Industrie 4.0InternetrechtInternetstrafrecht

EuGH stellt Verantwortlichkeit für Websitebetreiber fest

Der EuGH hat entschieden, dass der Betreiber einer Website, in der das Social Plugin „Gefällt Mir“ – Button von Facebook enthalten ist, für das Erheben und Übermitteln der personenbezogenen Daten der Besucher seiner Website gemeinsam mit Facebook verantwortlich sein kann. Die Betreiber von solchen Websites sind daher verpflichtet Besuchern Informationen über die Zwecke der Verarbeitung zu geben. Zudem muss eine Einwilligung der betroffenen Person vor der Erhebung und Übermittlung von Daten eingeholt werden, sofern der Betreiber nicht ein berechtigtes Interesse bei der Verarbeitung wahrnimmt. Die Entscheidung betrifft auch die Anbieter anderer Social Plugins, wie beispielsweise Twitter, sowie jeden Website-Betreiber, der bisher Social Plugins in seine Website integriert hat.

Der Ausgangsfall kam aus Deutschland

Der EuGH hatte sich im Rahmen eines Vorabentscheidungsverfahrens, nach Vorlage durch das OLG Düsseldorf, mit der Auslegung der Datenschutzrichtlinie von 1995 zu befassen. Diese wurde zwar durch die Einführung der DS-GVO am 24. Mai 2018 aufgehoben, war jedoch im Zeitraum des Ausgangsverfahrens anwendbar. Dem Ausgangsverfahren lag eine Unterlassungsklage der Verbraucherzentrale NRW gegen den Online Modehändler Fashion ID zugrunde.

Fashion ID hatte in seinem Online Shop den „Gefällt Mir“ – Button von Facebook eingebunden und damit aus Sicht der Klägerin unter Verstoß gegen Informationspflichten aus Art.10 der Datenschutzrichtlinie, Daten an Facebook übermittelt.  Denn Webseitenbetreibende, die den „Gefällt Mir“ – Button auf ihrer Website einbinden, geben die IP-Adresse und Webbrowser-Kennungen ihrer Besucher an Facebook weiter, unabhängig davon, ob diese den „Gefällt Mir“ – Button anklicken oder bei Facebook registriert sind. Fashion ID machte wiederum geltend, dass sie nicht als „für Verarbeitung Verantwortlicher“ im Sinne von Art. 2 Buchst. d der Datenschutzrichtlinie angesehen werden könne, da sie keinen Einfluss auf die Verarbeitung der an Facebook übermittelten Daten habe. Entsprechende Informationspflichten würden die Fashion ID daher nicht treffen. Das OLG Düsseldorf setzte daraufhin das Verfahren aus und legte dem EuGH unter anderem die Frage vor, ob Betreiber einer Website als „für die Verarbeitung Verantwortlicher“ im Sinne der Datenschutzrichtlinie angesehen werden können, wenn sie Programmcode benutzen, welcher personenbezogene Daten an einen Dritten übermittelt. Eine Bejahung hätte zur Folge, dass die Fashion ID ebenfalls an Pflichten aus der Datenschutzrichtlinie gebunden wären.

Die Ansicht des EuGH

Der EuGH versteht den Begriff des „Verantwortlichen“ im Rahmen der Datenschutzrichtlinie weit, um einen möglichst hohen Schutz der Betroffenen zu gewährleisten (EuGH v. 29.07.2019 – C-40/17 Rn. 66). Dementsprechend können auch mehrere, natürliche oder juristische Personen als für die Verarbeitung Verantwortliche derselben Daten angesehen werden (EuGH v. 29.07.2019 – C-40/17 Rn. 67). Jedoch habe das Bestehen einer gemeinsamen Verantwortlichkeit nicht zwangsläufig eine gleichwertige Verantwortlichkeit der verschiedenen Personen für die Verarbeitung zur Folge (EuGH v. 29.07.2019 – C-40/17 Rn. 70). So könne die Verarbeitung aus einem oder mehreren Vorgängen bestehen, für die ein unterschiedliches Maß an Verantwortlichkeit bestehen kann. Ausgehend vom Wortlaut der Legaldefinition des „für die Verarbeitung Verantwortlichen“ in Art. 2 d) der Richtlinie führt der EuGH anschließend aus, dass eine Person die an der Verarbeitung beteiligt ist, nur solange als verantwortlich angesehen werden kann, wie sie über die Zwecke und Mittel der Verarbeitung mitentscheidet (EuGH v. 29.07.2019 – C-40/17 Rn. 73).

Deswegen differenziert der EuGH zwischen der von Facebook vorgenommenen Datenverarbeitung einerseits und der Erhebung und Weiterleitung der Daten andererseits. Während für ersteres laut EuGH Fashion ID, mangels Entscheidungsbefugnis über Zweck und Mittel der Verarbeitung, nicht verantwortlich ist, erscheint eine Verantwortlichkeit für letzteres möglich (EuGH v. 29.07.2019 – C-40/17 Rn. 76). Fashion ID habe den „Gefällt-Mir“ – Button in dem Wissen, dass Daten von Besuchern ihrer Website an Facebook weitergeleitet werden, eingebunden, um einen wirtschaftlichen Vorteil zu erhalten (EuGH v. 29.07.2019 – C-40/17 Rn. 80). Es ist daher davon auszugehen, dass Fashion ID und Facebook gemeinsam über die Zwecke des Erhebens entschieden haben (EuGH v. 29.07.2019 – C-40/17 Rn. 81). Der EuGH kommt zu dem Ergebnis, dass eine Verantwortlichkeit des Betreibers einer Website wie die der Fashion ID, bezogen auf die Vorgänge des Erhebens und der Übermittlung von Daten, grundsätzlich möglich ist (EuGH v. 29.07.2019 – C-40/17 Rn. 84). Im konkreten Fall hat der EuGH die Beurteilung, ob Fashion ID gemeinsam mit Facebook über die Zwecke des Erhebens und Übermittelns entschieden hat, dem vorlegenden Gericht überlassen. Nichtsdestotrotz steht mit dem Urteil fest, dass Betreiber einer Website bei Einbindung eines Social Plugins Verantwortlicher im Sinne der Datenschutzrichtlinie sein können.

Zusätzlich stellte der EuGH fest, dass die Verpflichtungen die den für die Verarbeitung Verantwortlichen obliegen, auch für Betreiber wie die Fashion ID gelten (EuGH v. 29.07.2019 – C-40/17 Rn. 100). Diese Pflichten beschränken sich jedoch auf die Vorgänge, für die der Betreiber der Website als verantwortlich angesehen werden kann. Der EuGH argumentiert hierfür mit der Notwendigkeit einer wirksamen und rechtzeitigen Wahrung der Rechte der betroffenen Person (EuGH v. 29.07.2019 – C-40/17 Rn. 102). Dies umfasst bestimmte Informationspflichten über die Vorgänge der Verarbeitung personenbezogener Daten, sowie die Verpflichtung gegebenenfalls eine Einwilligung einzuholen. Explizit erklärt der EuGH, dass eine Einwilligung vor der Erhebung der Daten der Person durch den Betreiber der Website, und gerade nicht dem Anbieter des Social Plugins, zu erfolgen habe (EuGH v. 29.07.2019 – C-40/17 Rn. 102).

 Neue Informationspflichten für Website-Betreiber

Das Urteil betrifft zwar die Auslegung der mittlerweile außer Kraft getretenen Datenschutzrichtlinie, jedoch ist zu erwarten, dass der EuGH bei seiner geäußerten Ansicht grundsätzlich bleiben wird. Auf die Besucher von Websites mit Social Plugins könnte daher in Zukunft ein weiterer Zustimmungsklick zukommen, wie es bisher beispielsweise bereits für Cookies der Fall ist. So hat Fashion ID auf seiner Website mittlerweile ein separates Feld eingerichtet, auf der man der Aktivierung von Social Media ausdrücklich zustimmen muss. Andere Lösungen könnten so aussehen, dass Informationen erst dann übermittelt werden, wenn das Social Plugin benutzt wird.

Das Urteil des EuGH hat gespaltene Reaktionen hervorgerufen. Die Klagende Verbraucherzentrale erklärte, dass nun auch Unternehmen, die von den Daten ihrer Verbraucher profitierten, ihrer Verantwortung gerecht werden müssten. Kritiker wie der Branchenverband Bitkom kritisieren hingegen einen möglicherweise entstehenden bürokratischen Aufwand für Website Betreiber. Zudem bezweifelt der Hauptgeschäftsführer von Bitkom, Bernhard Rohleder, ob Nutzer überhaupt eine Information bezüglich Social Plugins beachten würden. Denn schon jetzt würden Informationen zu Cookies und Datenschutzerklärungen von den allermeisten Nutzern nur formal zur Kenntnis genommen. Ob das Urteil des EuGH daher einen Impuls zu einem verbesserten Datenschutz setzen wird, bleibt offen.

Quellen:

https://www.zdnet.de/88365571/gefaellt-mir-button-website-betreiber-fuer-datenerhebung-mit-verantwortlich/, zuletzt abgerufen am 13.08.2019

https://netzpolitik.org/2019/eugh-urteil-webseitenbetreibende-muessen-ueber-like-button-aufklaeren/, zuletzt abgerufen am 13.08.2019

http://curia.europa.eu/juris/document/document.jsf?text=&docid=216555&pageIndex=0&doclang=DE&dir=&occ=first&part=1&cid=4746757&m, zuletzt abgerufen am 13.08.2019

http://docs.dpaq.de/15155-cp190099de.pdf, zuletzt abgerufen am 13.08.2019

https://www.heise.de/newsticker/meldung/EuGH-Auch-Websites-beim-Like-Button-mit-in-der-Verantwortung-4481307.html, zuletzt abgerufen am 13.08.2019

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert

*