Aktuell alle Facebook Fanpages rechtswidrig

Am 05.09.2018 hat die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) einen Beschluss zu Facebook-Fanpages gefasst. Demnach ist für die Unterhaltung einer Facebook Fanpage zwingend eine Vereinbarung gem. Art. 26 DSGVO mit Facebook erforderlich. Da Facebook solche Vereinbarungen derzeit noch nicht anbietet, sind aktuell de factoalle Facebook Fanpages rechtswidrig, die im Geltungsbereich der Datenschutz-Grundverordnung (DSGVO) betrieben werden. Dies wird von der DSK im Beschluss vom 05.09.2018 auch genauso formuliert. Auf Seite 2 ihres Beschlusses heißt es hierzu:

Ohne Vereinbarung nach Art. 26 DSGVO ist der Betrieb einer Fanpage, wie sie derzeit von Facebook angeboten wird, rechtswidrig.

Hintergrund

Die DSGVO ist seit 25.05.2018 wirksam. Die darin enthaltenen Vorschriften sind grundsätzlich von Jedem zu beachten, der personenbezogene Daten verarbeitet (sog. Verantwortlicher). Ausgenommen ist lediglich die Verarbeitung zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten, vgl. Art. 2 Abs. 2 c) DSGVO.

Verantwortlicher im Sinne der DSGVO ist derjenige, der über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Legen zwei oder mehr Verantwortliche gemeinsam die Zwecke der und die Mittel zur Verarbeitung fest, so sind sie laut Art. 26. Abs. 1 Satz 1 DSGVO gemeinsam Verantwortliche. Als solche müssen sie in einer Vereinbarung in transparenter Form festlegen, wer von ihnen welche datenschutzrechtlichen Verpflichtungen erfüllt.

Mit Urteil vom 05.06.2018 hatte der EuGH entschieden, dass jeder Betreiber einer Fanpage in einem sozialen Netzwerk neben dem Betreiber des Netzwerks „Verantwortlicher“ im Sinne des Datenschutzrechts ist. Mit anderen Worten: Facebook und der Betreiber einer Fanpage bei Facebook sind gemeinsam Verantwortliche im Sinne von Art. 26 DSGVO. Damit ist zwischen ihnen immer eine Vereinbarung nach Art. 26 Abs. 1 Satz 2 DSGVO erforderlich.

Laut DSK aktuell alle Facebook Fanpages rechtswidrig

Die DSK hatte sich zur Entscheidung des EuGH bereits am 06.06.2018 in einer Stellungnahme geäußert. Bereits darin wurde dringender Handlungsbedarf angemahnt. So heißt es in der Stellungnahme abschließend:

Die deutschen Aufsichtsbehörden weisen darauf hin, dass nach dem Urteil des EuGH dringender Handlungsbedarf für die Betreiber von Fanpages besteht. Dabei ist nicht zu verkennen, dass die Fanpage-Betreiber ihre datenschutzrechtlichen Verantwortung nur erfüllen können, wenn Facebook selbst an der Lösung mitwirkt und ein datenschutzkonformes Produkt anbietet, das die Rechte der Betroffenen wahrt und einen ordnungsgemäßen Betrieb in Europa ermöglicht.

Da seit dem EuGH-Urteil mittlerweile drei Monate vergangen sind und von Seiten Facebook’ keine Initiative erfolgte, ist der DSK wohl nun “der Kragen geplatzt”. Mit dem Beschluss vom 05.09. wurde deshalb nochmals ausdrücklich ausgesprochen, was seit dem Urteil des EuGH v0m 05.06. ohnehin bereits feststeht: Für die Unterhaltung einer Fanpage bei Facebook ist eine Vereinbarung gemäß Art. 26 DSGVO mit Facebook erforderlich. Ohne eine solche Vereinbarung steht der Betreib einer Fanpage nicht mit der DSGVO im Einklang, ist also mit anderen Worten “rechtswidrig”.

Der Beschluss vom 05.09. verfolgt offenbar das Ziel, Facebook endlich zum Handeln zu bewegen. Dies hat übrigens auch bereits Früchte getragen: Gestern veröffentlichte Facebook eine Ankündigung, wonach in der kommenden Woche alle Fanpage-Betreiber in der EU über die Updates zu den Business-Seiten, Gruppen und Veranstaltungen informiert werden.

Was ist jetzt zu tun?

Zunächst sollten Sie nicht in Panik verfallen. In Anbetracht der relativ konkreten Ankündigung ist davon auszugehen, dass Facebook in der kommenden Woche eine Lösung für die geschilderte Problematik anbietet. Aus dem Inhalt der Ankündigung lässt sich entnehmen, dass Facebook hierbei die datenschutzrechtliche Verantwortung übernehmen wird. Hierzu heißt es in der Ankündigung:

The Addendum sets out the legal responsibilities under GDPR of both Facebook and Page admins in relation to data used for Page Insights. Facebook agrees to take over the primary responsibility to comply with the GDPR obligations with regard to the processing.

Ob die angebotene Lösung rechtlich “wasserdicht” ist, kann erst beurteilt werden, wenn sie vorliegt. Wer in der Zwischenzeit rechtlichen Problemen generell aus dem Weg gehen möchte, sollte seine Facebook Fanpage vorübergehend abschalten. Wie dies funktioniert, ist beispielsweise hier nachzulesen.

Übrigens…

Der Beschluss der DSK ist nicht auf Facebook beschränkt. Die darin angesprochenen rechtlichen Erwägungen gelten gleichermaßen für alle nicht ausschließlich privat genutzten Profile auf Social-Media-Plattformen.

Kommentar verfassen