Neues von der facebook-Fanpage

Erinnern Sie sich noch an die EuGH-Entscheidung zu facebook-Fanpages und an den Ärger, den Herr Valk von den Stadt­werken Oberal­theim damit hatte?

Um es kurz zu rekapi­tu­lieren: Am 5. Juni 2018 hatte der Europäische Gerichtshof (EuGH) in einer viel beach­teten Entscheidung sich mit sogenannten facebook-Fanpages befasst. Es geht also um diese Seiten bei facebook, mit denen sich Unter­nehmen oder öffent­liche Organi­sa­tionen kostenlos präsen­tieren und in Kontakt mit ihren Kunden treten können. Eine schöne Sache eigentlich, wenn nur nicht das Geschäfts­modell von facebook darin bestehen würde, möglichst viele Daten zu sammeln – und das mit Hilfe von Cookies nicht nur von facebook-Nutzern, sondern auch von Kunden, die mit facebook ansonsten gar nichts am Hut haben. In seinem Urteil hat der EuGH festge­stellt, dass nicht nur facebook für das Sammeln und Verar­beiten der Daten verant­wortlich ist, sondern auch die Betreiber der Fanpage eine Mitver­ant­wortung haben. Das hat die deutschen Daten­schützer natürlich gefreut, denn an facebook, dessen europäi­scher Sitz in Irland ist, kommen sie schlicht nicht ran.

Herr Valk war dagegen weniger begeistert. Schließlich war es ihm ein Anliegen, dass die Stadt­werke Oberal­theim mithalten können und bei einem jungen Kunden­stamm wahrge­nommen werden, der sich auf den sozialen Netzwerken bewegt. Facebook zu verlassen kam daher nicht in Frage. Anderer­seits profi­tierte er zwar von der statis­ti­schen Auswertung seiner Kunden­daten durch facebook, den sogenannten insights, hatte ansonsten nichts mit der Daten­ver­ar­beitung durch facebook zu tun. Er konnte insofern auch keinerlei Einfluss darauf nehmen, dass dabei alles mit rechten Dingen zugeht. Herrn Valk blieb insofern nichts übrig, als auf eine weitere Klärung der Rechtslage zu warten; ein unbefrie­di­gender Zustand für einen Vertriebs­leiter, der die Dinge ansonsten gern etwas offen­siver angeht. Inzwi­schen hat sich zwar einiges getan, ob es aber reicht, um den Stadt­werken Oberal­theim und anderen Unter­nehmen Sicherheit zu bieten?

Zunächst hatte die Daten­schutz­kon­ferenz, in der sich die Daten­schutz­be­hörden des Bundes und der Ländern abstimmen, unmit­telbar nach seinem Erscheinen auf die Konse­quenzen des Urteils aufmerksam gemacht: Die Daten­schutz­grund­ver­ordnung (DSGVO) fordert bei gemein­samer Verant­wort­lichkeit eine Verein­barung nach Artikel 26 DSGVO zwischen den Betei­ligten über die Verteilung der Pflichten. Als die Daten­schutz­kon­ferenz drei Monate später erneut zusam­mentrat, war facebook, von kosme­ti­schen Details abgesehen, aller­dings noch untätig geblieben. Daher wurden die Fanpages für illegal erklärt und die Verein­barung erneut angemahnt.

Auf die Mahnung hin legte Facebook ein paar Tage später eine Verein­barung vor, das sogenannte „Page Controller Addendum“. Mit dieser Zusatz­ver­ein­barung erkennt facebook zum einen die geltende Rechtslage an und übernimmt die Haupt­ver­ant­wortung für den Daten­schutz, dazu zählt insbe­sondere die Erfüllung von Infor­ma­ti­ons­pflichten, Betrof­fe­nen­rechten, Melde­pflichten und Daten­si­cherheit. Die Fanpage-Betreiber müssen klären, dass eine Rechts­grundlage für die Verar­beitung der Insights-Daten besteht. In dem Zusam­menhang stellt sich die Frage, ob und auf welche Weise Kunden oder Besucher der Fanpage über die Daten­ver­ar­beitung im Zusam­menhang mit ihrem Besuch infor­miert werden müssen. Weiterhin müssen die Betreiber den Verant­wort­lichen für die Daten­ver­ar­beitung der Seite benennen und sonstige geltende recht­liche Pflichten erfüllen. Schließlich müssen die Betreiber alle Nutzer­an­fragen oder Anfragen der Aufsichts­be­hörden per Formular an Facebook weiter­leiten und bei der Klärung der Anfragen kooperieren.

Herrn Valk hat die insights-Verein­barung mit Facebook zwar schon mal abgeschlossen, richtig befriedigt hat ihn die Lösung jedoch noch nicht. Sorge bereitet ihm unter anderem die Ankün­digung seiner zustän­digen Daten­schutz­be­hörde, die Daten­schutz­kon­for­mität von Fanpages in der Verwaltung und bei ausge­wählten Unter­nehmen zu prüfen. Erste Städte sollen die Konse­quenz gezogen und sich aus Facebook verab­schiedet haben. Soweit will Herr Valk nicht gehen. Er wartet lieber noch auf die Entscheidung des Bundes­ver­wal­tungs­ge­richts (BVerwG). Der EuGH hatte nämlich noch nicht das letzte Wort gesprochen, sondern nur im Vorla­ge­ver­fahren Fragen beant­wortet, die für ein Urteil des BVerwG streit­ent­scheidend sind.

2019-01-21T15:27:02+01:0021. Januar 2019|Datenschutz, Digitales|

Hier twittert der Betriebsrat… Arbeit­neh­mer­mit­be­stimmung und Social Media

Twitter gehört inzwi­schen zum Standard der Unter­neh­mens­kom­mu­ni­kation. Gerade für Dienst­leister ergeben sich inter­es­sante Werbe­mög­lich­keiten durch einen direkten Draht zur Presse, politi­schen Akteuren und nicht zuletzt zu den Kundinnen und Kunden. Aber dürfen Sie Twitter als Arbeit­geber überhaupt nutzen – oder müssen Sie vorher Ihren Betriebsrat fragen? Das Landes­ar­beits­ge­richt Hamburg hat kürzlich entschieden: Sie müssen. Das ist erstmal erklä­rungs­be­dürftig. Denn inwiefern sind die Arbeit­nehmer davon betroffen, wenn sie sich für die Werbung und Unter­neh­mens­kom­mu­ni­kation neue Wege erschließen?

Tatsächlich geht es in § 87 Betriebs­ver­fas­sungs­gesetz (BetrVG) um technische Einrich­tungen, die zum Überwachen des Verhaltens oder der Leistung von Arbeit­nehmern bestimmt sind. Da fallen einem Stech­uhren oder Video­über­wa­chung ein. Dass es sich bei Twitter aber ebenfalls um so eine Einrichtung handelt, scheint zunächst eher fern zu liegen. Denn es geht ja offen­sichtlich bei Twitter nicht primär darum, Arbeit­nehmer zu überwachen.

Aller­dings hatte das Bundes­ar­beits­ge­richt schon 2016 entschieden, dass ein Account im sozialen Netzwerk Facebook dem Arbeit­geber zur Überwa­chung seiner Arbeit­nehmer dienen kann. Kunden könnten nämlich die inter­ak­tiven Möglich­keiten für Rückmel­dungen auf dem Account des Unter­nehmens für Kritik an seinen Arbeit­nehmern nutzen. Diese wiederum könne der Arbeit­geber einsehen. Deshalb sei die Mitbe­stimmung des Betriebs­rates geboten.

Solche inter­ak­tiven Möglich­keiten, die sich nicht abstellen lassen, bietet nicht nur Facebook mit der Kommen­tar­funktion, sondern auch Twitter mit dem Antworten. Insofern ist es nach der Recht­spre­chung des BAG in gewisser Weise konse­quent, auch bezüglich Twitter ein Mitbe­stim­mungs­recht anzunehmen. Vollkommen zwingend ist es aus unserer Sicht jedoch nicht: Schließlich haben Facebook und Twitter andere Funktionen. Während Facebook sich tatsächlich oft an einzelne Kunden richtet und zur direkten Kommu­ni­kation führt, ist der Benut­zer­kreis von Twitter viel kleiner und richtet sich eher an insti­tu­tio­nelle Akteure und Multi­pli­ka­toren. Insofern ist es auch weniger wahrscheinlich, dass einzelne Kunden bei Twitter einzelne Arbeit­nehmer anschwärzen. Der Arbeit­geber, im konkreten Fall handelt es sich um ein Multiplex-Kino, hat insofern auch Revision eingelegt und das Verfahren zu Twitter ist zur Zeit beim BAG anhängig (Akten­zeichen 1 ABR 40/18).

Wie dem auch sei: Was passiert, wenn der laut Recht­spre­chung der Arbeits­ge­richte nun mitbe­stim­mungs­be­rech­tigte Betriebsrat der Nutzung von Twitter wider­spricht und keine Einigung möglich ist? Dann entscheidet nach § 87 Abs. 2 BetrVG die Einigungs­stelle. Es ist zu hoffen, dass sie eine Lösung findet, die dem Unter­nehmen dient und zugleich den Belangen der Arbeit­nehmer Rechnung trägt.

2018-12-04T12:15:37+01:004. Dezember 2018|Allgemein, Datenschutz, Digitales, Vertrieb|

Der erste DSGVO-Bußgeldbescheid

Wir wetten, die deutschen Unter­nehmen fürchten sich vor der Daten­schutz­grund­ver­ordnung (DSGVO) mehr als der Prophet Mohammed persönlich vor einem Prager Schinken. Hakt man nach, hört man die unglaub­lichsten Anekdoten, was nun alles nicht mehr gehen soll, denn – so sagt der kaufmän­nische Volksmund – es drohen die unglaub­lichsten Strafen in Millio­nenhöhe, wenn nicht gar der sofortige Ruin.

Diesem Schre­ckens­sze­nario wird das erste auf Grundlage der DSGVO nun verhängte Bußgeld nicht gerecht. 20.000 EUR muss das Netzwerk „Knuddels“ zahlen, das besonders von Kindern und Jugend­lichen genutzt wird. Diesem Netzwerk waren durch einen Hacker­an­griff Daten von 330.000 Nutzern, u. a. E‑Mailadressen und Passwörter, abhanden gekommen. Das Unter­nehmen meldete das, der Landes­be­auf­tragte für Daten­schutz und Infor­ma­ti­ons­freiheit (LfDI) Baden-Württemberg wurde aktiv, und dann stellte sich heraus, dass es zu dem Leck wohl gekommen war, weil das Netzwerk auf die Passwörter nicht richtig aufge­passt hatte, es hatte sie entgegen Art. 32 Abs. 1 lit a DS-GVO unver­schlüsselt gespeichert.

Das Unter­nehmen warf sich vor dem LfDI quasi in den Staub. Innerhalb weniger Wochen brachte es seine Daten­ver­ar­beitung auf neuesten Stand, es koope­rierte so vorbildlich, dass das sogar in der Presse­mit­teilung des LfDI lobend erwähnt wird, und es gab für die Aufar­beitung und die Erneuerung der Daten­ver­ar­bei­tungs­struktur einen sechs­stel­ligen Betrag aus. All das fiel bei der Bemessung des Bußgeldes ins Gewicht. Zudem handelt es sich um ein kleineres, deutsches Netzwerk, dessen Jahres­um­sätze weit, weit entfernt sind von denen der kalifor­ni­schen Giganten.

Es geht aus Art. 83 Abs. 2 DSGVO hervor, dass alle diese Punkte sich auf die Höhe des Bußgeldes auswirken sollen. Im Übrigen muss ein Bußgeld stets wirksam, verhält­nis­mäßig und abschre­ckend sein, so steht es in Art. 83 Abs. 1 DSGVO. Gerade die Verhält­nis­mä­ßigkeit, also die Angemes­senheit von Zweck und Mittel, begrenzt die Höhe der Bußgelder. Mit anderen Worten: Auch eine Daten­schutz­be­hörde darf niemanden köpfen, nur weil er sich eine leichte Schus­se­ligkeit zuschulden hat kommen lassen. Das bedeutet: Die in Art. 83 Abs. 4 DSGVO genannten Obergrenzen für Bußgelder von 10 Mio. EUR bzw. 2% der weltweiten Umsätze im voran­ge­gan­genen Geschäftsjahr sind für schwere Fehler und maximal unkoope­rative Verant­wort­liche gedacht.

All das ist in die Bemessung der 20.000 EUR Bußgeld einge­flossen. Zusammen mit den von der Behörde erwähnten sechs­stel­ligen Kosten dürfte der Schaden für das Unter­nehmen zuzüglich des Rufschadens trotzdem erheblich sein, auch wenn zumindest ein Teil des Geldes schon vor dem 25.05.2018 für mehr Daten­schutz hätte ausge­geben werden müssen. Es gibt also keinen Grund, sich beruhigt wieder hinzu­legen und den Daten­schutz gedanklich in den Keller zu schicken. Die verbreitete Panik, man dürfe jetzt gar nichts mehr tun, weil ansonsten der Ruin droht, wird aber, wie dieser Bußgeld­be­scheid zeigt, ebenfalls der Sache nicht gerecht.

2018-11-23T00:23:44+01:0023. November 2018|Datenschutz, Wettbewerbsrecht|