Like-Button: Webseiten-Betreiber können mitverantwortlich sein

Heute hat der Europäische Gerichtshof eine Entscheidung gefällt, die für viele Online-Händler relevant sein könnte: Es geht um Facebook Like-Buttons, die auf der eigenen Webseite eingebunden werden können, und die Frage, wer für die Datenverarbeitung verantwortlich ist. 

Mitte 2018 hatte sich der Gerichtshof bereits mit einem ähnlichen Thema auseinanderzusetzen; hier ging es um die Frage nach der datenschutzrechtlichen Haftung beim Betreiben einer Fanseite in dem sozialen Netzwerk. Das Gericht hatte damals eine gemeinsame Verantwortlichkeit sowohl des Betreibers als auch von Facebook angenommen. 

Beim Laden: Daten wurden automatisch übermittelt

Der Streit dreht sich hier um den Like-Button, der in der Seite Fashion ID – hierbei handelt es sich um den Online-Shop des Modehändlers Peek&Cloppenburg (Düsseldorf) – eingebunden war. Ein wesentliches Merkmal des Plug-Ins ist es, dass Informationen über die IP-Adresse und über den Browser an Facebook übermittelt werden. Dies geschah hier bereits durch den Besuch der Seite, eine Interaktion mit dem Button war dafür nicht nötig. Auch auf den Besitz eines Kontos bei dem sozialen Netzwerk kam es nicht an. Die Verbraucherzentrale Nordrhein Westfalen sieht in dieser automatischen Übermittlung datenschutzrechtliche Probleme, weshalb es schließlich zum gerichtlichen Verfahren vor dem Oberlandesgericht Düsseldorf kam. Dieses hatte sich wiederum mit der Auslegung europarechtlicher Vorschriften an den EuGH gewandt. 

Generalanwalt Michal Bobek hatte in seinen Schlussanträgen im Dezember 2018 verlautbaren lassen, dass auch im Fall der Like-Buttons eine gemeinsame Verantwortlichkeit von Plug-In-Nutzer und Facebook angenommen werden sollte. Allerdings müsse sie beschränkt sein auf jene Verarbeitungsprozesse, für die der (gemeinsam) Verantwortliche auch tatsächlich „einen Beitrag zur Entscheidung über die Mittel und Zwecke der Verarbeitung der personenbezogenen Daten leiste“, wie es in der damaligen Pressemitteilung heißt.

Gemeinsame Verantwortung möglich – aber in Grenzen

Dieser Ansicht hat sich der EuGH heute angeschlossen (Aktenzeichen C-40/17). Fashion ID kann „für die Vorgänge des Erhebens der in Rede stehenden Daten und deren Weiterleitung durch Übermittlung an Facebook Ireland als gemeinsam mit Facebook verantwortlich angesehen werden“, heißt es in einer Pressemitteilung des EuGH vom heutigen Tage. So sei ausschlaggebend, dass beide Parteien gemeinsam über Zweck und Mittel dieser Verarbeitung entscheiden würden – dies gelte in diesem Fall jedoch nur unter dem Vorbehalt, dass das OLG hier zum selben Schluss kommt. 

Argumentiert wird beim EuGH damit, dass die Einbindung des Buttons es Fashion ID ermögliche, die Werbung ihrer Produkte zu optimieren, indem diese durch einen Klick auf den Button dann im sozialen Netzwerk sichtbarer gemacht werde. „Um in den Genuss dieses wirtschaftlichen Vorteils kommen zu können, der in einer solchen verbesserten Werbung für ihre Produkte besteht, scheint Fashion ID mit der Einbindung eines solchen Buttons in ihre Website zumindest stillschweigend in das Erheben personenbezogener Daten der Besucher ihrer Website und deren Weitergabe durch Übermittlung eingewilligt zu haben“, so die Pressemitteilung weiter. Die entsprechenden Verarbeitungsvorgänge würden daher im wirtschaftlichen Interesse sowohl von Fashion ID als auch von Facebook Ireland durchgeführt werden. 

Für den Online-Shop liege der gebotene Vorteil so in der Tatsache, dass er über die Daten zu seinem eigenen wirtschaftlichen Zweck verfügen könne. Auch müssten etwaige Betroffene zum Zeitpunkt der Datenerhebung – in diesem Fall also, wenn die Seite geladen wird – durch den Betreiber der Webseite über bestimmte Dinge informiert werden, etwa über seine Identität und die Zwecke der Verarbeitung. Diese Informationspflicht treffe den Betreiber der Webseite aber nur in Bezug auf jene Vorgänge der Verarbeitung personenbezogener Daten, für die er eben tatsächlich über Zwecke und Mittel entscheide. Grob gesagt bedeutet das: Über die Verarbeitung der Daten durch Facebook selbst müsse keine Information gegeben werden.

Keine Hinweise auf Pflicht zur Einwilligung

Der Gerichtshof stellt dabei aber auch ausdrücklich fest: Eine Verantwortung ergebe sich seitens Fashion ID nicht für die komplette Verarbeitung. Vorgänge, die Facebook nach der Übermittlung der Daten an Fashion ID vornehme, würden demnach nicht in die Sphäre des Online-Händlers fallen. „Es erscheint nämlich auf den ersten Blick ausgeschlossen, dass Fashion ID über die Zwecke und Mittel dieser Vorgänge entscheidet“, heißt es dazu. Entgegen einiger Medienberichte trifft der EuGH außerdem nicht die Aussage, dass eine Einwilligung zwingend notwendig sei. Vielmehr heißt es, dass falls für die Datenverarbeitung vom Webseiten-Betreiber eine Einwilligung genutzt würde, sich diese ebenfalls nur auf die Vorgänge beziehen müsse, über deren Zwecke und Mittel er entscheide. 

Beachtet werden muss, dass die Einbindung des Like-Buttons, wie hier beschrieben, längere Zeit vor dem Inkrafttreten der DSGVO beendet wurde. Das Urteil der Richter bezieht sich insofern also auch auf das alte Datenschutzrecht. Allerdings kann davon ausgegangen werden, dass sich auch unter Berücksichtigung der neuen Datenschutzvorgaben kein wesentlich anderes Bild ergeben würde. 

Bindend ist das Urteil des EuGH für den Online-Händler nicht. Nun ist wieder das Oberlandesgericht am Zug, um den Streit an sich zu entscheiden.