EuGH: Gemeinsame Verantwortlichkeit bei der Einbindung von Like-Buttons

Am 29.07.2019 hat der Europäische Gerichtshof (EuGH) ein wichtiges Urteil zur datenschutzrechtlichen Verantwortlichkeit von Websitebetreibern verkündet (Rechtssache Fashion ID gegen Verbraucherzentrale NRW – Az. C-40/17). Der EuGH musste sich in erster Linie damit auseinandersetzen, ob Facebook allein für die Datenverarbeitung verantwortlich ist oder gemeinsam mit dem Websitebetreiber, der den Like-Button einbindet.

Nach Ansicht des EuGHs ist der Websitebetreiber für die Erhebung und Übermittlung personenbezogener Daten durch das Social-Plugin gemeinsam mit Facebook verantwortlich. Die gemeinsame Verantwortlichkeit sei jedoch auf die Phasen der Datenverarbeitung beschränkt, über deren Zwecke und Mittel der Websitebetreiber tatsächlich (mit)entscheidet. Für die anschließende Weiterverarbeitung sei daher allein Facebook verantwortlich.

Im zugrundeliegenden Fall richtete sich die nordrhein-westfälische Verbraucherzentrale im Rahmen einer Unterlassungsklage gegen den Online-Modehändler Fashion ID – eine Tochter der Peek & Cloppenburg AG. Der Modehändler hatte den Like-Button gut sichtbar auf seiner Website eingebunden, sodass Besucher angeben konnten, wenn ihnen ein Produkt gefiel. Das zuständige Oberlandesgericht legte den Fall dem EuGH im Rahmen eines Vorabentscheidungsverfahrens vor. Das Problem: Der Button übermittelt beim Aufruf der Website Kommunikationsdaten der Besucher unmittelbar an die Server von Facebook. Ein Nutzer-Account bei Facebook oder gar ein Klick auf den Button ist nicht erforderlich, damit Facebook die Daten erhält. In dieser Praxis sah die Verbraucherzentrale einen Verstoß gegen das Datenschutzrecht.

Der EuGH musste über die alte Rechtslage entscheiden, also vor Inkrafttreten der Datenschutz-Grundverordnung (DSGVO). Die grundlegenden Überlegungen zur gemeinsamen Verantwortlichkeit dürften jedoch auch auf die neue Rechtslage übertragbar sein. Das Oberlandesgericht Düsseldorf wird nun unter Berücksichtigung des Urteils des EuGHs über das Ausgangsverfahren entscheiden.

In Bezug auf drei Aspekte bringt die Entscheidung jedoch Rechtsunsicherheit:

• Aus der gemeinsamen Verantwortlichkeit der Websitebetreiber erwächst die Pflicht der Websitebetreiber ihre Besucher transparent und umfassend über die Datenverarbeitung auf ihrer Website zu informieren. Dies umfasst die Phasen der Datenverarbeitung durch Like-Buttons, für welche die Websitebetreiber mitverantwortlich sind. Der EuGH hat sich für die Erforderlichkeit solcher Hinweise ausgesprochen, die konkrete Ausgestaltung jedoch offengelassen.
• Offen bleibt nach der Entscheidung des EuGHs zudem die Frage, ob nach deutschem Recht für die Einbindung der Like-Buttons zwingend eine Einwilligung der Nutzer erforderlich ist. Diese Frage wird voraussichtlich das Oberlandesgericht Düsseldorf klären.
• Nach neuem Recht müssen die gemeinsam Verantwortlichen zudem einen Vertrag schließen, in dem insbesondere die Verteilung der datenschutzrechtlichen Pflichten geregelt ist (Art. 26 DSGVO). Es ist damit zu rechnen, dass Facebook in naher Zukunft einen entsprechenden Vertrag vorlegen wird.

Wir empfehlen die Äußerungen der Aufsichtsbehörden und der Gerichte zu den genannten Themen zu verfolgen. Wir helfen Ihnen gerne dabei, das kurz- und mittelfristige Risiko bei der Einbindung von Facebook-Like-Buttons möglichst gering zu halten. Mehr dazu lesen Sie in Kürze in unserem Blog.