Facebook: (Mit-)Verantwortung von Webseitenbetreibern für Datenerhebung durch Einbindung des Gefällt-mir-Button
EuGH v. 29.7.2019 - C-40/17
Der Sachverhalt:
Die beklagte Fashion ID GmbH & Co. KG, ein deutscher Online-Händler für Modeartikel, band in ihrer Website den "Gefällt mir"-Button von Facebook ein. Anscheinend hat diese Einbindung zur Folge, dass beim Aufrufen der Website der Beklagten durch einen Besucher die personenbezogenen Daten dieses Besuchers an Facebook Ireland übermittelt werden. Offenbar erfolgt diese Übermittlung, ohne dass sich der Besucher dessen bewusst ist und unabhängig davon, ob er Mitglied des sozialen Netzwerks Facebook ist oder den "Gefällt mir"-Button angeklickt hat.
Die klagende Verbraucherzentrale NRW wirft der Beklagten vor, personenbezogene Daten der Besucher ihrer Website ohne deren Einwilligung und unter Verstoß gegen die Informationspflichten nach den Vorschriften über den Schutz personenbezogener Daten an Facebook Ireland übermittelt zu haben.
Das mit dem Rechtsstreit befasste OLG Düsseldorf ersucht den EuGH um die Auslegung einer Reihe von Bestimmungen der früheren Datenschutzrichtlinie von 1995 (die weiterhin auf den Fall anwendbar ist, aber durch die neue DSGVO von 2016 mit Wirkung vom 25.5.2018 ersetzt worden ist).
Die Gründe:
Die Beklagte kann für die Datenverarbeitungsvorgänge, die Facebook Ireland nach der Übermittlung der Daten an sie vorgenommen hat, anscheinend nicht als verantwortlich angesehen werden. Es erscheint nämlich auf den ersten Blick ausgeschlossen, dass die Beklagte über die Zwecke und Mittel dieser Vorgänge entscheidet. Demgegenüber kann sie für die Vorgänge des Erhebens der in Rede stehenden Daten und deren Weiterleitung durch Übermittlung an Facebook Ireland als gemeinsam mit Facebook verantwortlich angesehen werden, da (vorbehaltlich der vom OLG Düsseldorf vorzunehmenden Nachprüfung) davon ausgegangen werden kann, dass die Beklagte und Facebook Irland gemeinsam über die Zwecke und Mittel entscheiden.
Es scheint insbesondere, dass die Einbindung des "Gefällt mir"-Buttons von Facebook durch die Beklagte in ihre Website ihr ermöglicht, die Werbung für ihre Produkte zu optimieren, indem diese im sozialen Netzwerk Facebook sichtbarer gemacht werden, wenn ein Besucher ihrer Website den Button anklickt. Um in den Genuss dieses wirtschaftlichen Vorteils kommen zu können, der in einer solchen verbesserten Werbung für ihre Produkte besteht, scheint die Beklagte mit der Einbindung eines solchen Buttons in ihre Website zumindest stillschweigend in das Erheben personenbezogener Daten der Besucher ihrer Website und deren Weitergabe durch Übermittlung eingewilligt zu haben. Dabei werden diese Verarbeitungsvorgänge im wirtschaftlichen Interesse sowohl von der Beklagten als auch von Facebook Ireland durchgeführt, für die die Tatsache, über diese Daten für ihre eigenen wirtschaftlichen Zwecke verfügen zu können, die Gegenleistung für den der Beklagten gebotenen Vorteil darstellt.
Der Betreiber einer Website wie die der Beklagten hat für bestimmte Vorgänge der Verarbeitung der Daten der Besucher seiner Website wie das Erheben der Daten und deren Übermittlung an Facebook Ireland als (Mit-)Verantwortlicher diesen Besuchern zum Zeitpunkt des Erhebens bestimmte Informationen zu geben, wie etwa seine Identität und die Zwecke der Verarbeitung. Zu dem Fall, in dem die betroffene Person ihre Einwilligung gegeben hat, ist festzustellen, dass der Betreiber der Website diese Einwilligung vorher (nur) für die Vorgänge einholen muss, für die er (mit-)verantwortlich ist, d.h. das Erheben und die Übermittlung der Daten. Zu den Fällen, in denen die Datenverarbeitung zur Verwirklichung eines berechtigten Interesses erforderlich ist, gilt indes, dass jeder der für die Verarbeitung (Mit-)Verantwortlichen, d.h. der Betreiber einer Website und der Anbieter eines Social Plugins, mit dem Erheben und der Übermittlung der personenbezogenen Daten ein berechtigtes Interesse wahrnehmen muss, damit diese Vorgänge für jeden Einzelnen von ihnen gerechtfertigt sind.
Linkhinweis:
EuGH PM Nr. 99 vom 29.7.2019
Die beklagte Fashion ID GmbH & Co. KG, ein deutscher Online-Händler für Modeartikel, band in ihrer Website den "Gefällt mir"-Button von Facebook ein. Anscheinend hat diese Einbindung zur Folge, dass beim Aufrufen der Website der Beklagten durch einen Besucher die personenbezogenen Daten dieses Besuchers an Facebook Ireland übermittelt werden. Offenbar erfolgt diese Übermittlung, ohne dass sich der Besucher dessen bewusst ist und unabhängig davon, ob er Mitglied des sozialen Netzwerks Facebook ist oder den "Gefällt mir"-Button angeklickt hat.
Die klagende Verbraucherzentrale NRW wirft der Beklagten vor, personenbezogene Daten der Besucher ihrer Website ohne deren Einwilligung und unter Verstoß gegen die Informationspflichten nach den Vorschriften über den Schutz personenbezogener Daten an Facebook Ireland übermittelt zu haben.
Das mit dem Rechtsstreit befasste OLG Düsseldorf ersucht den EuGH um die Auslegung einer Reihe von Bestimmungen der früheren Datenschutzrichtlinie von 1995 (die weiterhin auf den Fall anwendbar ist, aber durch die neue DSGVO von 2016 mit Wirkung vom 25.5.2018 ersetzt worden ist).
Die Gründe:
Die Beklagte kann für die Datenverarbeitungsvorgänge, die Facebook Ireland nach der Übermittlung der Daten an sie vorgenommen hat, anscheinend nicht als verantwortlich angesehen werden. Es erscheint nämlich auf den ersten Blick ausgeschlossen, dass die Beklagte über die Zwecke und Mittel dieser Vorgänge entscheidet. Demgegenüber kann sie für die Vorgänge des Erhebens der in Rede stehenden Daten und deren Weiterleitung durch Übermittlung an Facebook Ireland als gemeinsam mit Facebook verantwortlich angesehen werden, da (vorbehaltlich der vom OLG Düsseldorf vorzunehmenden Nachprüfung) davon ausgegangen werden kann, dass die Beklagte und Facebook Irland gemeinsam über die Zwecke und Mittel entscheiden.
Es scheint insbesondere, dass die Einbindung des "Gefällt mir"-Buttons von Facebook durch die Beklagte in ihre Website ihr ermöglicht, die Werbung für ihre Produkte zu optimieren, indem diese im sozialen Netzwerk Facebook sichtbarer gemacht werden, wenn ein Besucher ihrer Website den Button anklickt. Um in den Genuss dieses wirtschaftlichen Vorteils kommen zu können, der in einer solchen verbesserten Werbung für ihre Produkte besteht, scheint die Beklagte mit der Einbindung eines solchen Buttons in ihre Website zumindest stillschweigend in das Erheben personenbezogener Daten der Besucher ihrer Website und deren Weitergabe durch Übermittlung eingewilligt zu haben. Dabei werden diese Verarbeitungsvorgänge im wirtschaftlichen Interesse sowohl von der Beklagten als auch von Facebook Ireland durchgeführt, für die die Tatsache, über diese Daten für ihre eigenen wirtschaftlichen Zwecke verfügen zu können, die Gegenleistung für den der Beklagten gebotenen Vorteil darstellt.
Der Betreiber einer Website wie die der Beklagten hat für bestimmte Vorgänge der Verarbeitung der Daten der Besucher seiner Website wie das Erheben der Daten und deren Übermittlung an Facebook Ireland als (Mit-)Verantwortlicher diesen Besuchern zum Zeitpunkt des Erhebens bestimmte Informationen zu geben, wie etwa seine Identität und die Zwecke der Verarbeitung. Zu dem Fall, in dem die betroffene Person ihre Einwilligung gegeben hat, ist festzustellen, dass der Betreiber der Website diese Einwilligung vorher (nur) für die Vorgänge einholen muss, für die er (mit-)verantwortlich ist, d.h. das Erheben und die Übermittlung der Daten. Zu den Fällen, in denen die Datenverarbeitung zur Verwirklichung eines berechtigten Interesses erforderlich ist, gilt indes, dass jeder der für die Verarbeitung (Mit-)Verantwortlichen, d.h. der Betreiber einer Website und der Anbieter eines Social Plugins, mit dem Erheben und der Übermittlung der personenbezogenen Daten ein berechtigtes Interesse wahrnehmen muss, damit diese Vorgänge für jeden Einzelnen von ihnen gerechtfertigt sind.
Linkhinweis:
- Für den auf den Webseiten des EuGH veröffentlichten Volltext der Entscheidung klicken Sie bitte hier.