Der Betreiber einer Webseite, in die der „Like“ („Gefällt mir“)-Button von Facebook eingebunden ist, kann nach einer jüngsten EuGH-Entscheidung bei unzureichender Information der Webseitenbesucher gegen die EU Datenschutz-Grundverordnung (DSGVO) verstoßen und deshalb haften. Welcher Handlungsbedarf resultiert aus dieser Entscheidung für Unternehmen?

Datenübermittlung bei Einbindung des Facebook „Like“- Buttons

In viele Webseiten ist der „Like“ („Gefällt mir“)-Button von Facebook, ein sog. Social Plugin, eingebunden. Bereits beim bloßen Aufrufen einer solchen Webseite werden personenbezogene Daten, wie etwa die IP-Adresse und technische Informationen über den von dem Webseitenbesucher verwendeten Browser, an Facebook übermittelt. Diese Datenübermittlung setzt weder ein aktives Anklicken des Buttons noch die Mitgliedschaft bei Facebook voraus.

Sachverhalt

Fashion ID, ein deutscher Online-Händler für Modeartikel, hatte den Facebook „Like“-Button in seine Webseite so eingebunden, dass personenbezogenen Daten der Webseitenbesucher bereits beim Aufrufen der Webseite an Facebook Ireland übermittelt wurden. Die Verbraucherzentrale NRW klagte dagegen vor dem OLG Düsseldorf und argumentierte, dass für diese Datenerhebung und -übermittlung die Einwilligung der Webseitenbesucher erforderlich sei. Eine solche habe Facebook aber nicht eingeholt. Zudem habe Facebook gegen seine datenschutzrechtlichen Informationspflichten verstoßen. Das OLG Düsseldorf ersuchte den EuGH um Auslegung einer Bestimmung der vor Geltung der DSGVO (seit vom 25. Mai 2018) noch anwendbaren Datenschutzrichtlinie.

Entscheidung

Mit seiner Entscheidung vom 29. Juli 2019 hat der Europäische Gerichtshof (EuGH) klargestellt, dass für die Erhebung und die Übermittlung der personenbezogenen Daten der Webseitenbesucher sowohl der Webseitenbetreiber (hier Fashion ID) als auch Facebook verantwortlich sein können. Für den EuGH spricht für eine Verantwortlichkeit von Fashion ID das wirtschaftliche Interesse des Unternehmens. Denn Fashion ID könne durch die Einbindung des Facebook „Like“- Buttons seine Produktwerbung optimieren. Die Datenverarbeitung (Ergebung, Übermittlung und Auswertung) könne allerdings auch ohne Einwilligung rechtmäßig sein, wenn ein festzustellendes berechtigtes Interesse an der Datenverarbeitung besteht. Der Webseitenbetreiber müsse die Webseitenbesucher aber jedenfalls über die Datenverarbeitung und die Verarbeitungszwecke informieren.

Für die weitergehende Verarbeitung der an Facebook übermittelten Daten sei jedoch Facebook allein und nicht mehr der Webseitenbetreiber verantwortlich.

Bewertung

Die Entscheidung des EuGH steht insoweit in Einklang mit der Entscheidung vom 5. Juni 2018 (Rs. C-210/2016), nach der Betreiber von Facebook-Fanpages mit dem sozialen Netzwerk eine gemeinsame datenschutzrechtliche Verantwortung für über die Seite erfolgende Nutzer-Trackings haben sollen. Zuvor waren die deutschen Instanzgerichte davon ausgegangen, dass nur Facebook datenschutzrechtlich verantwortlich sei. Der EuGH nimmt Webseitenbetreiber also zunehmend in die datenschutzrechtliche Pflicht. Für Unternehmen folgen hieraus erhöhte Haftungsrisiken.

Handlungsempfehlungen für Unternehmen
Zur Vermeidung von Haftungsrisiken sollten Unternehmen Ihre Webpräsenz umfassend prüfen. Insbesondere sollte geprüft werden, ob

• die Datenschutzhinweise über den Einsatz des Facebook „Like“-Buttons oder anderer sog. Social Plugins ausreichend informieren,
• ein „berechtigtes Interesse“ (z.B. Marketing) vorliegt, oder ob die Einholung von Einwilligungen erforderlich ist und
• dass beim Einsatz von sog. Social Plugins das „Zwei-Klick-Verfahren“ etabliert ist. Bei Anwendung dieses Verfahrens wird die Webseite mit inaktiven „Buttons“ ausgeliefert, eine automatische Übermittlung personenbezogener Daten an soziale Netzwerke erfolgt also nicht. Der Webseitenbesucher hat aber die Möglichkeit, die „Buttons“ manuell zu aktivieren und damit die Verbindung zu seinem (bevorzugten) sozialen Netzwerk herzustellen (erster Klick). In einem zweiten Schritt kann der Webseitenbesucher seine Empfehlung abgeben (zweiter Klick).

Urteil des Europäischen Gerichtshof (EuGH) vom 29. Juli 2019 (Rs. C-40/17)

Dr. Michael Herold, Rechtsanwalt
Frankfurt am Main