EuGH entscheidet zur (Mit-) Verantwortlichkeit von Website-Betreibern bei „Gefällt mir“-Button von Facebook

Der EuGH hat mit Urteil vom 29.07.2019 entschieden, dass der Betreiber einer Website, auf der das Social Plugin „Gefällt mir“ von Facebook eingebunden ist, für das Erheben von personenbezogenen Daten und deren Weitergabe durch Übermittlung an die Plattform datenschutzrechtlich mitverantwortlich sein kann (Rs. C 40/17).

Ausgangspunkt dieser Entscheidung war ein Rechtsstreit zwischen der Fashion ID GmbH & Co. KG und der Verbraucherzentrale NRW, in dem es um den Einsatz des „Gefällt mir“-Buttons von Facebook und Datenschutzrecht geht. Das OLG Düsseldorf hatte dem EuGH dabei mehrere Fragen zur Auslegung der, durch die Datenschutz-Grundverordnung aufgehobenen und ersetzten, Datenschutzrichtlinie (95/46/EG) vorgelegt.

Auch wenn die Vorlagefragen sich auf die alte Datenschutzrichtlinie beziehen, ergibt sich auch für die aktuelle Rechtslage, wann nach Ansicht das Gerichts eine gemeinsame Verantwortlichkeit – jetzt Art. 26 DS-GVO – vorliegt und welche Pflichten sich daraus ergeben können.

Wir haben über den Sachverhalt im Rahmen unserer News zu den Schlussanträgen des Generalanwalts am 20.12.2018 ausführlich berichtet: “Schlussanträge im Verfahren zum Einsatz des Facebook-„Gefällt mir“-Plugins: Generalanwalt sieht datenschutzrechtliche Mitverantwortlichkeit des Webseiten-Betreibers“

Zur ersten Vorlagefrage, die die Verbandsklagebefugnis betraf, entschied der EuGH nun, dass die Art. 22 bis 24 Datenschutz-RL (95/46/EG) dahin auszulegen seien, dass es auch Verbänden zur Wahrung von Verbraucherinteressen erlaubt sei, gegen mutmaßliche Verletzer von Vorschriften zum Schutz personenbezogener Daten vorzugehen.

Die weiteren Vorlagefragen drehten sich um die Auslegung des Begriffs des „Verantwortlichen“ im Datenschutzrecht. Hier entschied der EuGH, dass der Betreiber einer Website, der ein Social Plugin in seine Website einbindet, das den Browser des Besuchers dieser Website veranlasst, Inhalte des Anbieters des Plugins anzufordern und hierzu personenbezogene Daten des Besuchers an diesen Anbieter übermittelt, als für die Verarbeitung Verantwortlicher angesehen werden (Art. 2 lit. d Datenschutz-RL) könne. Diese Verantwortlichkeit sei aber auf die Vorgänge beschränkt, für die der Website-Betreiber auch tatsächlich über die Zwecke und Mittel der Datenverarbeitung (hier konkret: Erhebung und Übermittlung) entscheide.

Für den Fall, dass es für die Rechtmäßigkeit der Datenverarbeitung auf ein berechtigtes Interesse ankommt – was nach dem EuGH vom OLG Düsseldorf nachzuprüfen sei – wäre es nach Ansicht des EuGH erforderlich, dass der Website-Betreiber und der Anbieter mit diesen Verarbeitungsvorgängen jeweils ein berechtigtes Interesse wahrnehmen würden (Art. 7 lit. f Datenschutz-RL). Nur dann seien diese Vorgänge für jeden Einzelnen von ihnen gerechtfertigt.

Hinsichtlich der Vorlagefragen, ob die Pflichten zur Einholung einer Einwilligung und zur Information über die Datenverarbeitung Facebook oder dem Website-Betreiber obliege, differenzierte der EuGH. Für den Fall, dass für die Datenverarbeitung eine Einwilligung eingeholt werde, würde diese Verpflichtungen den bzw. die treffen, der bzw. die tatsächlich über die Zwecke und Mittel der jeweiligen Phasen der Datenverarbeitung entscheide. Für den EuGH obliege es dem Betreiber der Website und nicht dem Anbieter des Social Plugins, diese Einwilligung einzuholen. Dies da der Verarbeitungsprozess der personenbezogenen Daten dadurch ausgelöst werde, dass ein Besucher diese Website aufrufe. Dann würden den Website-Betreiber auch die in Art. 10 Datenschutz-RL vorgesehenen Informationspflichten treffen. Diese jedoch eingeschränkt: Auch hier müsse er nur über die Vorgänge informieren, für die er als Website-Betreiber tatsächlich über die Zwecke und Mittel entscheide.

Weiterführende Informationen

Urteil im Volltext aus der EU-Rechtsprechungsdatenbank curia.europa >>

Schlussanträge des Generalanwalts v. 19.12.2018 aus der EU-Rechtsprechungsdatenbank curia.europa >>

(lk/cki)