EuGH entscheidet (vorab) in Sachen ULD ./. WAK SH („Facebook Fanpages“, EuGH Rechtssache C‑210/16)

Ein bisschen roch es schon danach, nachdem der Generalanwalt beim EuGH, Yves Bot, in Sachen ULD ./. WAK Schleswig-Holstein sein Schlussgutachten vorgelegt hatte. Nun ist es amtlich: Das unabhängige Landeszentrum für den Datenschutz in Schleswig Holstein (ULD) erlangt (zumindest) in einem Teilaspekt einen Etappensieg in dem Rechtsstreit über die Rechtmäßigkeit von Facebook-Fanpages, der bereits seit 2011 andauert und bei dem es um Datenschutzverstöße durch die Facebook-Reichweitenanalyse „Insights“ geht. Der EuGH hat am 5.6.18 über verschiedene Vorlagefragen entschieden, auf die es in dem derzeit beim Bundesverwaltungsgericht anhängigen Verfahren ankommt. Allerdings dürften die Sektkorken beim ULD wohl nicht allzu laut knallen.

Die wohl wichtigste Frage, nämlich die danach, inwieweit neben Facebook auch der Betreiber einer Fanpage selbst verantworlich ist für die Datenverarbeitung, die auf Seiten von Facebook durchgeführt wird, bejaht das Gericht:

Nach alledem ist auf die erste und die zweite Frage zu antworten, dass Art. 2 Buchst. d der Richtlinie 95/46 dahin auszulegen ist, dass der Begriff des „für die Verarbeitung Verantwortlichen“ im Sinne dieser Bestimmung den Betreiber einer bei einem sozialen Netzwerk unterhaltenen Fanpage umfasst.

Allerdings: Der EuGH bejaht ebenfalls die Frage, ob die Datenschutzbehörde – hier: Das ULD – gegen Facebook Germany als Inländische Niederlassung vorgehen konnte, wenn Datenschutzverstöße der Konzernmutter festgestellt wurden. Hieran konnte man zweifeln, da am Hamburger Sitz von Facebook Germany (angeblich) nur der Verkauf von Werbeflächen uns sonstige Marketingaktivitäten entfaltet wurden. Der EuGH stellt hier fest: Das ULD konnte sehr wohl auch gegen diese Niederlassung vorgehen.

Das klingt erst einmal gut, muss allerdings gerade keine gute Nachricht für das ULD sein. Denn das Bundesverwaltungsgericht hatte schon in dem Vorabentscheidungsersuchen darauf hingewiesen, dass:

In dem Fall, dass im Licht dieser Antwort festgestellt werden sollte, dass das ULD die behaupteten Verstöße gegen das Recht auf Schutz der personenbezogenen Daten beenden könne, indem es eine Maßnahme gegen Facebook Germany erlasse, dieser Umstand das Vorliegen eines Ermessensfehlers bezüglich des angefochtenen Bescheids belegen könnte, da dieser dann zu Unrecht gegen die Wirtschaftsakademie erlassen worden wäre.

Mit anderen Worten: Das Bundesverwaltungsgericht könnte sich nun auf den Standpunkt stellen, dass das ULD gegen Facebook selbst vorgehen konnte. Und wenn es dies konnte, dann musste es dies eventuell auch. Und damit könnte das Vorgehen des ULD dann doch wieder rechtswidrig gewesen sein.

Wie geht es jetzt weiter?

Der EuGH hat den Rechtsstreit heute nicht entschieden – sondern nur einzelne Fragen, die das im Moment mit dem eigentlichen Verfahren befasste Gericht, also das Bundesverwaltungsgericht – für maßgeblich hält. Wann dieses nun entscheidet, und noch viel wichtiger: Wie es entscheiden wird, ist heute meiner Ansicht nach nicht viel klarer geworden.

Welche Folgen hat das Urteil sonst noch?

Wie die meisten mitbekommen haben, weil es vom „Anwaltsblatt“ bis zur Tagesschau alle wichtigen Medien verbreitet haben, gilt seit 25. Mai die Datenschutz-Grundverordnung (DSGVO). So könnte man also auf die Idee kommen, dass die Entscheidung, die auf der Grundlage des alten Rechts – nämlich der Datenschutzrichtlinie 95/46 EU – ergangen ist, nur noch rechtsgeschichtlichen Wert hat. Dies ist aber nicht der Fall, denn hinsichtlich der Verantwortlichkeit ergeben sich gerade keine Änderungen zwischen altem und neuen Recht. Und das bedeutet wohl, dass jeder Nutzer jedenfalls von beruflich genutzten Social Media Profilen zukünftig für die Datenverarbeitung(sverstöße) des jeweiligen Anbieters (mit)verantwortlich ist. Oder, um es mit den Worten des hochgeschätzten Kollegen Thomas Schwenke zu sagen

(Kleine Einschränkung hierzu: Für private Accounts gilt dies aber jedenfalls „möglicherweise“ nicht, da die Anwendung der DSGVO in Bezug auf den Profilinhaber insoweit jedenfalls fraglich ist, so steht das in Art. 2 Abs. 2c DSGVO in Verbindung mit Erwägungsgrund 18).

Verweise:

„Schnack und Thumby“ – SHZ-Podcast über Influencer auf Instagram

„Kooperations-Prostitution“ ist eine schöne Wortschöpfung der SHZ-Podcaster Merle Drießelkämper und Finn Schröder, die sich in der 20. Folge des Podcasts des Schleswig-Holsteinischen Zeitungsverlages mit dem schönen Titel „Schnack und Thumby“, mit dem Thema Influencing / Influencer befassen. Testimonial insoweit ist die Kieler Instagrammerin ja_liine (Kiel scheint das Mekka von gastronomischen Instragrammerinnen zu sein, aber das ist ein anderes Thema).

Nachdem ja_liine etwas aus ihrem Influencerinnen-Nähkästchen plaudert hat, darf ich auch noch ein paar Antworten zu Fragen zum Thema „Instagram & Recht“ beisteuern, und zwar etwa ab Minute 7:50.

„Schnack und Thumby“, Folge 20 ist hier zu finden.

Eine Anmerkung noch zur etwas ungewöhnlichen Frage nach dem Gewerbeschein:

Einen Gewerbeschein benötigt, wer einer gewerblichen Tätigkeit nachgeht (Das Gegenstück dazu wäre der Freiberufler – Ärzte, Anwälte Architekten, aber auch Journalisten sind Freiberufler und benötigen als solche keinen „Gewerbe“-schein – mehr dazu z.B. hier). Der bürokratische Akt der Beantragung ist äußerst bescheiden und in zehn Minuten erledigt, so dass dies kein ernsthaftes Problem oder „Thema“ für den Influencer-Gründer sein dürfte. Eher schon ist das bei steuerlichen Fragen der Fall, weswegen ich jedem, der sich selbständig machen möchte, unbedingt dazu rate, sich zuvor steuerlich beraten zu lassen.

Jurafunk Nr. 150: Facebook ist und bleibt kostenlos!

Die 150. Ausgabe des Kieler Rechtspodcasts hat in weiten Teilen wieder einmal ein Urteil gegen Facebook zum Gegenstand, das Mitte Februar bereits Wellen schlug. Das Landgericht stellt darin unter anderem fest, dass Facebook zurecht mit dem Slogan „Facebook ist und bleibt kostenlos!“ wirbt. Allerdings ist auch zuzugeben: Das ist so ziemlich das einzige, was dem Social Network nicht auf Antrag des Bundesverbands der Verbraucherzentralen verboten wurde. Daneben befassen wir uns noch mit einem Urteil zu den Persönlichkeitsrechten des Ex-Bundespräsidenten Wulff sowie mit einer (zu) vulgären Markenanmeldung.

Viel Vergnügen!

 

Jurafunk Nr. 150 – Inhalt:

0’00“ – Intro: Das Jahr des Atos
2’45“ – Facebook ist und bleibt kostenlos / (u.A.) Klarnamenpflicht rechtswidrig (LG Berlin, Urt. v. 16.1.18  – Az. 16 O 341/15 ).
19’08“ – „Bin beim ALDI!“ – Christian Wulff kauft Dinge ein (BGH, Urt. v. 06.02.2018, Az. VI ZR 76/17).
25’50“- Witzischkeit (bei der Markenanmeldung) kennt Grenzen (EuG, Urt. v. 24.1.18, Az. T-69/17).
31’30“ – Outro-

Hinweise und Notizen zu Folge 150:

„beA“ bedeutet „besonderes Anwaltspostfach“ und ist in Anwaltskreisen so etwas ähnliches wie der BER in Flughafenkreisen. Mehr zum beA-Skandal und der Rolle des Software-Dienstleister Atos hier. | Wenn Henry hin und wieder darauf hinweist, dass das Telemediengesetz bald in Teilen so nicht mehr gilt, dann liegt das an der Datenschutz-Grundverordnung (DSGVO), die am 23.5.2018 in Kraft tritt und dieses in Teilen ersetzt. | Die WAK Schleswig Holstein führt seit Jahren ein Verfahren gegen Henrys Dienstherren, das Unabhängige Landeszentrum für den Datenschutz in Schleswig Holstein, mehr dazu hier. Henrys Äußerungen dazu im Jurafunk sind aber – immer – rein privat | Das gilt insbesondere für die durch nichts bewiesene Behauptung, Gott habe Moses irgendwas „in die Hand gemeißelt“| Mehr zum Werktitelschutz steht in § 5 Abs. 3 MarkenG | Bei den Europäischen Gerichten wird landläufig zwischen „EuGH“ und „EuG“ entschieden, mehr dazu hier. | Wer sich partout nicht mehr daran erinnert, was die „Causa Wulff“ war und wie viele Jurafunk-Folgen wir damit bestreiten konnten, kann das hier und hier nachhören.

Jurafunk 149: Ein Bot namens Yves / Schweigen ist Gold / PayPal (Ver-)käuferschutz

Es war nun eine Zeit lang nichts vom Jurafunk-Team zu hören – Was man als nette Geste gegenüber dem Podcast-Team der Rechtsbelehrung framen könnte, die damit die Möglichkeit erhielt, den Folgen Vorsprung des Jurafunks etwas zu verkürzen. Aber das würde an der Wahrheit natürlich etwas vorbei gehen, denn wir hatten einfach zuviel anderes (wenn auch nicht Besseres) zu tun. In Folge 149 es wieder einmal um Facebook, die Gerichte und die für das ULD überraschende Aussicht, auch mal einen Prozess in Zusammenhang mit dem sozialen Netzwerk zu „gewinnen“. Außerdem besprechen wir Til Schweigers loses Mundwerk, das PayPal-Urteil des BGH und beginnen eine neue Rubrik im Podcast, die ich soeben „Henrys Wundertüte“ getauft habe.

Viel Vergnügen!

Mehr erfahren

Das Ende von Facebook-Fanpages? – Schlussanträge des Generalanwalts

Der Generalanwalt Yves Bot ist am Ende Oktober in seinen Schlussanträgen am Europäischen Gerichtshof (EuGH) zu dem Ergebnis gekommen, dass „die Wirtschaftsakademie für die in der Erhebung von personenbezogenen Daten durch Facebook bestehende Phase der Verarbeitung gemeinsam mit Facebook verantwortlich ist“ (Rn. 42; ECLI:EU:C:2017:796; Rechtssache C- 210/16).

Zu Grunde liegt ein Sachverhalt aus dem Jahr 2011. Das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein (ULD) hatte der Wirtschaftsakademie Schleswig-Holstein gegenüber angeordnet ihre Facebook-Fanpage zu deaktivieren. Die Besucher der Facebook-Fanpage sind nicht darüber unterrichtet worden, dass ihre personenbezogenen Daten von Facebook mittels Cookies erhoben werden. Dies stelle einen datenschutzrechtlichen Verstoß dar. Weder das Verwaltungsgericht Schleswig (09.10.2013) noch das Oberverwaltungsgericht Schleswig (04.09.2014) folgten der Ansicht des ULD, dass datenschutzrechtliche Verstöße in der Verantwortung der Wirtschaftsakademie liegen. Das Bundesverwaltungsgericht hat die Revision des ULD ausgesetzt und dem EuGH Rechtsfragen zur Auslegung der maßgeblichen Datenschutzrichtlinie (Richtlinie 95/46/EG) zur Entscheidung vorgelegt (BVerwG, Beschluss vom 25.02.2016 – 1 C 28.14 [ECLI:DE:BverwG:2016:250216B1C28.14.0]). Nun liegen nach der mündlichen Verhandlung die Schlussanträge des Generalanwalts vor. Diese darin enthaltenen Entscheidungsvorschlägen folgt der EuGH häufig – ohne daran gebunden zu sein.

Der Generalanwalt kommt insbesondere zu dem Schluss, dass die Wirtschaftsakademie bzw. Betreiber entsprechender Facebook-Fanpages datenschutzrechtlich (mit-)verantwortlich sind. Die Verantwortlichkeit der Wirtschaftsakademie werde auch nicht dadurch ausgeschlossen, dass sie selbst Nutzerin von Facebook-Tools ist. Eine Mitverantwortlichkeit bei der Erhebung der Nutzerdaten durch Facebook bliebe begründet. Die Wirtschaftsakademie entscheide über die Zwecke und Mittel der Datenverarbeitung, da sie tatsächlichen und rechtlichen Einfluss hierauf ausübe. Der Betreiber einer Facebook-Fanpage ermögliche die Verarbeitung der Daten durch das Eröffnen einer Fanpage und könne ebenso durch das Schließen dieser, das Ende der Datenverarbeitung bestimmen. Durch die Nutzung von Facebook-Insights (Bsp. Besucherstatistiken) nimmt ein Fanpage-Betreiber an dem Entscheidungsprozess über die Verarbeitung von personenbezogenen Daten teil. Als Betreiber einer Facebook-Fanpage steuere die Wirtschaftsakademie durch Festlegen von Kriterien, welche Daten eines Zielpublikums erhoben werden. Der Betreiber einer Facebook-Fanpage kann also nicht einfach die Hände heben und die Verantwortlichkeit auf Facebook abwälzen.

Ein Ausschluss der Verantwortlichkeit kommt auch nicht etwa dadurch zu Stande, dass die Bedingungen zur Datenverarbeitung einseitig durch Facebook gestellt und nicht verhandelt wurden. Der Abschluss des Vertrages wird dadurch nicht weniger freiwillig und eine datenschutzrechtliche Verantwortung für die Datenverarbeitung nicht ausgeschlossen. Der Generalanwalt möchte ein Hin- und Herschieben von Verantwortlichkeit verhindern, denn sonst genüge es im Zweifel, dass „ein Unternehmen die Dienstleistungen eines Dritten nutzt, um sich seinen Verpflichtungen im Bereich des Schutzes personenbezogener Daten zu entziehen“.

Die weiteren Ausführungen des Generalanwalts zum anwendbaren Recht, der Frage des Herkunftslandprinzip oder one-stop-shops werden ab dem 25. Mai 2018 durch die Datenschutz-Grundverordnung (DSGVO) geregelt (Vgl. Rn. 103; ECLI:EU:C:2017:796; Rechtssache C- 210/16). Die Anwendung des deutschen Rechts, die Zuständigkeit des ULDs und die Inanspruchnahme der Wirtschaftsakademie seien in diesem Fall aber nicht zu beanstanden.

Da der Sachverhalt nun bereits einige Jahre alt ist, bleibt abzuwarten welche Folgen eine dem Generalanwalt entsprechende Entscheidung des EuGH für aktuelle Facebook-Fanpages hat. Durch eine solche Entscheidung würden keine datenschutzrechtlichen Verstöße durch Facebook und Fanpage-Betreiber festgestellt, sondern zunächst „lediglich“ eine gemeinsame Verantwortung für die Verarbeitung von personenbezogenen Daten. Ein Fanpage-Betreiber könnte sich dann nicht mehr ohne Weiteres seiner datenschutzrechtlichen Verantwortung entziehen. Inwiefern Facebook und Fanpage-Betreiber inzwischen Informations- und Aufklärungspflichten nachkommen, muss im Einzelfall entschieden werden.