Datenschutz. Das Facebook-Urteil des EuGH liefert mehr Antworten, als es zunächst scheint.
Wien. Jeder Websitebetreiber kann die Like-Buttons von Facebook auf seiner Website positionieren. Die wenigsten wissen jedoch, dass diese schon beim Öffnen der Website automatisch Informationen und personenbezogene Daten des Websitebesuchers erheben und an Facebook übertragen. Und zwar unabhängig davon, ob der Besucher den Like-Button auf der Website anklickt oder selbst über einen Facebook-Account verfügt.
Nun hat der Europäische Gerichtshof (EuGH) in seinem kürzlich ergangenen Urteil (C-40/17) neuerlich datenschutzrechtliche Klarstellungen zu Facebook-Services geliefert. Anlass waren Facebooks Like-Buttons, die das Modehaus Peek & Cloppenburg in seinen Onlineshop integriert hatte. Verbraucherschützer brachten den Fall vor den EuGH.
Nun stellt sich die Frage, welche Maßnahmen Websitebetreiber im Lichte dieser EuGH-Entscheidung ergreifen müssen, um die Like-Buttons (oder Social-Media-Plug-ins anderer Anbieter wie etwa Twitter oder LinkedIn) rechtskonform nutzen zu können. Websitebetreiber und Plug-in-Anbieter sind künftig, so der EuGH unmissverständlich, gemeinsam verantwortlich für die Erhebung und Übertragung von Daten zum Plug-in-Anbieter. Nach der Übertragung endet jedoch die Verantwortlichkeit des Websitebetreibers.
Das bedeutet: Es müssen zwingend Standardvereinbarungen über die gemeinsame Verantwortlichkeit gemäß Art. 26 DSGVO abgeschlossen werden. Es ist davon auszugehen, dass Facebook und andere Anbieter solche Vereinbarungen zur Verfügung stellen werden. Websiteanbieter sollten diese Standardvereinbarungen jedenfalls im Detail überprüfen.
Irisches Recht kann gelten
Geht man von einem ähnlichen oder demselben Inhalt wie bei den Facebook-Fanpages aus, könnten sich gerade gewerbliche Websitebetreiber mit der Geltung des irischen Rechts, eines irischen Gerichtsstands und der irischen Datenschutzbehörde konfrontiert sehen. Darüber hinaus müssen die Websitebetreiber ihre eigenen Datenschutzerklärungen adaptieren und in diesen auf die Standardvereinbarungen verweisen. Außerdem müssen sie die Rechtfertigungsgründe für die Datenverarbeitung anführen.
Websitebetreiber müssen in Zukunft bei der Verwendung von Plug-ins, unabhängig von der Rechtfertigung der Datenverarbeitung, Informationspflichten gegenüber den Websitebesuchern erfüllen. Dabei stehen die Betreiber der Seiten jedoch vor einem praktischen Problem: Plug-ins wie der Like-Button erheben und verarbeiten personenbezogene Daten der Besucher bereits mit dem Öffnen der Website. Die Informationen nach Art. 13 DSGVO müssen jedoch – entgegen dem Verordnungswortlaut – bereits vor der Datenerhebung erteilt werden.
Vor diesem Hintergrund ist anzuraten, eine Erweiterung von Cookie-Banner-Lösungen oder eine entsprechende Unterbindung der Verarbeitung umzusetzen, solang keine Information erteilt wurde. Alternativ bieten sich auch sogenannte Zwei-Klick-Lösungen an. Diese bewirken, dass zunächst Informationen erteilt werden und erst anschließend eine Erhebung sowie Übertragung stattfindet.
Cookies als Knackpunkt
Eine Unsicherheit bleibt aber: Auf die Frage, ob für die Nutzung von Like-Buttons eine Einwilligung des Websitebesuchers notwendig ist, oder der Websitebetreiber sich auf berechtigte Interessen stützen kann, liefert der EuGH keine klare Antwort. Er differenziert vielmehr zwischen der notwendigen Einwilligung für die Informationsspeicherung im Rahmen von Cookies und den Rechtfertigungsgründen zur Verarbeitung von personenbezogenen Daten. Die entscheidende Frage ist: Platziert der Like-Button Cookies bzw. greift er auf vorhandene Cookies zu oder tut er dies nicht? Falls ja, bedarf es einer Einwilligung. Falls nein, könnte man ohne auskommen.
Liest man allerdings die Schlussanträge des Generalanwalts (Randnummer 17), so wird klar, dass Facebook im Rahmen seines Like-Buttons sehr wohl Cookies auf den Geräten der Websitebesucher platziert.
Die Conclusio: Die Websitebetreiber werden um die Einholung der Einwilligung der Besucher nicht umhinkommen, wenn sie weiterhin Like-Buttons von Facebook nutzen wollen.
Mag. Sascha Jung, LL.M. LL.M. ist Rechtsanwalt bei Jank Weiler Operenyi Rechtsanwälte I Deloitte Legal; Randolph Schwab, LL.M. (WU) ist dort Rechtsanwaltsanwärter.