Facebook sammelte Daten ohne Unterrichtung der Seitenbesucher
Gegenstand des Revisionsverfahrens war eine Anordnung der schleswig-holsteinischen Datenschutzaufsicht, mit der die Klägerin, eine in Kiel ansässige Bildungseinrichtung, unter der Geltung der Datenschutzrichtlinie (RL 95/46/EG) verpflichtet worden war, die von ihr bei Facebook betriebene Fanpage zu deaktivieren. Der Bescheid beanstandete, dass Facebook bei Aufruf der Fanpage auf personenbezogene Daten der Internetnutzer zugreife, ohne dass diese gemäß den Bestimmungen des Telemediengesetzes über Art, Umfang und Zwecke der Erhebung sowie ein Widerspruchsrecht gegen die Erstellung eines Nutzungsprofils für Zwecke der Werbung oder Marktforschung unterrichtet würden. Ein gegenüber der Klägerin als Betreiberin der Fanpage erklärter Widerspruch des Nutzers bleibe mangels entsprechender technischer Einwirkungsmöglichkeiten folgenlos.
EuGH: Betreiber einer Fanpage mitverantwortlich
Die Klage hatte in den Vorinstanzen noch Erfolg. Das Oberverwaltungsgericht hatte eine datenschutzrechtliche Verantwortlichkeit der Klägerin abgelehnt, weil sie keinen Zugriff auf die erhobenen Daten habe. Dagegen wandte sich der Beklagte im vorliegenden Revisionsverfahren. Auf Vorlage des BVerwG (BeckRS 2016, 44371) hat der Gerichtshof der Europäischen Union (BeckRS 2018, 10155) entschieden, dass der Betreiber einer Fanpage für die durch Facebook erfolgende Datenverarbeitung mitverantwortlich ist. Denn er ermögliche durch den Betrieb der Fanpage Facebook den Zugriff auf die Daten der Fanpage-Besucher.
BVerwG: OVG muss erneut entscheiden
Das BVerwG hat auf der Grundlage dieser bindenden Vorgabe jetzt das Berufungsurteil aufgehoben und den Rechtsstreit an das schleswig-holsteinische Oberverwaltungsgericht zurückverwiesen. Zur Frage der Rechtswidrigkeit der beanstandeten Datenverarbeitungsvorgänge bedarf es nach Auffassung des BVerwG einer näheren Aufklärung der tatsächlichen Umstände durch das Berufungsgericht. Die Rechtmäßigkeit der bei Aufruf der klägerischen Fanpage ablaufenden Datenverarbeitungsvorgänge sei an den Vorgaben des im Zeitpunkt der letzten Behördenentscheidung gültigen Datenschutzrechts, insbesondere an den Vorschriften des Telemediengesetzes, denen die Klägerin als Betreiberin unterliege, zu messen.
Beklagter durfte Betreiber der Fanpage in die Pflicht nehmen
Um das von der Datenschutzrichtlinie bezweckte hohe Datenschutzniveau möglichst zügig und wirkungsvoll durchzusetzen, habe sich der Beklagte bei der Auswahl unter mehreren datenschutzrechtlichen Verantwortlichen vom Gedanken der Effektivität leiten lassen und ermessenfehlerfrei die Klägerin für die Herstellung datenschutzkonformer Zustände bei Nutzung ihrer Fanpage in die Pflicht nehmen können. Er habe nicht gegen eine der Untergliederungen oder Niederlassungen von Facebook vorgehen müssen, weil das wegen der fehlenden Kooperationsbereitschaft von Facebook mit erheblichen tatsächlichen und rechtlichen Unsicherheiten verbunden gewesen wäre. Würden sich die bei Aufruf der Fanpage ablaufenden Datenverarbeitungen als rechtswidrig erweisen, so stelle die Deaktivierungsanordnung ein verhältnismäßiges Mittel dar, weil der Klägerin keine anderweitige Möglichkeit zur Herstellung datenschutzkonformer Zustände offenstehe.
