Heute hat sich der Generalanwalt in seinem Schlussantrag zu der Frage geäußert, ob Websitenbetreiber für die Verarbeitungsvorgänge bei einem auf ihrer Website implementierten Facebook Like Button, neben Facebook, mitverantwortlich ist.
Am 09.03.2016 hatten wir über das am selbigen Tage ergangene Urteil des LG Düsseldorf, Az. 12 O 151/15 berichtet, wonach ein auf der Website eingesetzter Facebook Like-Button unzulässig sei, wenn der Seitenbetreiber die Besucher seiner Website nicht ordnungsgemäß über die Weitergabe der Daten aufkläre und auch keine Einwilligung des Nutzers vorliege. Denn durch die Implementierung des Facebook Like Buttons würden unter anderem die IP-Adresse eines jeden Nutzers, ob bei Facebook registriert oder nicht, ohne dessen ausdrückliche Zustimmung an Facebook weitergeleitet werden, was nicht den geltenden Datenschutzvorschriften entspreche.
Hiergegen hatte der unterlegene Online-Bekleidungsshop Fashion ID Berufung zum OLG Düsseldorf eingelegt. Das OLG Düsseldorf hatte das Verfahren mit Beschluss vom 19.01.2017, Az.: I-20 U 40/16 zunächst ausgesetzt und dem EuGH einige Fragen zur Vorabentscheidung vorgelegt. Unter anderem heißt es in den Vorlagefragen:
„[…] ob und in welcher Weise die Beklagte für den hier angestoßenen Datenverarbeitungsvorgang verantwortlich ist. Der Kläger und ihm folgend das Landgericht hält die Beklagte neben X. für unmittelbar verantwortlich, weil sie den Zugriff von X. auf die personenbezogenen Daten ermögliche. Es stellt sich damit die Frage, ob die Beklagte (neben X.) als „für die Verarbeitung Verantwortlicher“ in Betracht kommt. Zu diesem Begriff hat das deutsche Bundesverwaltungsgericht ebenfalls in einem Vorabentscheidungsersuchen ausgeführt, es sei ein prägendes, unverzichtbares Element des Art. 2 Buchstabe d) der Richtlinie 95/46/EG, dass der Verantwortliche die Möglichkeit habe, über die Zwecke und Mittel der jeweiligen Datenverarbeitung auch entscheiden zu können. Eine Stelle, die weder einen rechtlichen, noch einen tatsächlichen Einfluss auf die Entscheidung hat, wie personenbezogene Daten verarbeitet werden, könne nicht als für die Verarbeitung Verantwortlicher angesehen werden (BVerwG Beschl. v. 25.02.2016, 1 C 28/14 Rn. 27, beim Gerichtshof anhängig unter C-210/16).
Die gegenteilige Auffassung, allein durch die Einbindung von Dritten bereitgestellter Inhalte werde auch der Einbindende „für die Verarbeitung Verantwortlicher“, macht praktisch datenschutzrechtlich eine derartige Einbindung unmöglich, denn der hierdurch ausgelöste Datenverarbeitungsvorgang ist für den Einbindenden nicht zu kontrollieren.“
Insbesondere der letzte Absatz, wonach ein Seitenbetreiber allein durch die Einbindung von Dritten bereitgestellter Inhalte Verantwortlicher werde, was eine derartige Einbindung nach Auffassung des OLG „unmöglich mache“, ist interessant und lässt die Auffassung des OLG sehr gut erkennen.
Die Diskussion erinnert stark an die Frage der Verantwortlichkeit für Facebook Fanpages, über die wir ebenfalls bereits berichtet haben. Bis heute weiß kein Fanpage-Betreiber so wirklich, wie genau er die von Facebook bereitgestellten Seiten-Insights zum Gegenstand eines Vertrages mit Facebook machen soll.
Ähnlich wie aber im Falle der Facebook-Fanpages schlägt der Generalanwalt auch in der Frage des Like Buttons vor, dass der Betreiber zusammen mit Facebook als gemeinsamer Verantwortlicher im Sinne der DSGVO, sog. Joint-Control, anzusehen sei. Allerdings, so der Generalanwalt, beschränke sich die datenschutzrechtliche Verantwortlichkeit des Seitenbetreibers auf die Verarbeitungsvorgänge für die er einen tatsächlichen Beitrag zur Datenverarbeitung leiste. In der Kette der Datenverarbeitung könne ein Betreiber damit nicht für Vorgänge verantwortlich gemacht werden, zu denen er weder die Zwecke noch die Mittel der Verarbeitung habe festlegen können.
Für den Betreiber hieße dies, dass er jedenfalls in Bezug auf die Erhebungs- und Übermittlungsphase der Datenverarbeitung mitverantwortlich sei.
Im Ergebnis bedeutet dies wohl, dass der Seitenbetreiber eine Einwilligung des Nutzers einholen muss.
Wie zumeist üblich steht zu erwarten, dass der EuGH in seinem Urteil dem Schlussantrag des Generalanwalts folgen wird. Hierüber und wie Seitenbetreiber die Einwilligung der Nutzer sodann am praktikabelsten einholen werden wir berichten. Bis dahin kann nur weiterhin dazu geraten werden, auf die Einbindung des Facebook Like Button PlugIns zunächst zu verzichten.
Wenn Sie Beratungsbedarf im Datenschutz und Ihrer Verantwortlichkeit für Datenströme auf Ihrer Website haben, sprechen Sie uns an. Wir helfen.
"Nach LG Düsseldorf: Dislike des Facebook Like Buttons auch durch den EuGH?"