Erinnern Sie sich noch an die EuGH-Entscheidung zu facebook-Fanpages und an den Ärger, den Herr Valk von den Stadt­werken Oberal­theim damit hatte?

Um es kurz zu rekapi­tu­lieren: Am 5. Juni 2018 hatte der Europäische Gerichtshof (EuGH) in einer viel beach­teten Entscheidung sich mit sogenannten facebook-Fanpages befasst. Es geht also um diese Seiten bei facebook, mit denen sich Unter­nehmen oder öffent­liche Organi­sa­tionen kostenlos präsen­tieren und in Kontakt mit ihren Kunden treten können. Eine schöne Sache eigentlich, wenn nur nicht das Geschäfts­modell von facebook darin bestehen würde, möglichst viele Daten zu sammeln – und das mit Hilfe von Cookies nicht nur von facebook-Nutzern, sondern auch von Kunden, die mit facebook ansonsten gar nichts am Hut haben. In seinem Urteil hat der EuGH festge­stellt, dass nicht nur facebook für das Sammeln und Verar­beiten der Daten verant­wortlich ist, sondern auch die Betreiber der Fanpage eine Mitver­ant­wortung haben. Das hat die deutschen Daten­schützer natürlich gefreut, denn an facebook, dessen europäi­scher Sitz in Irland ist, kommen sie schlicht nicht ran.

Herr Valk war dagegen weniger begeistert. Schließlich war es ihm ein Anliegen, dass die Stadt­werke Oberal­theim mithalten können und bei einem jungen Kunden­stamm wahrge­nommen werden, der sich auf den sozialen Netzwerken bewegt. Facebook zu verlassen kam daher nicht in Frage. Anderer­seits profi­tierte er zwar von der statis­ti­schen Auswertung seiner Kunden­daten durch facebook, den sogenannten insights, hatte ansonsten nichts mit der Daten­ver­ar­beitung durch facebook zu tun. Er konnte insofern auch keinerlei Einfluss darauf nehmen, dass dabei alles mit rechten Dingen zugeht. Herrn Valk blieb insofern nichts übrig, als auf eine weitere Klärung der Rechtslage zu warten; ein unbefrie­di­gender Zustand für einen Vertriebs­leiter, der die Dinge ansonsten gern etwas offen­siver angeht. Inzwi­schen hat sich zwar einiges getan, ob es aber reicht, um den Stadt­werken Oberal­theim und anderen Unter­nehmen Sicherheit zu bieten?

Zunächst hatte die Daten­schutz­kon­ferenz, in der sich die Daten­schutz­be­hörden des Bundes und der Ländern abstimmen, unmit­telbar nach seinem Erscheinen auf die Konse­quenzen des Urteils aufmerksam gemacht: Die Daten­schutz­grund­ver­ordnung (DSGVO) fordert bei gemein­samer Verant­wort­lichkeit eine Verein­barung nach Artikel 26 DSGVO zwischen den Betei­ligten über die Verteilung der Pflichten. Als die Daten­schutz­kon­ferenz drei Monate später erneut zusam­mentrat, war facebook, von kosme­ti­schen Details abgesehen, aller­dings noch untätig geblieben. Daher wurden die Fanpages für illegal erklärt und die Verein­barung erneut angemahnt.

Auf die Mahnung hin legte Facebook ein paar Tage später eine Verein­barung vor, das sogenannte „Page Controller Addendum“. Mit dieser Zusatz­ver­ein­barung erkennt facebook zum einen die geltende Rechtslage an und übernimmt die Haupt­ver­ant­wortung für den Daten­schutz, dazu zählt insbe­sondere die Erfüllung von Infor­ma­ti­ons­pflichten, Betrof­fe­nen­rechten, Melde­pflichten und Daten­si­cherheit. Die Fanpage-Betreiber müssen klären, dass eine Rechts­grundlage für die Verar­beitung der Insights-Daten besteht. In dem Zusam­menhang stellt sich die Frage, ob und auf welche Weise Kunden oder Besucher der Fanpage über die Daten­ver­ar­beitung im Zusam­menhang mit ihrem Besuch infor­miert werden müssen. Weiterhin müssen die Betreiber den Verant­wort­lichen für die Daten­ver­ar­beitung der Seite benennen und sonstige geltende recht­liche Pflichten erfüllen. Schließlich müssen die Betreiber alle Nutzer­an­fragen oder Anfragen der Aufsichts­be­hörden per Formular an Facebook weiter­leiten und bei der Klärung der Anfragen koope­rieren.

Herrn Valk hat die insights-Verein­barung mit Facebook zwar schon mal abgeschlossen, richtig befriedigt hat ihn die Lösung jedoch noch nicht. Sorge bereitet ihm unter anderem die Ankün­digung seiner zustän­digen Daten­schutz­be­hörde, die Daten­schutz­kon­for­mität von Fanpages in der Verwaltung und bei ausge­wählten Unter­nehmen zu prüfen. Erste Städte sollen die Konse­quenz gezogen und sich aus Facebook verab­schiedet haben. Soweit will Herr Valk nicht gehen. Er wartet lieber noch auf die Entscheidung des Bundes­ver­wal­tungs­ge­richts (BVerwG). Der EuGH hatte nämlich noch nicht das letzte Wort gesprochen, sondern nur im Vorla­ge­ver­fahren Fragen beant­wortet, die für ein Urteil des BVerwG streit­ent­scheidend sind.