Wer den „Gefällt mir“-Button anbietet, ist für die Datenverarbeitung mitverantwortlich

Ob die Entscheidung nun gefällt oder nicht: Der Betreiber einer Website mit dem „Gefällt mir“-Button des Sozialen Netzwerks Facebook ist für die damit einhergehende Datenverarbeitung mitverantwortlich.

Das entschied der Europäische Gerichtshof im Rahmen eines Vorabentscheidungsersuchens des OLG Düsseldorf (EuGH, Urteil vom 29.11.2019, Az. C-40/17).

Der EuGH stellte fest, dass im Falle der Einbindung eines solchen Social Plugins eine gemeinsame Verantwortlichkeit zwischen dem Website-Betreiber und dem Anbieter des Social Plugins, in diesem Fall also Facebook, besteht.

Technischer Hintergrund: Was Facebook nach dem Klick weiß

Der Beschluss kommt nicht überraschend, denn der Klick auf den „Gefällt mir“-Button löst die Übermittlung der IP-Adresse des Rechners aus und leitet technische Informationen des Browsers an Facebook weiter, unabhängig davon, ob der Website-Besucher davon wusste oder Mitglied bei Facebook war.

Sollte diese Verarbeitung durchaus sensibler Daten auf berechtigte Interessen gestützt werden, müssten sowohl der Betreiber der Website als auch der Anbieter des Social Plugins jeweils ein berechtigtes Interesse wahrnehmen, um die jeweiligen Verarbeitungsvorgänge für jeden Einzelnen zu rechtfertigen, so der EuGH. Sofern eine Einwilligung eingeholt werden muss, müsse dies entsprechend auch schon durch den Website-Betreiber erfolgen, jedoch nur für die Verarbeitungen, über deren Mittel und Zwecke er auch tatsächlich entscheidet. Das gilt auch für den in jedem Fall notwendigen Datenschutzhinweis.

Umbau von Websiten nötig

Welche Konsequenzen hat die EuGH-Entscheidung für Website-Betreiber? Bei der Anpassung an die Erfordernisse, die sich aus dem Urteil ergeben, werden unter Umständen umfangreiche Veränderungen nötig sein, die auch den Aufbau der Website betreffen. So müssen die Datenschutzhinweise angepasst und technische Maßnahmen ergriffen werden, die es dem Besucher der Seite ermöglichen, eine informierte Nutzung von Facebooks „Gefällt mir“-Button oder anderer Social Plugins vorzunehmen.

Gemeinsame Verantwortung regeln

Zudem müssen zwischen den Beteiligten, also Website-Betreiber und Social Plugin-Anbieter, die in geteilter und gemeinsamer Verantwortung für den Schutz der persönlichen Nutzerdaten einstehen, Vereinbarungen gemäß Art. 26 Abs. 1 DS-GVO getroffen werden, in dem es heißt: „Legen zwei oder mehr Verantwortliche gemeinsam die Zwecke der und die Mittel zur Verarbeitung fest, so sind sie gemeinsam Verantwortliche. Sie legen in einer Vereinbarung in transparenter Form fest, wer von ihnen welche Verpflichtung gemäß dieser Verordnung erfüllt, insbesondere was die Wahrnehmung der Rechte der betroffenen Person angeht“.

Das mag manchem Website-Betreiber nicht gefallen (und Social Plugin-Anbietern wie Facebook ohnehin nicht), es ist aber nötig, um den Nutzern gegenüber mit offenen Karten zu spielen und nicht ohne deren Wissen Daten zu sammeln, die zum Beispiel – wie im Fall der IP-Adresse – zumindest annäherungsweise den Aufenthaltsort erschließen lassen. Und das kann am Ende niemandem gefallen.

Der Beitrag stammt von unserem freien Autor Josef Bordat. Er ist Teil unserer Reihe “Berichte aus der Parallelwelt”. Dort werfen Autoren aus anderen Fachbereichen einen Blick auf die Rechtswissenschaft in Theorie und Praxis. Die Beiträge betrachten, anders als unsere sonstigen Fachbeiträge Begebenheiten und Rechtsfälle daher auch nicht juristisch, sondern aus einem völlig anderen Blickwinkel. Aus welchem, das soll der Beurteilung der Leser überlassen bleiben. Interessant wird es, wie wir meinen, allemal.