Welche Maßnahmen müssen nach Auffassung der DSK nun getroffen werden?
Insbesondere sei eine DSGVO-konforme Einwilligung der Besucher erforderlich, wenn Facebook über die Fanpage personenbezogene Daten tracke. Im Übrigen fasst die DSK die nach deren Rechtsauffassung notwendigen To-Dos wie folgt zusammen:
- Wer eine Fanpage besucht, muss transparent und in verständlicher Form darüber informiert werden, welche Daten zu welchen Zwecken durch Facebook und die Fanpage-Betreiber verarbeitet werden. Dies gilt sowohl für Personen, die bei Facebook registriert sind, als auch für nicht registrierte Besucherinnen und Besucher des Netzwerks.
- Betreiber von Fanpages sollten sich selbst versichern, dass Facebook ihnen die Informationen zur Verfügung stellt, die zur Erfüllung der genannten Informationspflichten benötigt werden.
- Für die Bereiche der gemeinsamen Verantwortung von Facebook und FanpageBetreibern ist in einer Vereinbarung festzulegen, wer von ihnen welche Verpflichtung der DS-GVO erfüllt. Diese Vereinbarung muss in wesentlichen Punkten den Betroffenen zur Verfügung gestellt werden, damit diese ihre Betroffenenrechte wahrnehmen können
Muss ich meine Fanseite nun doch abschalten?
Zu dieser Frage haben wir in diesem Beitrag bereits ausführlich Stellung genommen.
Die Umsetzung der vorstehenden Maßnahmen ist ohne die Mitwirkung von Facebook nicht möglich. Ein rechtskonformer Betrieb einer Facebook-Fanpage ist damit - nach Auffassung der DSK - unmöglich. Zu beachten ist aber, dass es sich bei der Stellungnahme der DSK um eine Rechtsauffassung handelt – nicht mehr nicht weniger. Wie nun die einzelnen Datenschutzbehörden weiter verfahren werden, bleibt abzuwarten. Es ist mit dieser Stellungnahme aber nicht gänzlich auszuschließen, dass die Datenschutzbehörden gegen Fanseitenbetreiber vorgehen werden.
Mit Spannung erwartet: Die Entscheidung des Bundesverwaltungsgerichts
Nachdenklich stimmt der Passus der Erklärung, nachdem die DSK die Durchsetzung der Datenschutzvorgaben im Verantwortungsbereich von Facebook primär bei der irischen Datenschutzaufsicht sieht. Die deutschen Datenschützer dagegen sehen Ihre Verantwortung bei der Durchsetzung der Datenschutzvorgaben bei den Betreibern der Fanpages.
Der EuGH dagegen hatte entschieden, dass die deutschen Datenschutzbehörden sehr wohl die Möglichkeit haben, auch gegen Facebook selbst vorzugehen. Es darf in dieser Hinsicht mit Spannung erwartet werden, wie das Bundesverwaltungsgericht das Urteil des EuGH umsetzen und die Frage der ermessenfehlerfreien Auswahl entscheiden wird. Allein Facebook ist es in technischer Hinsicht möglich, die Fanpages so auszugestalten, dass die Betreiber die datenschutzrechtlichen Anforderungen umzusetzen können. Insofern wäre nach meiner Auffassung Facebook als der richtige Adressat einer entsprechenden Verfügung der deutschen Datenschutzbehörden auszuwählen.
Da diese Frage aber noch zu entscheiden ist, die Datenschutzbehörden im Übrigen auch personell nicht so aufgestellt sind, dass diese nun massenweise Untersagungsverfügungen an einzelne Seitenbetreiber versenden könnten, spricht aus meiner Sicht viel dafür, dass die Datenschutzbehörden das Urteil des BVerwG abwarten werden.
