Der Facebook-„Gefällt mir”-Button auf Web­sites

Der Betrei­ber einer Web­site, in der der „Gefällt mir“Button von Face­book ent­hal­ten ist, kann für das Erhe­ben und die Über­mitt­lung der per­so­nen­be­zo­ge­nen Daten der Besu­cher sei­ner Web­site gemein­sam mit Face­book ver­ant­wort­lich sein. Dage­gen ist er grund­sätz­lich nicht für die spä­te­re Ver­ar­bei­tung die­ser Daten allein durch Face­book ver­ant­wort­lich.

Der Facebook-„Gefällt mir”-Button auf Web­sites

Die ent­schied jetzt der Gerichts­hof der Euro­päi­schen Uni­on auf ein Vor­ab­ent­schei­dungs­er­su­chen des Ober­lan­des­ge­richts­ge­richts Düs­sel­dorf zwi­schen der Ver­brau­cher­zen­tra­le NRW und der Fa. Fashion ID, eine im Online­Han­del mit Mode­ar­ti­keln täti­ge Toch­ter der Peek & Clop­pen­burg KG Düs­sel­dorf. Dies band in ihre Web­site den „Gefällt mir“Button von Face­book ein. Die­se Ein­bin­dung des „Gefällt mir„Buttons hat zur Fol­ge, dass beim Auf­ru­fen der Web­site von Fashion ID durch einen Besu­cher die per­so­nen­be­zo­ge­nen Daten die­ses Besu­chers an Face­book Ire­land über­mit­telt wer­den. Die­se Über­mitt­lung erfolgt, ohne dass sich der Besu­cher des­sen bewusst ist und unab­hän­gig davon, ob er Mit­glied des sozia­len Netz­werks Face­book ist oder den „Gefällt mir“Button ange­klickt hat. Die Ver­brau­cher­zen­tra­le NRW warf Fashion ID vor, per­so­nen­be­zo­ge­ne Daten der Besu­cher ihrer Web­site ohne deren Ein­wil­li­gung und unter Ver­stoß gegen die Infor­ma­ti­ons­pflich­ten nach den Vor­schrif­ten über den Schutz per­so­nen­be­zo­ge­ner Daten an Face­book Ire­land über­mit­telt zu haben.

Das in der Beru­fungs­in­stanz mit dem Rechts­streit befass­te Ober­lan­des­ge­richt Düs­sel­dorf rich­te­te dar­auf­hin ein Vor­ab­ent­schei­dungs­er­su­chen an den Gerichts­hof der Euro­päi­schen Uni­on zur Aus­le­gung einer Rei­he von Bestim­mun­gen der frü­he­ren Daten­schutz­richt­li­nie von 19951, die wei­ter­hin auf den Fall anwend­bar ist, auch wenn sie zwi­schen­zeit­lich durch die neue Daten­schutz­Grund­ver­ord­nung von 20162 mit Wir­kung vom 25. Mai 2018 ersetzt wor­den ist.

Im Wege eines sol­chen Vor­ab­ent­schei­dungs­er­su­chens kön­nen die Gerich­te der Mit­glied­staa­ten in einem bei ihnen anhän­gi­gen Rechts­streit dem Gerichts­hof der Euro­päi­schen Uni­on Fra­gen nach der Aus­le­gung des Uni­ons­rechts oder nach der Gül­tig­keit einer Hand­lung der Euro­päi­schen Uni­on vor­le­gen. Der Uni­ons­ge­richts­hof ent­schei­det dabei nur über die vor­ge­leg­te Rechts­fra­ge, nicht dage­gen über den natio­na­len Rechts­streit. Es ist und bleibt viel­mehr Sache des natio­na­len Gerichts, sodann über die Rechts­sa­che im Ein­klang mit der Ent­schei­dung des Uni­ons­ge­richts­hofs zu ent­schei­den. Die Ent­schei­dung des Uni­ons­ge­richts­hofs bin­det in glei­cher Wei­se auch ande­re natio­na­le Gerich­te, die mit einem ähn­li­chen Pro­blem befasst wer­den.

In sei­nem jetzt ver­kün­de­ten Urteil stellt der Gerichts­hof der Euro­päi­schen Uni­on zunächst klar, dass die alte Daten­schutz­richt­li­nie nicht dem ent­ge­gen­steht, dass es Ver­bän­den zur Wah­rung von Ver­brau­cher­inter­es­sen erlaubt ist, gegen den mut­maß­li­chen Ver­let­zer von Vor­schrif­ten zum Schutz per­so­nen­be­zo­ge­ner Daten Kla­ge zu erhe­ben. Der Uni­ons­ge­richts­hof weist dar­auf hin, dass die neue Daten­schutz­Grund­ver­ord­nung nun­mehr aus­drück­lich die­se Mög­lich­keit vor­sieht.

Der Uni­ons­ge­richts­hof stellt sodann fest, dass Fashion ID für die Daten­ver­ar­bei­tungs­vor­gän­ge, die Face­book Ire­land nach der Über­mitt­lung der Daten an sie vor­ge­nom­men hat, anschei­nend nicht als ver­ant­wort­lich ange­se­hen wer­den kann. Es erscheint näm­lich auf den ers­ten Blick aus­ge­schlos­sen, dass Fashion ID über die Zwe­cke und Mit­tel die­ser Vor­gän­ge ent­schei­det.

Dage­gen kann Fashion ID für die Vor­gän­ge des Erhe­bens der in Rede ste­hen­den Daten und deren Wei­ter­lei­tung durch Über­mitt­lung an Face­book Ire­land als gemein­sam mit Face­book ver­ant­wort­lich ange­se­hen wer­den, da (vor­be­halt­lich der vom Ober­lan­des­ge­richt Düs­sel­dorf vor­zu­neh­men­den Nach­prü­fung) davon aus­ge­gan­gen wer­den kann, dass Fashion ID und Face­book Irland gemein­sam über die Zwe­cke und Mit­tel ent­schei­den.

Es scheint ins­be­son­de­re, dass die Ein­bin­dung des „Gefällt mir“Buttons von Face­book durch Fashion ID in ihre Web­site ihr ermög­licht, die Wer­bung für ihre Pro­duk­te zu opti­mie­ren, indem die­se im sozia­len Netz­werk Face­book sicht­ba­rer gemacht wer­den, wenn ein Besu­cher ihrer Web­site den But­ton anklickt. Um in den Genuss die­ses wirt­schaft­li­chen Vor­teils kom­men zu kön­nen, der in einer sol­chen ver­bes­ser­ten Wer­bung für ihre Pro­duk­te besteht, scheint Fashion ID mit der Ein­bin­dung eines sol­chen But­tons in ihre Web­site zumin­dest still­schwei­gend in das Erhe­ben per­so­nen­be­zo­ge­ner Daten der Besu­cher ihrer Web­site und deren Wei­ter­ga­be durch Über­mitt­lung ein­ge­wil­ligt zu haben. Dabei wer­den die­se Ver­ar­bei­tungs­vor­gän­ge im wirt­schaft­li­chen Inter­es­se sowohl von Fashion ID als auch von Face­book Ire­land durch­ge­führt, für die die Tat­sa­che, über die­se Daten für ihre eige­nen wirt­schaft­li­chen Zwe­cke ver­fü­gen zu kön­nen, die Gegen­leis­tung für den Fashion ID gebo­te­nen Vor­teil dar­stellt.

Der Uni­ons­ge­richts­hof betont, dass der Betrei­ber einer Web­site wie Fashion ID für bestimm­te Vor­gän­ge der Ver­ar­bei­tung der Daten der Besu­cher sei­ner Web­site wie das Erhe­ben der Daten und deren Über­mitt­lung an Face­book Ire­land als (Mit)Verantwortlicher die­sen Besu­chern zum Zeit­punkt des Erhe­bens bestimm­te Infor­ma­tio­nen zu geben hat, wie bei­spiels­wei­se sei­ne Iden­ti­tät und die Zwe­cke der Ver­ar­bei­tung.

Außer­dem prä­zi­siert der Uni­ons­ge­richts­hof noch zwei der sechs in der Richt­li­nie vor­ge­se­he­nen Fäl­le einer recht­mä­ßi­gen Ver­ar­bei­tung per­so­nen­be­zo­ge­ner Daten:

Zu dem Fall, in dem die betrof­fe­ne Per­son ihre Ein­wil­li­gung gege­ben hat, ent­schei­det der Gerichts­hof, dass der Betrei­ber einer Web­site wie Fashion ID die­se Ein­wil­li­gung vor­her (nur) für die Vor­gän­ge ein­ho­len muss, für die er (mit)verantwortlich ist, d. h. das Erhe­ben und die Über­mitt­lung der Daten.

Zu den Fäl­len, in denen die Daten­ver­ar­bei­tung zur Ver­wirk­li­chung eines berech­tig­ten Inter­es­ses erfor­der­lich ist, ent­schei­det der Uni­ons­ge­richts­hof, dass jeder der für die Ver­ar­bei­tung (Mit)Verantwortlichen, d. h. der Betrei­ber einer Web­site und der Anbie­ter eines Soci­al Plugins, mit dem Erhe­ben und der Über­mitt­lung der per­so­nen­be­zo­ge­nen Daten ein berech­tig­tes Inter­es­se wahr­neh­men muss, damit die­se Vor­gän­ge für jeden Ein­zel­nen von ihnen gerecht­fer­tigt sind.

Gerichts­hof der Euro­päi­schen Uni­on, Urteil vom 29. Juli 2019 – C −40÷17

  1. Richt­li­nie 95/​46/​EG des Euro­päi­schen Par­la­ments und des Rates vom 24. Okto­ber 1995 zum Schutz natür­li­cher Per­so­nen bei der Ver­ar­bei­tung per­so­nen­be­zo­ge­ner Daten und zum frei­en Daten­ver­kehr, ABl.EG 1995, L 281, S.31
  2. Ver­ord­nung (EU) 2016/​679 des Euro­päi­schen Par­la­ments und des Rates vom 27. April 2016 zum Schutz natür­li­cher Per­so­nen bei der Ver­ar­bei­tung per­so­nen­be­zo­ge­ner Daten, zum frei­en Daten­ver­kehr und zur Auf­he­bung der Richt­li­nie 95/​46/​EG, ABl.EU 2016, L 119, S. 1