Müssen Facebook-Seiten abgeschaltet werden?

2011 hatte das Unabhängige Landeszentrum für Datenschutz in Schleswig-Holstein (ULD) einer Wirtschaftsakademie den Betrieb einer Fanpage bei Facebook untersagt. Das Bundesverwaltungsgericht (BVerwG) legte den Rechtsstreit dem EuGH zur Entscheidung vor.

Die Richter des EuGH sahen bei Facebook selbst und dem Betreiber einer Fanpage eine gemeinsame Verantwortlichkeit in Sachen Datenschutz. Der Fanpage-Betreiber sei nicht bloßer Facebook-Nutzer, sondern gäbe Facebook durch den Betrieb der Fanpage die Möglichkeit zur Datenerhebung. Für die Verantwortlichkeit sei nicht ausschlaggebend, dass der Fanpagebetreiber auch Zugang zu diesen personenbezogenen Daten habe.

Zu dieser Entscheidung muss man aber wissen, dass sie noch zum alten Recht ergangen ist. Grundlage des Urteils war also nicht die aktuell geltende Datenschutz-Grundverordnung (DSGVO).

Dennoch hat die Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder (DSK) zunächst am 6. Juni 2018 wegen des Urteils darauf hingewiesen, dass Seitenbetreiber die Pflichten nach der DSGVO einhalten müssen. Es bestehe deshalb dringender Handlungsbedarf.

Am 18. März 2022 wurde dann ein Kurzgutachten der DSK zur datenschutzrechtlichen Konformität des Betriebs von Facebook‐Fanpages veröffentlicht, das – auch in Hinblick auf das damals geltende TTDSG (nunmehr TDDDG – Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz) – zu folgendem Ergebnis kam: “Für die bei Besuch einer Fanpage ausgelöste Speicherung von Informationen in den Endeinrichtungen der Endnutzer:innen und den Zugriff auf Informationen, die bereits in der Endeinrichtungen gespeichert sind, sowie für die Verarbeitungen personenbezogener Daten, die von Seitenbetreibern verantwortet werden, sind keine wirksamen Rechtsgrundlagen gegeben. Darüber hinaus werden die Informationspflichten aus Art. 13 DSGVO nicht erfüllt.”

Anlässlich von Änderungen der Datenschutzrichtlinie und der Nutzungsbedingungen sowie des Cookie-Banners von Facebook überarbeitete die Taskforce Facebook-Fanpages das Kurzgutachten. In der aktualisierten Fassung vom 10. November 2022 ist folgendes Ergebnis zu lesen:
“Durch die Bereitstellung einer Fanpage übernimmt der oder die Fanpage-Betreiber:in die Rolle eines Anbieters von Telemedien im Sinne des § 2 Abs. 2 Nr. 1 TTDSG (nunmehr TDDDG, Anm. der Redaktion). Dadurch ergibt sich nach § 25 Abs. 1 TTDSG (nunmehr TDDDG) die Pflicht, eine wirksame Einwilligung für das Speichern von Informationen in den Endeinrichtungen der Endnutzer:innen, sowie den Zugriff auf Informationen, die bereits in der Endeinrichtung gespeichert sind, für nicht im Sinne des § 25 Abs. 2 Nr. 2 TTDSG (nunmehr TDDDG) unbedingt erforderliche Cookies einzuholen. Eine solche Einwilligung wird beim Betreiben einer Facebook Fanpage nicht eingeholt. Darüber hinaus besteht auf Grund sich ergänzender Interessen der Fanpage-Betreiber:innen und Meta eine gemeinsame Verantwortlichkeit mindestens für die Verarbeitung der auf Basis der gesetzten Cookies erhobenen, personenbezogenen Daten. Diesbezüglich sind keine wirksamen Rechtsgrundlagen gegeben. Abschließend werden die sich aus Art. 13 DSGVO ergebenden Informationspflichten nicht hinreichend erfüllt.”

Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) möchte, dass die Bundesbehörden hier mit gutem Beispiel vorangehen. Deshalb hat er das Bundespresseamt (BPA) im Februar 2023 angewiesen, den Betrieb ihrer Facebook-Fanpage einzustellen. Das BPA hat dagegen Klage beim Verwaltungsgericht Köln erhoben. Nach Meinung der Bundesregierung sei allein Facebook datenschutzrechtlich verantwortlich. Für die Regierung stellten soziale Netzwerke einen bedeutenden Ort dar, um Informationen mit der Bevölkerung zu teilen und insbesondere Desinformation entgegenzuwirken. Anders als bei Unternehmen kann nach einer Anfechtungsklage durch eine Behörde kein sofortiger Vollzug des Verbots angeordnet werden. Die Klage hat also aufschiebende Wirkung, so dass das BPA die Fanpage vorläufig bis zum Ausgang des gerichtlichen Verfahrens weiter betreiben kann.

Vermutlich wird das VG Köln nicht die letzte Instanz in dieser Auseinandersetzung sein. Experten erwarten einen jahrelangen Rechtsstreit. Ob auch die Datenschutzaufsichtsbehörden der Länder gegen Behörden und/oder Unternehmen vorgehen, die Facebook-Fanpages betreiben, bleibt abzuwarten. Das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) hat hierzu jedenfalls (noch) keine Hinweise veröffentlicht. Allerdings hat sich das Landesamt dahingehend positioniert, dass Facebook-Fanpages nicht rechtmäßig betrieben werden können.

Weitere Informationen rund um Fanpages und deren datenschutzrechtliche Beurteilung der Datenschutzaufsichtsbehörden finden Sie in den „FAQ zu Facebook-Fanpages“, welche die DSK in ihrer Sitzung am 22. Juni 2022 verabschiedet hat.