Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden Deutschlands (DSK) veröffentlichte Ende Juni 2022 ein weiteres Dokument zum datenschutzrechtlichen Evergreen-Thema Facebook-Fanpages: „FAQ zu Facebook-Fanpages“.
Facebook-Fanpages (Facebook-Seiten) sind „Mini-Webseiten“, die „Unternehmen, Marken, Gruppierungen oder Personen des öffentlichen Lebens“ für die eigene Präsentation auf Facebook nutzen können. Davon abzugrenzen sind "normale" Facebook-Profile für private Zwecke.
In diesem Zusammenhang geht die DSK in ihren FAQ u.a. auf den Themenbereich „Joint-Controllership“ ein: Danach müssen die Betreiber von Facebook-Fanpages und Meta Platforms u.a. die Voraussetzungen über die gemeinsame Verantwortung gemäss Art. 26 DSGVO erfüllen und diese in einem Vertrag abbilden; die DSK bemängelt u.a. das aktuelle Vertragstemplate von Meta Platforms zu Art. 26 DSGVO:
„Das aktuelle von Meta Platforms vorgelegte Addendum erfüllt diese Anforderungen [Art. 26 DSGVO] nicht. Wissen Verantwortliche nicht genau, welche Datenverarbeitung stattfindet, können sie eine rechtskonforme Verarbeitung der personenbezogenen Daten nicht sicherstellen. Das betrifft auch die Frage, in welchem Umfang eine Übermittlung personenbezogener Daten in das außereuropäische Ausland stattfindet. Eine solche ist nämlich nur dann zulässig, wenn die Vorgaben der Art. 44 ff. Datenschutz-Grundverordnung (DSGVO) eingehalten werden“ (vgl. FAQ Nr. 2: Warum ist der Betrieb von Facebook-Fanpages datenschutzrechtlich problematisch?).
Hintergrund
Knacknuss „Joint-Controllership“: Insbesondere wegen der „Facebook (Audience) Insight“-Funktion qualifizierte der EuGH in einem umstrittenen Urteil (C- 210/16, „Wirtschaftsakademie“) die Betreiber von Facebook-Fanpages und Meta Platforms (Betreiberin von Facebook) als gemeinsame Verantwortliche gemäss Art. 26 DSGVO. Dies obwohl die Betreiber von Facebook-Fanpages mittels „Facebook Insight“ lediglich statistische Auswertungen der eigenen Fanpages einsehen und diese zu eigenen Zwecken (z.B. zur Durchführung für Werbeaktionen und -veranstaltungen) nutzen können. Zwar können diese statistischen Auswertungen individuell eingestellt (sog. Parametrierung) werden - die Betreiber „sehen“ jedoch nicht, welche Nutzer ausgewertet worden sind; ein Personenbezug liegt nicht vor. Dennoch vertrat der EuGH im Zusammenhang mit Facebook-Fanpages die Auffassung, dass die Möglichkeit zur Einsichtnahme von parametrierten Statistiken, die auf personenbezogenen Daten beruhen, um daraus wirtschaftliche Vorteile zu ziehen, bereits für eine gemeinsame Verantwortlichkeit ausreiche.
Weitere Dokumente der DSK im Zusammenhang mit Facebook-Fanpages
(i) Kurzgutachten zur datenschutzrechtlichen Konformität des Betriebs von Facebook‐Fanpages vom 18.03.2022
(ii) Beschluss zu Facebook Fanpages vom 23.03.2022
Diese Dokumente geben ausschliesslich die Sichtweise der deutschen DSK im Zusammenhang mit Facebook-Fanpages sowie im Anwendungsbereich der EU DSGVO wieder und sind gerichtlich nicht bestätigt.
Michal Cichocki