Mit Urteil vom 11. September 2019 (Az.: 6 C 15.18) hat das Bundesverwaltungsgericht („BVerwG“) im Revisionsverfahren entschieden, dass eine Datenschutzbehörde auch einen Fanpagebetreiber unmittelbar als Störer verpflichten kann, die Fanpage abzuschalten. Zur Herstellung datenschutzkonformer Zustände kann eine Anordnung zur Abschaltung der Fanpage demnach ein verhältnismäßiges Mittel darstellen. Behörden müssen sich nicht gegen Facebook wenden.

Über die Rechtmäßigkeit der Datenverarbeitung des Fanpagebetreibers hat das BVerwG nicht entschieden. Die Rechtmäßigkeit wird nun das Schleswig-Holsteinische-Oberverwaltungsgericht als Berufungsgericht beurteilen müssen. Es ist zu erwarten, dass Datenschutzbehörden zunächst diese Entscheidung abwarten und im Anschluss die Thematik aktiver verfolgen werden.

Ausgangspunkt: Behördliche Anordnung

Das Verfahren begann mit einer Anordnung des Unabhängigen Landeszentrums für Datenschutz Schleswig-Holstein („ULD“) gegen die Wirtschaftsakademie Schleswig-Holstein („Klägerin“). Noch unter Geltung der Datenschutzrichtlinie (RL 95/46/EG) hatte das ULD angeordnet, die Facebook-Fanpage der Klägerin aufgrund datenschutzrechtlicher Verstöße zu deaktivieren.

Laut Anordnung des ULD greife Facebook bei Aufruf der Fanpage auf personenbezogene Daten der Internetnutzer zu. Die Nutzer würden aber entgegen den gesetzlichen Anforderungen nicht über Art, Zwecke und Umfang der Verarbeitung informiert. Zudem fehle eine Unterrichtung über das Widerspruchsrecht in Bezug auf die Erstellung von Nutzungsprofilen für Werbung oder Marktforschung. Schließlich bliebe ein Widerspruch der Betroffenen gegenüber der Klägerin als Betreiberin der Fanpage folgenlos, da es ihr selbst an den technischen Einwirkungsmöglichkeiten fehle.

„Fanpages“-Entscheidung des EuGH: Mitverantwortlichkeit von Fanpagebetreibern

Die Klägerin ging gegen die Anordnung verwaltungsgerichtlich vor. In den Vorinstanzen entschieden die Richter zugunsten der Klägerin; nach Ansicht des Schleswig-Holsteinischen Oberverwaltungsgerichts sei die Klägerin als Betreiberin der Fanpage mangels Zugriffsmöglichkeit auf die Daten nicht verantwortlich im datenschutzrechtlichen Sinne.

Hiergegen erhob das ULD Revision zum BVerwG. Auf Vorlage des BVerwG (Beschluss vom 25. Februar 2016 - 1 C 28/14) entschied der EuGH (Urteil vom 5. Juni 2018 - C-210/16), dass ein Fanpagebetreiber gemeinsam mit Facebook Verantwortlicher im datenschutzrechtlichen Sinne sei (weitere Details zu der Entscheidung finden Sie hier).

Zurückverweisung an das Oberverwaltungsgericht

Basierend auf den bindenden Vorgaben des EuGH hat das BVerwG nun das Berufungsurteil aufgehoben und den Rechtsstreit an das Oberverwaltungsgericht zurückverwiesen. Um die Frage der Rechtswidrigkeit beantworten zu können, müssten die relevanten Datenverarbeitungsvorgänge näher geklärt werden.

Das BVerwG hat in seinem Urteil jedoch klargestellt, dass die Klägerin bei der Auswahl unter mehreren möglichen Verantwortlichen im datenschutzrechtlichen Sinne ermessensfehlerfrei für die Herstellung datenschutzkonformer Zustände in die Pflicht genommen werden konnte. Es müsse gerade nicht gegen eine der Niederlassungen von Facebook vorgegangen werden, weil dies wegen der fehlenden Kooperationsbereitschaft von Facebook mit erheblichen tatsächlichen und rechtlichen Unsicherheiten verbunden wäre.

Wenn sich demnach die bei Aufruf der Fanpage ablaufenden Datenverarbeitungen als rechtswidrig erweisen sollten, stelle die Deaktivierungsanordnung mangels alternativer Möglichkeiten ein verhältnismäßiges Mittel dar.

Empfehlungen

Auch wenn das Oberverwaltungsgericht zunächst noch über die Rechtswidrigkeit entscheiden muss, sollten Fanpagebetreiber in jedem Fall Folgendes beachten:

  • Es sollte stets ein Link zu den Datenschutzinformationen des Fanpagebetreibers zur Verfügung gestellt werden.
  • In den Datenschutzinformationen ist mindestens über die Rechtsgrundlage und die Zwecke der Datenverarbeitung, die Funktionsweise von Facebook-Fanpages sowie die Vereinbarung mit Facebook über die gemeinsame Verantwortung zu informieren.