Keine Auftragsdatenverarbeitung zwischen Shopbetreiber und Facebook
Die Nutzerdaten erhebe also nicht Facebook in eigener Verantwortung, sondern in seinem Auftrag, Facebook werde also quasi nur als verlängerter Arm des Shopbetreibers tätig. Dem wollte das VG Bayreuth nicht folgen. Die Beurteilung, ob tatsächlich eine Auftragsdatenverarbeitung vorliege, sei nämlich unabhängig von der konkreten Rechtsnatur der Beauftragung. Vielmehr komme es darauf an, ob dem Auftragnehmer (in diesem Fall also Facebook) ein eigener Wertungs- und Entscheidungsspielraum zustehe. Müsse dies bejaht werden, liege keine Auftragsdatenverarbeitung vor.
Da es aber allein im Ermessen von Facebook liege, wer beworben werde und wer nicht, müsse einem selbständigen Tätigwerden ausgegangen werden. Daher könne nicht von einer Auftragsdatenverarbeitung werden. Vielmehr liege hierin eine sogenannte Funktionsübertragung auszugehen.
In der Folge sei von einer Datenübermittlung des Shopbetreibers an Facebook auszugehen. Für eine solche Übertragung existierte jedoch keine ausreichende Rechtsgrundlage. Diese sei auch nicht in § 28 Abs.2 S.2 BDSG (Listendaten-Privileg) zu finden, da E-Mail-Adressen nicht unter diese Ausnahmeregelung fielen.
Erläuterung:
Im Datenschutzrecht gilt das Verarbeitungsverbot mit Einwilligungsvorbehalt. Daten von Webseitennutzern dürfen also nur erhoben werden, wenn entweder der Nutzer eine informierte Einwilligung erteilt hat oder aber ein gesetzliche Erlaubnistatbestand vorliegt.
Einsatz von Facebook Custom Audiences künftig noch möglich?
Zwar ist die Entscheidung noch nach alter Rechtslage ergangen. Aber auch unter der Geltung der DSGVO dürfte die Entscheidung möglichweise nicht anderes ausfallen. Eine gestzliche Grundlage zur Übermittlung von personenbezogenen Daten im Rahmen von Facebook Custom Audience könnte allenfalls in Art. 6 Abs. 1 lit f. DSGVO zu finden sein. Ob aber die im Rahmen dieser Erlaubnisnorm vorzunehmende Abwägung zwischen den Interessen des Webseitenbetreibers auf der einen Seite und denen der Webseitennutzer auf der anderen Seite zu Gunsten des Webseitenbetreibers ausfallen wird, dürfte fraglich sein.
Soweit uns bekannt ist, ist dies die erste gerichtliche Entscheidung zum Einsatz von Facebook Custom Audiences. Es bleibt nun abzuwarten, ob der Shopbetreiber gegen die Entscheidung Rechtsmittel einlegt und ob die Parteien neben dem Eilverfahren auch den Weg ins Hauptsacheverfahren suchen. Im einstweiligen Rechtsschutz nimmt das Gericht lediglich eine summarische Prüfung vor. Eine Entscheidung im Hauptsacheverfahren könnte also durchaus noch anders ausfallen.
