Webseiten mit „Gefällt-mir-Button“: Betreiber tragen Mitverantwortung für personenbezogene Daten

Der Gerichtshof der Europäischen Union in Luxemburg hat Ende Juli 2019 entschieden, dass der Betreiber einer Internetseite, die den „Gefällt-mir-Button“ von Facebook eingebunden hat, mitverantwortlich dafür ist, dass personenbezogene Daten der Besucher erhoben und an Facebook übermittelt werden (Az.: C-40/17).

Personenbezogene Daten aller Besucher werden erhoben und übermittelt

Hintergrund der Klage war die Einbindung des Buttons auf der Internetseite eines Düsseldorfer Onlinehändlers für Modeartikel (Peek & Cloppenburg). Dieser hatten den „Gefällt-mir-Button“ von Facebook eingebunden, sodass die Besucher der Seite ihre beliebtesten Produkte kennzeichnen und im sozialen Netzwerk Facebook sichtbar machen konnten. Auf diese Weise sollten die Produkte beworben und dem Händler ein wirtschaftlicher Vorteil verschafft werden. Das Einbinden des Buttons hatte zur Folge, dass die personenbezogenen Daten aller Besucher – unabhängig davon, ob sie den Button nutzten – an Facebook Ireland übermittelt wurden.

Da die Übermittlung dieser Daten ohne Einwilligung der Nutzer stattfand und ein Verstoß gegen die Informationspflicht gemäß den Vorschriften über den Schutz personenbezogener Daten vorlag, klagte die Verbraucherzentrale NRW vor dem Oberlandesgericht Düsseldorf. Dieses bat den Europäischen Gerichtshof um Klärung, ob für diesen speziellen Fall die noch gültige Datenschutzrichtlinie aus dem Jahr 1995 oder die neue Datenschutz-Grundverordnung aus dem Jahr 2018 heranzuziehen sei. Der Europäische Gerichtshof stellte zunächst klar, dass auch die Datenschutzrichtlinie aus dem Jahr 1995 erlaube, dass die Verbraucherzentrale zur Wahrung der personenbezogenen Daten der Verbraucher klage. Die neue Datenschutz-Grundverordnung sieht dieses explizit vor.

Verantwortung für die Verarbeitung der Daten liegt nicht beim Betreiber

Bezüglich der Verarbeitung der nach Irland übermittelten Daten sah das Gericht keine Verantwortung bei dem Händler, da dieser keine Entscheidung darüber träfe, in welcher Art die Daten verarbeitet würden. In der Übermittlung der Daten hingegen sah das Gericht eine gemeinsame Verantwortung des Modehändlers und Facebook. Der Modehändler habe – aus wirtschaftlichem Interesse – durch die Einbindung des Buttons zumindest stillschweigend in das Erheben personenbezogener Daten und die Übermittlung zugestimmt. Für die Erhebung und Übermittlung dieser Daten hätte er eine Einwilligung von allen Besuchern seiner Internetseite benötigt.

Auf Grundlage dieser Einschätzung muss das Oberlandesgericht Düsseldorf nun über den Ausgang des Verfahrens entscheiden.