Bundesverwaltungsgericht (BVerwG) nun am 11. September 2019 entschieden. Dieses neue Urteil des BVerwG könnte weitreichende Folgen haben und könnte das Ende der Facebook-Fanpages bedeuten, denn hiervon sind quasi alle Unternehmen betroffen, die eine Facebook-Seite betreiben.
Das BVerwG hat entschieden, dass der Betreiber eines in Facebook unterhaltenen Unternehmensauftritts (Fanpage) verpflichtet werden kann, diese Fanpage abzuschalten, falls die von Facebook zur Verfügung gestellte digitale Infrastruktur schwerwiegende datenschutzrechtliche Mängel aufweist.
Gegenstand des Verfahrens war eine Anordnung der schleswig-holsteinischen Datenschutzbehörde, mit der die Klägerin, eine in Kiel ansässige Bildungseinrichtung, unter der Geltung der Datenschutzrichtlinie (Richtlinie 95/46/EG) verpflichtet worden war, die von ihr bei Facebook betriebene Fanpage zu deaktivieren. Der Bescheid der Behörde beanstandete, dass Facebook bei Aufruf der Fanpage auf personenbezogene Daten der Internetnutzer zugreife, ohne dass diese gemäß den Bestimmungen des Telemediengesetzes (TMG) über Art, Umfang und Zwecke der Erhebung sowie ein entsprechendes Widerspruchsrecht gegen die Erstellung eines Nutzungsprofils für Zwecke der Werbung oder Marktforschung unterrichtet würden. Ein gegenüber der Klägerin als Betreiberin der Fanpage erklärter Widerspruch des Nutzers bleibe mangels entsprechender technischer Einwirkungsmöglichkeiten folgenlos.
Die von dem Bescheid betroffene Bildungseinrichtung erhob gegen den Bescheid Klage, welche in den Vorinstanzen zunächst Erfolg hatte. Das Oberverwaltungsgericht hatte eine datenschutzrechtliche Verantwortlichkeit der Klägerin abgelehnt, weil sie selbst keinen Zugriff auf die erhobenen Daten habe.
Auf Vorlage des BVerwG (Beschluss vom 25. Februar 2016 – BVerwG 1 C 28.14 https://www.bverwg.de/250216B1C28.14.0) hat der Gerichtshof der Europäischen Union (EuGH) mit Urteil vom 5. Juni 2018 – C-210/16 – entschieden, dass der Betreiber einer Fanpage für die durch Facebook erfolgende Datenverarbeitung mitverantwortlich ist. Denn er ermöglicht durch den Betrieb der Fanpage Facebook den Zugriff auf die Daten der Fanpage-Besucher.
Das Bundesverwaltungsgericht hat auf der Grundlage dieser bindenden Vorgabe das Berufungsurteil aufgehoben und den Rechtsstreit an das Schleswig-Holsteinische Oberverwaltungsgericht zurückverwiesen. Um das von der Datenschutzrichtlinie bezweckte hohe Datenschutzniveau möglichst zügig und wirkungsvoll durchzusetzen, konnte sich der Beklagte bei der Auswahl unter mehreren datenschutzrechtlichen Verantwortlichen vom Gedanken der Effektivität leiten lassen und ermessenfehlerfrei die Klägerin für die Herstellung datenschutzkonformer Zustände bei Nutzung ihrer Fanpage in die Pflicht nehmen. Die Datenschutzbehörde war nicht verpflichtet, gegen eine der Untergliederungen oder Niederlassungen von Facebook vorgehen, weil das wegen der fehlenden Kooperationsbereitschaft von Facebook mit erheblichen tatsächlichen und rechtlichen Unsicherheiten verbunden gewesen wäre. Erweisen sich die bei Aufruf der Fanpage ablaufenden Datenverarbeitungen als rechtswidrig, so stellt die Deaktivierungsanordnung ein verhältnismäßiges Mittel dar, weil der Klägerin (der Datenschutzbehörde) keine anderweitige Möglichkeit zur Herstellung datenschutzkonformer Zustände offensteht.
Zur Frage der Rechtswidrigkeit der beanstandeten Datenverarbeitungsvorgänge bedarf es einer näheren Aufklärung der tatsächlichen Umstände durch das Berufungsgericht. Die Rechtmäßigkeit der bei Aufruf der klägerischen Fanpage ablaufenden Datenverarbeitungsvorgänge ist an den Vorgaben des im Zeitpunkt der letzten Behördenentscheidung gültigen Datenschutzrechts, insbesondere an den Vorschriften des Telemediengesetzes, denen die Klägerin als Betreiberin unterliegt, zu messen.
Fazit: Das Urteil ist auch ein Warnschuss an Facebook. Denn es kann nicht im Interesse von Facebook sein, dass Unternehmen nun behördlich verpflichtet werden, Facebook-Fanpages abzuschalten, schließlich verdient auch Facebook damit gutes Geld. Man kann das Urteil so interpretieren, dass die Datenschutzbehörden nun freie Hand haben, Datenschutzverstöße (von Facebook) „auf dem Rücken der Unternehmen“ zu verfolgen. Inwieweit nun eine „Verbotswelle“ folgen wird, bleibt abzuwarten. Klar aber dürfte sein, dass durch diese Möglichkeit der Druck auf Facebook zunehmen wird, selbst auf die Einhaltung von Datenschutzregeln zu achten.
Urteil vom 11. September 2019 – BVerwG 6 C 15.18 –
Vorinstanzen: OVG Schleswig, 4 LB 20/13 – Urteil vom 04. September 2014- , VG Schleswig, 8 A 14/12 – Urteil vom 09. Oktober 2013 –