Facebook Like Button: Verantwortung für Seitenbetreiber

Der EuGH hat heute, 29.07.2019, entschieden, dass Seitenbetreiber mitverantwortlich für die personenbezogenen Daten sind, die durch einen eingebundenen Facebook Like Button an Facebook übermittelt werden. Die Verantwortlichkeit endet jedoch, sobald die Daten den Konzern erreicht haben. Nicht entschieden hat der EuGH, ob Seitenbetreiber zukünftig immer eine Einwilligung ihrer Nutzer einholen müssen – das muss erst das OLG Düsseldorf klären. Bereits jetzt ist klar, dass Seitenbetreiber ihre Besucher intensiver über die Datenübermittlung informieren müssen. Christian Solmecke zu den Auswirkungen des Urteils:

„Der Gerichtshof der Europäischen Union (EuGH) hat heute über mehrere wichtige Fragen im Verfahren „Fashion ID“ entschieden (Urt. v. 29. Juli 2019, C-40/17). Zunächst hat der EuGH klargestellt, dass auch Verbraucherschutzverbände Datenschutzverstöße ahnden können. Darüber hinaus war zu klären, wer für die Einbindung des Facebook Like Buttons verantwortlich ist. Hier hat der Europäische Gerichtshof eine meines Erachtens salomonische Lösung gefunden:

Im konkreten Fall hielt er Peek & Cloppenburg als Betreiber der Webseite Fashion ID für die Erhebung der Nutzerdaten und die Weitergabe dieser Daten an Facebook verantwortlich. Keine Verantwortung trifft ihn jedoch für die Verarbeitung der Daten bei Facebook selbst. Hier muss sich Facebook um die teilweise erforderlichen Einwilligungen selbst kümmern. Wie Facebook das bei anonymen IP Adressen künftig machen will, bleibt offen und wird in Zukunft die Gerichte noch beschäftigen.

Ob Webseitenbetreiber eine Einwilligung von ihren Besuchern für die Einbindung des Facebook Like Buttons einholen müssen oder ob ein berechtigtes Interesse als Rechtfertigungsgrund ausreicht, lässt der Europäische Gerichtshof offen.

Er stellt jedoch klar, dass sowohl im Falle einer Einwilligung als auch im Falle des berechtigten Interesses Informationspflichten zu erfüllen sind. Diese Informationspflichten beziehen sich allerdings nur auf den Teil, für den der Webseitenbetreiber auch konkret verantwortlich ist. Peek & Cloppenburg muss konkret also nur darauf hinweisen, dass hier IP Adressen erhoben und an Facebook weitergeleitet werden. Das Unternehmen muss keine Information darüber geben, wie Facebook diese Daten verarbeitet. Die Informationen muss Facebook selbst geben.

Wie das künftig technisch geschehen soll, bleibt allerdings schleierhaft. Möglicherweise muss Facebook die komplette Architektur des Like Buttons umbauen, um nicht selbst in die Haftung zu kommen.

Wie geht es jetzt weiter?

Jetzt muss erst einmal das Oberlandesgericht Düsseldorf entscheiden, auf welcher Rechtsgrundlage die Erhebung und Verarbeitung der Daten erfolgen kann.

Webseitenbetreiber, die auf Nummer sicher gehen wollen, sollten schon jetzt die Einwilligung ihrer Nutzer für die Verwendung des Facebook Like Buttons einholen und in ihrer Datenschutzerklärung ausdrücklich darauf hinweisen, dass Daten erhoben und an Facebook weitergeleitet werden. Stimmen Nutzer dieser Datenerhebung nicht zu, darf der Like Button nicht auf der Webseite eingebunden werden.

Eine technische Lösung, die diesen Anforderungen gerecht wird, ist die 2-Klick-Lösung, bei der der Like Button zunächst nur als Bild ohne Funktion eingebunden wird. Klickt der Nutzer dann auf das Bild, wird die Einwilligung eingeholt, mit der dann der echte Like Button nachgeladen wird.“