Datenschutz bei Facebook-Fanpages
DSGVO: Was Unternehmer jetzt tun sollten, die eine Facebook-Fanpage betreiben

Äußerungen von Datenschützern sorgen für Unruhe unter Betreibern von Facebook-Fanpages. Viele fragen sich: Sind diese noch rechtskonform? Und was tun, wenn nicht? Die wichtigsten Fragen und Antworten.

, von

Daumen hoch – das gilt, wenn Unternehmer Regelungen zum  Datenschutz bei Facebook-Fanpages beachten.
Daumen hoch – das gilt, wenn Unternehmer Regelungen zum Datenschutz bei Facebook-Fanpages beachten.
© Tick-Tock / iStock / Getty Images Plus

Wie ist die aktuelle Rechtslage im Hinblick auf Facebook-Fanpages?

Der Europäische Gerichtshof hat 2018 in einem Urteil entschieden: Wer eine Facebook-Fanpage betreibt, etwa, um darüber mit seinen Kunden in Kontakt zu kommen, ist – neben Facebook selbst – mitverantwortlich für die datenschutzrechtskonforme Verarbeitung personenbezogener Daten. „Die Richter erklärten, dass Fanpage-Betreiber einen geringen Einfluss darauf hätten, wie und wozu Daten von Nutzern verarbeitet werden“, erklärt Michael Neuber, Justiziar beim Bundesverband Digitale Wirtschaft (BVDW). Vor allem deswegen, weil, sie nach Ansicht des Gerichts Statistiken über das Nutzerverhalten, die Facebook bereitstellt, dazu verwenden können, die Seite zielgruppengerecht zu optimieren – und Filtermöglichkeiten nutzen.

Was ist das Problem an der aktuellen Rechtslage?

„In letzter Konsequenz sagen die Richter in ihrem Urteil, dass ein Fanpage-Betreiber gemeinsam mit Facebook festlegt, welche Daten verarbeitet werden“, so Neuber. Facebook hatte dagegen argumentiert, dass Fanpage-Betreiber nur die Daten erhalten, die es zuvor selbst erfasst hat. „Danach bekommen sie nur eine Art Einblick in eine fremde Datenverarbeitung“, so Neuber.

Das Dilemma ist vorprogrammiert: Aus der vom Gericht angenommenen gemeinsamen Verantwortlichkeit resultieren Rechenschaftspflichten, die die Betreiber nun erfüllen müssen – etwa Informationspflichten über den Umfang und die Art der Datenverarbeitungen, die sie betreffen. Allerdings ist weder klar, welche das konkret sind, noch wie ein Betreiber an Informationen über Datenverarbeitungen gelangt, die er im Zweifel gar nicht in der Hand hat. „Nicht zuletzt deswegen hatte Facebook im September 2018 Ergänzungstexte veröffentlicht, in denen das Unternehmen festschreibt, dass die alleinige Entscheidungsmacht ‚hinsichtlich der Verarbeitung von Insights-Daten‘ bei ihm läge“, fasst Neuber zusammen.

Die Änderungen, die Facebook nach dem Urteil an seinen Angeboten vornahm, haben das Problem nicht behoben. In einem Beschluss vom September 2018 erklärte die Datenschutzkonferenz (DSK), das Betreiben von Fanpages sei weiterhin rechtswidrig – und hat diese Einschätzung aktuell in einem weiteren Positionspapier erneuert und ergänzt.

Wie können Fanpage-Betreiber auf das Dilemma reagieren?

Fanpage-Betreiber haben zwei Möglichkeiten, das Dilemma zu lösen.

  • Möglichkeit 1: Die Fanpage abschalten

Wer zu 100 Prozent sichergehen will, dass ihm keine Abmahnung droht, dem bleibt nichts anderes, als seine Seite abzuschalten. Denn, so die DSK in ihrer Positionierung: „Die Datenschutzkonferenz erwartet, dass Facebook entsprechend nachbessert und die Fanpage-Betreiber ihrer Verantwortlichkeit entsprechend gerecht werden. Solange diesen Pflichten nicht nachgekommen wird, ist ein datenschutzkonformer Betrieb einer Fanpage nicht möglich.“

  • Möglichkeit 2: Die Fanpage weiterbetreiben – und abwarten

Experten raten zu Gelassenheit. Ihnen zufolge ist es unwahrscheinlich, dass eine Abmahnwelle droht. Zum einen deshalb, weil Facebook Daten anonymisiert, ehe es sie weitergibt – entsprechend enthalten Statistiken, die Fanpage-Betreiber erhalten, keine persönlichen Daten. „Für anonymisierte Daten greift der Datenschutz gar nicht“, so Neuber weiter.

Zur Person
Michael NeuberMichael Neuber ist Rechtsanwalt und Justiziar und Bereichsleiter Politik und Recht beim Bundesverbandes Digitale Wirtschaft (BVDW) e.V.. Er berät die BVDW-Mitglieder in Rechtsfragen vor allem in den Bereichen IT-, Datenschutz-, Urheber- und Medienrecht.

Daneben gibt es drei weitere Gründe, weshalb Fanpage-Betreiber erst einmal abwarten können:

  1. Es ist noch gar nicht geregelt, welche Pflichten sich aus dem EuGH-Urteil für Fanpage-Betreiber ergeben – und wie sie diesen nachkommen können.

Würde ein Datenschützer einen Unternehmer auffordern, innerhalb einer Woche seine Fanpage abzuschalten, könnte er dagegen vor Gericht ziehen – dieses hätte jedoch noch keine Grundlage, auf deren Vorgaben es entscheiden könnte. „Aktuell liegen die offenen Fragen rund um die Fanpage beim Bundesverwaltungsgericht. Erst, wenn dieses erklärt hat, welche Pflichten Fanpage-Betreibern überhaupt konkret obliegen, können andere Gerichte darüber entscheiden, wann eine Pflichtverletzung vorliegt – und eine Fanpage abgeschaltet werden soll“, so Neuber.

  1. Offizielle Datenschutzbehörden werden eher nicht aktiv werden.

Experten gehen davon aus, dass Behörden kein Interesse daran haben, Fanpage-Betreiber abzumahnen. Zum einen deshalb, weil die Pflichten noch ungeklärt sind – und zum anderen, weil sie keine Ressourcen hätten, Tausende Fälle zu bearbeiten.

  1. Es ist möglich, dass Datenschutz-Aktivisten ein Zeichen setzen wollen – aber unwahrscheinlich, dass sie dafür Fanpages von Unternehmern wählen.

Experten halten es für durchaus möglich, dass aktivistische Datenschützer versuchen, die Abschaltung von Fanpages zu erzwingen. Aber: Aktivisten wollen Öffentlichkeit. Da bringt es wenig, einen Konditor aufzufordern, seine Seite abzuschalten. Anders als beispielsweise im Fall der Bundesregierung oder öffentlicher Stellen, die ebenfalls noch Fanpages betreiben, obwohl dies nach Ansicht der DSK aktuell rechtswidrig ist.

In eigener Sache
Machen ist wie wollen, nur krasser
Machen ist wie wollen, nur krasser
Die impulse-Mitgliedschaften - Rückenwind für Unternehmerinnen und Unternehmer

Was sollten Unternehmer tun, die weiter Fanpages betreiben wollen?

Experten raten Unternehmern, alles zu tun, was ihnen aktuell datenschutzrechtlich möglich ist. Das heißt:

  • Auf der Fanpage eine Person benennen, die für die Datenverarbeitung der Seite zuständig ist.
  • Darauf hinweisen, dass der Fanpage-Betreiber laut aktueller Rechtsprechung gemeinsam mit Facebook datenschutzrechtlich verantwortlich ist und welche Rechtsgrundlage der eigenen Datenverarbeitung zugrunde liegt.
  • Auf die Erklärung von Facebook verlinken, in der das Unternehmen ausführt, die alleinige Verantwortung für den Datenschutz zu tragen und sich insbesondere um Sicherheits-, Auskunfts-, Informations- und Meldepflichten zu kümmern, die laut DSGVO anfallen.

Welche Konsequenzen drohen, wenn Datenschützer Unternehmer tatsächlich auffordern, eine Fanpage abzuschalten?

Theoretisch ist es möglich, dass Datenschützer einen Unternehmer auffordern, eine Fanpage abzuschalten. Kommt dieser dem nicht nach, drohen jene Bußgelder, die die DSGVO bei Verstößen vorsieht. Auf dem Papier besteht also ein Risiko – und jeder Unternehmer muss für sich persönlich entscheiden, ob er dieses eingeht. Ob der theoretische Fall tatsächlich eintritt, ist jedoch eine Frage der aktuellen Gegebenheiten und der Argumente. „Diese scheinen derzeit noch auf Seiten der Fanpage-Betreiber zu liegen“, so Neubers Fazit. Als indirekter Hinweis darauf kann etwa die Tatsache gelten, dass das Bundesjustizministerium weiterhin sehr aktiv eine Facebook-Fanpage betreibt.

Wenn das Ganze derart absurd ist, warum hat der EuGH so entschieden – und sich die Datenschutzkonferenz so positioniert?

Experten vermuten: Sowohl das Urteil des EuGH als auch die Stellungnahme der DSK sind Teil eines Stellvertreterkrieges. Und dienen demnach nicht dazu, wirklich das Abschalten Tausender Facebook-Fanpages zu erwirken. Sondern dazu, über die Nutzer Druck auf Facebook auszuüben, damit das Unternehmen in Sachen Datenschutz aktiv wird – ohne dass sich Legislative und Exekutive darum kümmern müssen.

Lesen Sie hier, was Sie zum Thema Cookie-Hinweis auf der Website wissen müssen.

Wie ist die aktuelle Rechtslage im Hinblick auf Facebook-Fanpages? Der Europäische Gerichtshof hat 2018 in einem Urteil entschieden: Wer eine Facebook-Fanpage betreibt, etwa, um darüber mit seinen Kunden in Kontakt zu kommen, ist – neben Facebook selbst – mitverantwortlich für die datenschutzrechtskonforme Verarbeitung personenbezogener Daten. „Die Richter erklärten, dass Fanpage-Betreiber einen geringen Einfluss darauf hätten, wie und wozu Daten von Nutzern verarbeitet werden“, erklärt Michael Neuber, Justiziar beim Bundesverband Digitale Wirtschaft (BVDW). Vor allem deswegen, weil, sie nach Ansicht des Gerichts Statistiken über das Nutzerverhalten, die Facebook bereitstellt, dazu verwenden können, die Seite zielgruppengerecht zu optimieren – und Filtermöglichkeiten nutzen. Was ist das Problem an der aktuellen Rechtslage? „In letzter Konsequenz sagen die Richter in ihrem Urteil, dass ein Fanpage-Betreiber gemeinsam mit Facebook festlegt, welche Daten verarbeitet werden“, so Neuber. Facebook hatte dagegen argumentiert, dass Fanpage-Betreiber nur die Daten erhalten, die es zuvor selbst erfasst hat. „Danach bekommen sie nur eine Art Einblick in eine fremde Datenverarbeitung“, so Neuber. Das Dilemma ist vorprogrammiert: Aus der vom Gericht angenommenen gemeinsamen Verantwortlichkeit resultieren Rechenschaftspflichten, die die Betreiber nun erfüllen müssen – etwa Informationspflichten über den Umfang und die Art der Datenverarbeitungen, die sie betreffen. Allerdings ist weder klar, welche das konkret sind, noch wie ein Betreiber an Informationen über Datenverarbeitungen gelangt, die er im Zweifel gar nicht in der Hand hat. „Nicht zuletzt deswegen hatte Facebook im September 2018 Ergänzungstexte veröffentlicht, in denen das Unternehmen festschreibt, dass die alleinige Entscheidungsmacht ‚hinsichtlich der Verarbeitung von Insights-Daten‘ bei ihm läge“, fasst Neuber zusammen. Die Änderungen, die Facebook nach dem Urteil an seinen Angeboten vornahm, haben das Problem nicht behoben. In einem Beschluss vom September 2018 erklärte die Datenschutzkonferenz (DSK), das Betreiben von Fanpages sei weiterhin rechtswidrig – und hat diese Einschätzung aktuell in einem weiteren Positionspapier erneuert und ergänzt. Wie können Fanpage-Betreiber auf das Dilemma reagieren? Fanpage-Betreiber haben zwei Möglichkeiten, das Dilemma zu lösen. Möglichkeit 1: Die Fanpage abschalten Wer zu 100 Prozent sichergehen will, dass ihm keine Abmahnung droht, dem bleibt nichts anderes, als seine Seite abzuschalten. Denn, so die DSK in ihrer Positionierung: „Die Datenschutzkonferenz erwartet, dass Facebook entsprechend nachbessert und die Fanpage-Betreiber ihrer Verantwortlichkeit entsprechend gerecht werden. Solange diesen Pflichten nicht nachgekommen wird, ist ein datenschutzkonformer Betrieb einer Fanpage nicht möglich.“ Möglichkeit 2: Die Fanpage weiterbetreiben – und abwarten Experten raten zu Gelassenheit. Ihnen zufolge ist es unwahrscheinlich, dass eine Abmahnwelle droht. Zum einen deshalb, weil Facebook Daten anonymisiert, ehe es sie weitergibt – entsprechend enthalten Statistiken, die Fanpage-Betreiber erhalten, keine persönlichen Daten. „Für anonymisierte Daten greift der Datenschutz gar nicht“, so Neuber weiter. Daneben gibt es drei weitere Gründe, weshalb Fanpage-Betreiber erst einmal abwarten können: Es ist noch gar nicht geregelt, welche Pflichten sich aus dem EuGH-Urteil für Fanpage-Betreiber ergeben – und wie sie diesen nachkommen können. Würde ein Datenschützer einen Unternehmer auffordern, innerhalb einer Woche seine Fanpage abzuschalten, könnte er dagegen vor Gericht ziehen – dieses hätte jedoch noch keine Grundlage, auf deren Vorgaben es entscheiden könnte. „Aktuell liegen die offenen Fragen rund um die Fanpage beim Bundesverwaltungsgericht. Erst, wenn dieses erklärt hat, welche Pflichten Fanpage-Betreibern überhaupt konkret obliegen, können andere Gerichte darüber entscheiden, wann eine Pflichtverletzung vorliegt – und eine Fanpage abgeschaltet werden soll“, so Neuber. Offizielle Datenschutzbehörden werden eher nicht aktiv werden. Experten gehen davon aus, dass Behörden kein Interesse daran haben, Fanpage-Betreiber abzumahnen. Zum einen deshalb, weil die Pflichten noch ungeklärt sind – und zum anderen, weil sie keine Ressourcen hätten, Tausende Fälle zu bearbeiten. Es ist möglich, dass Datenschutz-Aktivisten ein Zeichen setzen wollen – aber unwahrscheinlich, dass sie dafür Fanpages von Unternehmern wählen. Experten halten es für durchaus möglich, dass aktivistische Datenschützer versuchen, die Abschaltung von Fanpages zu erzwingen. Aber: Aktivisten wollen Öffentlichkeit. Da bringt es wenig, einen Konditor aufzufordern, seine Seite abzuschalten. Anders als beispielsweise im Fall der Bundesregierung oder öffentlicher Stellen, die ebenfalls noch Fanpages betreiben, obwohl dies nach Ansicht der DSK aktuell rechtswidrig ist. Was sollten Unternehmer tun, die weiter Fanpages betreiben wollen? Experten raten Unternehmern, alles zu tun, was ihnen aktuell datenschutzrechtlich möglich ist. Das heißt: Auf der Fanpage eine Person benennen, die für die Datenverarbeitung der Seite zuständig ist. Darauf hinweisen, dass der Fanpage-Betreiber laut aktueller Rechtsprechung gemeinsam mit Facebook datenschutzrechtlich verantwortlich ist und welche Rechtsgrundlage der eigenen Datenverarbeitung zugrunde liegt. Auf die Erklärung von Facebook verlinken, in der das Unternehmen ausführt, die alleinige Verantwortung für den Datenschutz zu tragen und sich insbesondere um Sicherheits-, Auskunfts-, Informations- und Meldepflichten zu kümmern, die laut DSGVO anfallen. Welche Konsequenzen drohen, wenn Datenschützer Unternehmer tatsächlich auffordern, eine Fanpage abzuschalten? Theoretisch ist es möglich, dass Datenschützer einen Unternehmer auffordern, eine Fanpage abzuschalten. Kommt dieser dem nicht nach, drohen jene Bußgelder, die die DSGVO bei Verstößen vorsieht. Auf dem Papier besteht also ein Risiko – und jeder Unternehmer muss für sich persönlich entscheiden, ob er dieses eingeht. Ob der theoretische Fall tatsächlich eintritt, ist jedoch eine Frage der aktuellen Gegebenheiten und der Argumente. „Diese scheinen derzeit noch auf Seiten der Fanpage-Betreiber zu liegen“, so Neubers Fazit. Als indirekter Hinweis darauf kann etwa die Tatsache gelten, dass das Bundesjustizministerium weiterhin sehr aktiv eine Facebook-Fanpage betreibt. Wenn das Ganze derart absurd ist, warum hat der EuGH so entschieden – und sich die Datenschutzkonferenz so positioniert? Experten vermuten: Sowohl das Urteil des EuGH als auch die Stellungnahme der DSK sind Teil eines Stellvertreterkrieges. Und dienen demnach nicht dazu, wirklich das Abschalten Tausender Facebook-Fanpages zu erwirken. Sondern dazu, über die Nutzer Druck auf Facebook auszuüben, damit das Unternehmen in Sachen Datenschutz aktiv wird – ohne dass sich Legislative und Exekutive darum kümmern müssen. Lesen Sie hier, was Sie zum Thema Cookie-Hinweis auf der Website wissen müssen.