Facebook Fanpage - Best Practice nach der DSGVO

Nach dem EuGH-Urteil vom 5. Juni 2018 (Az. C-210/16) sind Facebook und Fanpage-Betreiber gemeinsam für die Verarbeitung dieser Insights-Daten verantwortlich. Schließlich könne der Fanpage-Betreiber die personenbezogenen Daten in Kategorien einordnen und mithilfe von Filtern die Kriterien (Alter, Geschlecht, Beziehungsstatus, etc.) festlegen, nach denen die Statistiken erstellt werden sollen. Somit habe der Fanpage-Betreiber die Möglichkeit, Einfluss auf die Verarbeitung zu nehmen und seine Fanpage zielgerichtet einzusetzen.

In einem Addendum erkennt Facebook die Verantwortung für die Insights-Datenverarbeitung an und kündigt an, ihren Pflichten nach der DSGVO nachzukommen (Umgang mit Betroffenenrechten, Informationspflichten, Meldepflichten und die Sicherheit der Verarbeitung). Facebook hält jedoch auch fest, dass der Seitenbetreiber selbst eine Rechtsgrundlage festlegen müsse. Allerdings dürfte die Einholung einer Einwilligung (Art. 6 Abs. 1 S. 1 lit. a DSGVO) zur Verarbeitung von Insights-Daten kaum realisierbar zu sein. Die Rechtsgrundlage des Art. 6 Abs. 1 S. 1 lit. f DSGVO („zur Wahrung berechtigter Interessen“) dürfte an der mangelnden Opt-out-Möglichkeit der Facebook-Nutzer scheitern. Daher sprechen nach der aktuellen Rechtslage erhebliche Gründe dafür, dass die Verarbeitung von Insights-Daten auf Fanpages unzulässig ist.

Derzeit gibt es für die Fanpage-Betreiber keine Möglichkeit die Insight-Datenerhebung zu deaktivieren. Trotz möglicher unrechtmäßiger Datenverarbeitung, scheint das Risiko von Bußgeldern und Schadensersatzansprüchen gegenüber dem Fanpage-Betreiber ebenso gering wie die Gefahr von Abmahnungen. Nach einer sich abzeichnenden herrschenden Meinung in Expertenkreisen wäre ein Vorgehen der Datenschutzbehörden gegen Fanpagebetreiber vor einem Vorgehen gegen Facebook selbst „unverhältnismäßig“. Mitbewerber scheinen Abmahnungen, so die praktische Erfahrung, derzeit jedenfalls noch zu scheuen. Ein Grund mag die Attraktivität der eigegen Präsenz mit einer Facebook-Fanpage sein.

Eine Empfehlung für eine vollständig rechtssichere Fanpage kann nach der aktuellen Rechtslage nicht gegeben werden. Diese kann sich allenfalls auf eine "Best Practice" Lösung beschränken:

• Betreiber sollten die gemeinsame Verantwortlichkeit für die die Datenverarbeitung bereits auf ihrer Webseite in der Datenschutzerklärung hervorheben (siehe hierzu unseren Beitrag vom 04.10.2018 „Datenschutzerklärung auf Webseiten“).
• Auf der Facebook Fanpage sollte unter dem Menüpunkt „Info“, „Datenschutzrichtlinien“ auf eine eigene Datenschutzerklärung für die Verarbeitung von Insights-Daten verwiesen werden.

Inhaltlich sollte die Datenschutzerklärung dann selbstverständlich den Anforderungen der Art. 12 ff. DSGVO entsprechen und über die Datenverarbeitung transparent sowie über die Rechtsgrundlagfen und Rechte der Betroffenen vollständig informieren. Darüber hinaus sind wegen der gemeinsamen Verantwortlichkeit noch Verlinkungen auf die entsprechenden Datenschutzhinweise von Facebook selbst erforderlich, aktuell etwa:

• Datenschutzrichtlinien: https://www.facebook.com/policy
• Gemäß Art. 26 Abs. 1 S. 2 DSGVO Verantwortlichkeit im Hinblick auf die Verarbeitung von Insights-Daten https://www.facebook.com/legal/terms/page_controller_addendum
• Facebook Opt-Out: Deine Werbepräferenzen https://www.facebook.com/ads/preferences/?entry_product=ad_settings_screen und http://www.youronlinechoices.com
• Facebook Privacy Shield: https://www.privacyshield.gov/participant?id=a2zt0000000GnywAAC&status=Active
• Facebook Datenschutzbeauftragter: https://www.facebook.com/help/contact/540977946302970