Das Bundesverwaltungsgericht in Leipzig hat entschieden, dass Datenschützer den Betrieb einer Facebook-Fanpage untersagen dürfen, falls die von Facebook bereitgestellte digitale Infrastruktur schwerwiegende datenschutzrechtliche Mängel aufweist. Der 6. Senat hob am 11. September 2019 ein Urteil des Schleswig-Holsteinischen Oberverwaltungsgerichts auf und verwies den Rechtsstreit zurück (Az. 6 C 15.18).
Ausgangspunkt war eine Anordnung der schleswig-holsteinischen Datenschutzaufsicht gegen eine in Kiel ansässige Bildungseinrichtung. Die Behörde verpflichtete die Klägerin, ihre Fanpage zu deaktivieren, weil Facebook beim Aufruf der Seite personenbezogene Daten der Besucher erhebe, ohne sie über Art, Umfang und Zwecke der Erhebung sowie ein Widerspruchsrecht gegen die Erstellung von Nutzungsprofilen für Werbe- oder Marktforschungszwecke zu unterrichten. Ein Widerspruch, den Nutzer gegenüber der Betreiberin erklärten, blieb mangels technischer Einwirkungsmöglichkeiten folgenlos.
Das Oberverwaltungsgericht hatte eine datenschutzrechtliche Verantwortlichkeit der Fanpage-Betreiberin noch verneint, weil sie keinen Zugriff auf die erhobenen Daten habe. Diese Sicht widerlegte der EuGH auf Vorlage des Bundesverwaltungsgerichts mit Urteil vom 5. Juni 2018 in der Rechtssache C-210/16: Wer eine Fanpage betreibt, ist für die dabei ablaufenden Datenverarbeitungsvorgänge gemeinsam mit Facebook verantwortlich, weil er dem Netzwerk den Zugriff auf die Besucherdaten ermöglicht.
Behörde durfte die Fanpage-Betreiberin in die Pflicht nehmen
Auf dieser Grundlage musste der 6. Senat klären, gegen wen die Aufsichtsbehörde vorgehen darf. Das Gericht bejahte eine Auswahl unter mehreren gemeinsam Verantwortlichen nach dem Gedanken der Effektivität: Weil Facebook nicht kooperierte und die Binnenstrukturen des Konzerns unklar waren, durfte sich die Behörde an die Betreiberin halten, deren Pflichtigkeit ohne weiteres feststand und die ihre Seite selbst abschalten konnte. Ein milderes Mittel stand ihr gegenüber der Klägerin nicht zur Verfügung.
Ob die bei Aufruf der Fanpage ablaufenden Datenverarbeitungen tatsächlich gegen das Telemediengesetz verstoßen, muss nun das Oberverwaltungsgericht aufklären. Für Studios und Marketing-Teams, die Spiele und Produkte über soziale Netzwerke vermarkten, zeigt das Verfahren die Grenzen des Modells: Wer eine Fanpage betreibt, ist datenschutzrechtlich mitverantwortlich, kann die Verarbeitung auf der Plattformseite aber technisch kaum beeinflussen. Teams, die durch die DSGVO ohnehin unter Druck stehen, müssen ihre Social-Media-Auftritte damit ebenfalls prüfen. Ein ähnliches Muster, Nutzerdaten über Plattform-Komponenten an Dritte fließen zu lassen, hatte zuvor die Debatte um das Spiele-Red Shell von 2018 geprägt.