Fanpages, Facebook-Pixel und Like-Button – Der Trend geht leider zur Mithaftung

Die Entscheidung der Europäischen Gerichtshofs zur Mithaftung für
Facebook -Fanpages war im letzten Jahr für viele ihrer Betreiber ein Grund die Fanpages zu schließen (EuGH, C-210/16). Sie wollten nicht für Facebooks mögliche Datenschutzverstöße mithaften.

Nunmehr kündigt sich mit der Mithaftung für den Like-Button der nächste Schlag aus Brüssel an (EuGH, C-40/17). Folgt man diesem Muster, dann zeichnet sich auch beim Facebook-Pixel eine datenschutzrechtliche Mitverantwortung ab.

Heißt es nun, dass Sie alle Social Plugins über Bord werfen und auf die Konversionsmessung oder Bildung von Custom Audiences mit dem Facebook-Pixel verzichten sollten?

Mitnichten, aber Sie sollten die Risiken kennen und zu vermeiden wissen. Daher empfehle ich Ihnen diesen Beitrag zu lesen und die Checklisten am Ende zu beachten. Auch wenn der „Rant statt Fazit“ am Ende eher düster ausfällt, sollten Sie sich dennoch nicht verunsichern lassen.

Sie haften nicht für ganz Facebook mit

Die Entscheidung des EuGH zur Mitverantwortlichkeit für Fanpages wurde häufig missverstanden. Das Gericht entschied nicht, dass die Betreiber für „ganz Facebook“ mithaften oder für jede Verarbeitung der Daten der Fanpagebesucher.

Die sog. „gemeinsame Verantwortlichkeit“ bezog sich nur auf die Mitverantwortung im Hinblick auf die Bildung von „Insights Statistiken“, die allen Fanpage-Betreibern zur Verfügung gestellt werden.

Auch im Hinblick auf den Like-Button lautet die Empfehlung an den EuGH, die Mitverantwortung nur soweit zu erstrecken, wie die Einflussnahme und das Interesse der Websitebetreiber reicht (der EuGH entscheidet auf Grundlage der Empfehlungen von sog. Generalanwälten, denen er in über 80% der Fälle folgt).

Um jedoch nachvollziehen zu können, wie weit Sie mithaften und welche Folgen die Mithaftung nach sich zieht, sollten Sie zuvor wissen, warum Sie für Facebooks Datenverarbeitungen überhaupt mitverantwortlich sind.

Gemeinsame Verantwortlichkeit mit Facebook

Eine gemeinsame Verantwortlichkeit setzt voraus, dass beide Parteien gemeinsam über die Mittel und Zwecke der Verarbeitung entscheiden (Art. 4 Nr. 7 DSGVO, engl. „joint controller“).

Was die Mitentscheidung über die Zwecke angeht, machte es sich das Gericht einfach. Es entschied, dass Sie mit der Eröffnung einer Fanpage über die Mittel der Verarbeitung der personenbezogenen Daten der Fanpagebesucher mitentscheiden. Denn ohne die Fanpage könnten deren Daten nicht erhoben werden.

Den gemeinsam verfolgten Zweck sah das Gericht wiederum in der Bildung der Insights-Statistiken der Fanpages. Sowohl Facebook, als auch die Fanpagebetreiber können die darin enthaltenen Angaben zur Demografie der Besucher (z.B. Alters und Geschlechterverteilung), sowie deren Interessen und Verhalten (z.B. Beliebtheit von Beiträgen) für eigene Zwecke nutzen. Z.B., um Inhalte oder Werbung auf die Besucher passend zuzuschneiden.

Dabei war es für das Gericht irrelevant, dass die Fanpagebtreiber nur zusammengefasste, d.h. anonyme Daten ihrer Besucher sehen. Relevant ist nur, dass die Daten bei einem der gemeinsam Verantwortlichen, hier bei Facebook, personenbezogen verarbeitet werden.

Dasselbe wird der EuGH sehr wahrscheinlich auch zum Like-Button entscheiden.

Mithaftung für den Like-Button

Im Fall des Like-Buttons dürfte die Entscheidung zu den Fanpages dem EuGH als Blaupause dienen. Daran lässt die Urteilsempfehlung des Generalanwalts wenig Zweifel.

Die Einbindung des Like-Buttons in die eigene Website stellt danach eine Mitentscheidung über die Mittel der Verarbeitung der Daten der Websitebesucher durch Facebook dar. Auch die Zwecke der Websitebetreiber decken sich mit denen von Facebook, als beide an einer Verbreitung ihrer Inhalte auf Grundlage der mit dem Social Plugin erhobenen Daten sind.

Konsequenterweise müsste dasselbe dann auch für das Facebook-Pixel gelten.

Mithaftung für das Facebook-Pixel

Wenn schon die gemeinsamen Marketinginteressen bei einem Like-Button zu gemeinsamer Verantwortlichkeit führen, dann muss das erst recht für das Facebook-Pixel gelten.

Immerhin verfolgen sowohl Facebook, als auch die Nutzer des Pixels den Zweck, ihre Inhalte oder Ads möglichst genau auf die potentiellen Interessen der Websitebesucher zuzuschneiden (sog. „Profiling“, Art. 4 Nr. 4 DSGVO).

Nachdem nun deutlich ist, wie niedrig die Schwelle zur datenschutzrechtlich Mitverantwortlichkeit ist, ist es wichtig, dass Sie deren Folgen kennen.

Auskunfts-, Löschungs- und Informationspflichten

Gemeinsame Verantwortlichkeit bedeutet zunächst, dass Sie zusammen mit Facebook für die Erfüllung der Informationspflichten und Beachtung der Rechte der Fanpage- oder Websitebesucher verpflichtet sind (Art. 26 DSGVO) und bei Nichtbeachtung dafür einstehen können. Umgekehrt steht auch Facebook für Ihre Fehler ein.

D.h. insbesondere, dass die Besucher Ihrer Onlinepräsenzen sich sowohl an Facebook, als auch an Sie wenden können, um Auskunft über die Verarbeitung ihrer Daten durch Facebook oder deren Löschung zu verlangen. Ebenso sind Sie mitverpflichtet für Datenschutzhinweise zu sorgen, aus denen sich auch die wesentlichen Aspekte der gemeinsamen Verantwortlichkeit ergeben.

Neben den praktischen Folgen bringt die DSGVO auch lästige formelle Pflichten mit sich.

Vertrag über gemeinsame Verarbeitung

Die DSGVO verpflichtet die gemeinsam Verantwortlichen zum Abschluss einer Vereinbarung, in der sie festlegen, wer welche Aufgaben und Pflichten übernimmt (sog. „Joint Controller Addendum/Agreement“ Art. 26 Abs. 3 S. 1 DSGVO).

Im Hinblick auf Fanpages bietet Facebook eine solche Vereinbarung als AGB-Ergänzung an. In dieser „Seiten-Insights-Ergänzung bezüglich des Verantwortlichen“ legt Facebook fest, primär für die Verarbeitung der Daten der Fanpagebesucher zur Bildung der Insights-Statistiken verantwortlich zu sein und auch die o.g. Informations- und Auskunftspflichten zu erfüllen. Dazu müssen Fanpagebetreiber Nutzer- und Behördenanfragen innerhalb von 7 Tagen an Facebook weiterleiten.

Wenn die Rechtslage sich jedoch so entwickelt wie befürchtet, dann wird eine AGB-Ergänzung für Social Plugins und und ggf. noch eine für das Facebook-Pixel folgen müssen.

Das alles, obwohl Sie eine Vereinbarung mit Facebook nicht mal von allen Pflichten und Risiken befreien kann.

Welche Rechtsgrundlage gilt für Sie?

Auch im Fall einer gemeinsamen Verantwortlichkeit benötigen Sie eine eigene Rechtsgrundlage für Ihren „Anteil“ an der Verarbeitung der Daten der Fanpagebesucher, Einbindung des Like-Buttons oder eines Facebook-Pixels.

Im Fall der Fanpages können Sie sich m.E. auf berechtigte Interessen berufen, die auch den Einsatz von Facebook-Diensten zu Marketingzwecken umfassen (Art. 6 Abs. 1 lit f. DSGVO). Bei öffentlichen Stellen kommt die Erfüllung öffentlicher Aufgaben, wie z.B. der Information von Bürgern in Frage (Art. 6 Abs. 1 lit e. DSGVO).

Dieselben Rechtsgrundlagen gelten auch bei Like-Buttons oder Facebook-Pixeln, außer Sie holen eine Einwilligung der Nutzer in deren Verwendung ein. Dies kann z.B. über ein Cookie-Einwilligungsbanner oder über die 2-Klick-Lösung geschehen.

Allerdings sollten Sie daran denken, dass Datenschutzbehörden die meisten Cookie-Banner für unwirksam halten und eine Einwilligung auch bei Fanpages fordern.

Einwilligungen und Cookie-Banner

Nach der Ansicht der Aufsichtsbehörden darf ein Facebook-Pixel oder ein Social-Plugin erst dann eingesetzt werden, wenn die Websitebesucher die Einwilligung gegeben haben. Das ist bei den meisten Cookie-Bannern derzeit nicht der Fall, da die Plugins oder Pixel in der Regel bereits mit Aufruf einer Website aktiv sind. D.h. noch bevor die Websitebesucher um eine Einwilligung gebeten werden.

Ob Sie sich nach den nicht unwidersprochenen Ansichten der Datenschützer richten oder erst eine Opt-In-Pflicht per gerichtlichen EuGH-Urteil oder Gesetz abwarten möchten, ist eine Frage der noch folgenden Risikoabwägung.

Die Datenschutzbehörden halten wohl auch den Betrieb von Fanpages für unzulässig, da auch Daten von Besuchern, die keine Mitglieder von Facebook sind, ohne ein Opt-In verarbeitet werden. Allerdings fließen die Daten der Nichtmitglieder, zumindest nach dem Wissen des Verfassers, nicht in die Insights-Statistiken mit ein, weswegen keine Mitverantwortung der Fanpagebetreiber vorläge.

Allerdings müssen Sie sich neben der Rechtsgrundlage und den Cookies, auch Gedanken über wirksame Widerrufs- und Widerspruchsmöglichkeiten (Opt-Out) für Ihre Websitebesucher machen.

Eigenes Opt-Out

Betroffene Personen müssen laut Gesetz ihre Einwilligungen widerrufen und auch sonst der Verarbeitung ihrer Daten zu Marketingzwecken widersprechen können (Art. 7 Abs. 3, 21 Abs. 2 DSGVO).

Bei Fanpages können die Besucher diese Rechte direkt gegenüber Facebook geltend machen. Im Hinblick auf Ihre Website beim Einsatz des Facebook-Pixels und der Social Plugins, sind jedoch Sie selbst verantwortlich.

Daher sollten Ihre Websitebesucher deren Einwilligungen per Klick auf einen Opt-Out-Button oder Link widerrufen können. Im Fall der 2-Klick-Lösung beim Like-Button, muss der Nutzer seine Einwilligung ohnehin bei jedem Websitebesuch neu erklären, also ist ein gesondertes Widerrufsrecht nicht notwendig.

Setzen Sie jedoch das Facebook-Pixel oder den Like-Button mit einem bloßen „Cookie-Hinweis“ ein (d.h. schon bevor die Websitebesucher eine Einwilligung abgegeben haben) oder sogar ohne diesen ein, dann müssen Sie ein eigenes Opt-Out erstellen.

Ein eigenes Opt-Out-Verfahren können Sie auch per Eigenbau einrichten, für manche redaktionelle Systeme wie WordPress gibt es passende Plugin-Lösungen.

Denken Sie jedoch daran, Ihre Websitebesucher sowohl über diese Opt-Out-Möglichkeiten, als auch über Ihre Rechtsgrundlage der Nutzung der Facebook-Dienste und Fanpages in Ihrer Datenschutzerklärung zu informieren.

Hinweise in der Datenschutzerklärung

An sich hält Facebook bereits eine allgemeine Datenschutzrichtlinie, eine Cookie-Richtlinie und speziell für Fanpages „Informationen zu Seiten-Insights-Daten“ bereit.

Allerdings müssen Sie über die Nutzung der Facebook-Dienste selbst informieren, da Sie z.B. die vorgenannte Rechtsgrundlage Ihres Anteils an Facebook Datenverarbeitung und Nutzer z.B. auf deren Auskunfts- oder Widerspruchsrechte hinweisen müssen.

Ferner bringen Datenschutzhinweise einen Vorteil, wenn Ihr berechtigtes Interesse an der Nutzung der Facebook-Dienste mit Schutzinteressen der betroffenen Besucher abgewogen wird.

Daher sollten Sie entsprechende Passagen zu den Like-Buttons, dem Facebook-Pixel oder der Fanpage, auch in Ihrer Datenschutzerklärung aufnehmen.

Auf den Fanpages besteht das zusätzliche Probleme, dass Sie zwar einen Link zur Datenschutzerklärung angeben können, dieser allerdings nur in der „Info“-Unterrubrik sichtbar ist (dort im Feld „Datenrichtlinie“). Allerdings entschieden zumindest deutsche Gerichte bisher, dass der durchschnittliche Fanpagebesucher im Bereich „Info“ kein Impressum vermutet, was auch für eine Datenschutzerklärung gelten dürfte. Daher müssen Sie auf Workarounds ausweichen:

Trotz der ergriffenen Maßnahmen könnten Sie trotzdem auf andere Ansichten seitens Datenschutzbehörden und Datenschutzbeauftragten treffen, weswegen Sie die verbleibenden Risiken abwägen sollten.

Gegenwärtiges Risiko von Bußgeldern

Mit dem Datenschutzrecht ist es ein bisschen, wie mit Schrödingers Katze. Bis der EuGH über Streitfragen keine Entscheidung getroffen hat, können viele Ansichten vertreten werden. In einer derart unsicheren Rechtslage ist es wichtig, dass Sie wissen, welche Risiken praktisch drohen.

Was Bußgelder angeht, ist die Übung zumindest bisher so gewesen, dass Datenschutzbehörden in umstrittenen Fällen keine Bußgelder verhängen, sondern zunächst z.B. mit einer Untersagungsverfügung agieren. Auch wenn die Aufsichtsbehörden die Drohszenarien erhöhen, so scheinen sie zumindest bisher diesem Prinzip treu zu sein.

Das gilt um so mehr, als Datenschutzbehörden sich direkt gegen Facebook richten könnten.

Gerechtes Ermessen und Unzuständigkeiten

Insbesondere bei Fanpages würde ich ein direktes Vorgehen gegen die Betreiber für bedenklich halten, da die Behörden sich direkt gegen Facebook richten könnten. Das letzte Bußgeld gegen Google in Höhe von 50 Millionen Euro (was noch moderat ist) zeigt, dass Datenschutzbehörden dank der DSGVO nunmehr wirksame Strafmittel auch gegen große Konzerne haben.

Hinzu kommt, dass Facebook mit den Fanpage-Betreibern vereinbart hat, dass die irischen Datenschutzbehörden zumindest als federführende Aufsichtsbehörde dienen sollen. In diesem Fall müsste eine deutsche Datenschutzbehörde besonders begründen, warum sie gegen Fanpage-Betreiber vorgehen müssen.

Damit ist das Risiko im Hinblick auf Datenschutzbehörden momentan hinreichend vertretbar. Daneben besteht jedoch noch das Risiko von Abmahnungen.

Risiko von Abmahnungen

Ob neben Bußgeldern der Datenschutzbehörden auch Mitbewerber Abmahnungen wegen Datenschutzverstößen aussprechen können, ist derzeit umstritten. Daneben wären ohnehin die Betroffenen selbst, also Fanpage- oder Websitebesucher, ebenfalls berechtigt eine Abmahnung auszusprechen und zudem einen Schadensersatz zu verlangen (Art. 82 DSGVO).

Allerdings sind Abmahnungen bei unklarer Rechtslage unüblich. Immerhin riskieren die Abmahnenden selbst die Kosten zu tragen oder Mitbewerber eine Gegenabmahnung (im Datenschutzrecht ist kaum jemand perfekt).

Ferner werden die Kosten der Abmahnung, lägen diese auch bei z.B. 5.000 Euro, zumindest bei einer strategisch und wirtschaftlich sinnvollen Nutzung der Fanpages, Social Plugins oder der Facebook-Pixel oft durch die Vorteile aufgefangen.

Zusammenfassung und Checkliste für Fanpages

• Lt. EuGH sind Fanpagebetreiber für die Verarbeitung der Daten der Fanpagebesucher zur Erstellung von Insights-Statistiken verantwortlich. Allerdings ist die weitere Verarbeitung der Daten durch Facebook nicht von der Mithaftung umfasst.
• Problematisch ist die Erhebung von Daten der Fanpagebesucher, die keine Facebook-Mitglieder sind, ohne nach deren Einwilligung zu fragen. Anderseits werden deren Daten nicht für Insights-Statistiken verwendet, so dass die Frage maßgeblich ist, ob eine Mitverantwortung vorliegt.
• Facebook hat eine spezielle Vereinbarung gestellt, die Teil der AGB ist und die gemeinsame Verantwortlichkeit regelt.
• Anfragen der Nutzer oder Aufsichtsbehörden müssen innerhalb von 7 Tagen an Facebook weitergeleitet werden.
• In der eigenen Datenschutzerklärung sollten Datenschutzhinweise zur Rechtsgrundlage Ihrer Nutzung der Fanpage mit Verweis auf Facebooks Datenschutzhinweise aufgenommen werden. Auf die Datenschutzerklärung sollten Sie bereits auf der Startseite der Fanpage hinweisen.
• Zusammenfassend ist das Risiko beim Betrieb einer Fanpage zumindest wirtschaftlich (und m.E. auch generell) vertretbar.

Hinweis- und Checkliste für Social Plugins

• Am sichersten ist die Nutzung mit einer „echten“ Einwilligung (z.B. via Cookie-Banner, das auch Social Plugins mitumfasst) oder einer 2-Klick-Lösung (z.B. im Fall der Like-Buttons oder eingebetteter Inhalte).
• Ohne eine Einwilligung besteht die Gefahr von Bußgeldern oder Abmahnungen, die derzeit wirtschaftlich betrachtet vertretbar ist.
• Weniger sicher, aber trotzdem risikomindernd ist die Nutzung mit einem bloßen Cookie-Hinweis.
• In allen Fällen müssen die Nutzer ein Widerrufs- bzw. ein Widerspruchsrecht haben. D.h. eine erteilte Einwilligung muss widerrufbar sein. Wird das Social-Plugin schon beim Aufruf der Website ausgeführt, sollten Sie eine eigene Opt-Out-Lösung mit denen dessen Ausführung für die Zukunft verhindert wird, anbieten.
• In jedem Fall sollten Ihre Datenschutzhinweise Hinweise zur Funktionsweise sowie Rechtsgrundlagen der eingesetzten Facebook-Dienste sowie den Widerspruchsmöglichkeiten der Nutzer einsetzen.
• Sollte der EuGH auch wie erwartet bei Social-Plugins eine gemeinsame Verantwortlichkeit (wie bei Fanpages) annehmen, wird die Nutzung nur mit einer zusätzlichen Vereinbarung über gemeinsame Verantwortlichkeit zulässig sein. Diese müsste Facebook dann stellen.

Hinweis- und Checkliste für das Facebook-Pixel

• Am Sichersten ist die Nutzung mit einer „echten“ Einwilligung (z.B. via Cookie-Banner).
• Ohne eine Einwilligung besteht die Gefahr von Bußgeldern oder Abmahnungen, die derzeit wirtschaftlich betrachtet vertretbar ist.
• Weniger sicher, aber trotzdem risikomindernd ist die Nutzung mit einem bloßen Cookie-Hinweis.
• In allen Fällen müssen die Nutzer ein Widerrufs- bzw. ein Widerspruchsrecht haben. D.h. eine erteilte Einwilligung muss widerrufbar sein. Wird das Facebook-Pixel schon beim Aufruf der Website ausgeführt, sollten Sie eine eigene Opt-Out-Lösung anbieten, mit deren Hilfe der erneute Aufruf des Facebook-Pixels unterbunden wird.
• In jedem Fall sollten Ihre Datenschutzhinweise Hinweise zur Funktionsweise sowie Rechtsgrundlagen der eingesetzten Facebook-Dienste sowie den Widerspruchsmöglichkeiten der Nutzer einsetzen.
• Sollte der EuGH auch bei Social-Plugins eine gemeinsame Verantwortlichkeit (wie bei Fanpages) annehmen, sprechen viele Gründe dafür, dass dies auf für Facebook-Pixel gelten wird. D.h. auch hier wird eine zusätzliche Vereinbarung über gemeinsame Verantwortlichkeit erforderlich sein. Diese müsste Facebook dann stellen.

Rant statt Fazit

In diesem Beitrag ging es um Fanpages, Social Plugins und das Facebook-Pixel. Aber denken Sie weiter:

• Haben Sie zufällig einen Kanal bei YouTube der Ihnen demografische Analysen zu Ihren Zuschauern anzeigt?
• Binden Sie vielleicht Affiliate-Widgets ein verfolgen mit dem Anbieter das gemeinsame Ziel Abschlüsse zu erzielen?
• Nutzen Sie Analytics-Pixel, von deren Daten nicht nur Sie, sondern auch die Anbieter profitieren?

Die Liste ließe sich noch länger fortführen. Ich hoffe dennoch, dass diese Entwicklung sich  nicht fortsetzt, denn sie ist m.E. wenig zielfördernd.

Es kann in einer solchen Konstellationen kaum damit gerechnet werden, dass z.B. ein Fanpage-Betreiber die Fanpagebesucher über die bei Facebook gespeicherten Daten beauskunften kann. Wäre das möglich, dann wäre das genau das Gegenteil vom Datenschutz.

Zwar sagt der EuGH, dass der Umfang der Mithaftung im Verhältnis zum eigenem Beitrag, demnach eher gering bleiben muss. Das nützt aber wenig, wenn schon ein Mindestmaß an Mithaftung, die volle datenschutzrechtliche Bandbreite mit Abschluss spezieller Verträge, Auskunftspflichten und Informationspflichten mit sich bringt, die den Betroffenen praktisch keine Vorteile bringen.

Daher wäre es m.E. in Situationen wie diesen angebracht, entweder die Schwelle für die datenschutzrechtlich Mitverantwortung anzuheben oder ihre gesetzlichen Folgen nicht (oder nur zum Teil) anzuwenden.

Derzeit sieht es zwar nicht danach aus, dass sich dieser Wunsch erfüllt. Jedoch ist die Rechtsprechung noch in ihrer „Findungsphase“. Bevor Sie also auf Facebook und Social Media ganz verzichten, empfehle ich vorerst abzuwarten und die Rechtsentwicklung zu beobachten.

Hinweis: Bitte beachten Sie, dass dieser Artikel die Rechtslage im Zeitpunkt seines Erscheinens betrachtet und die wesentlichen Punkte unverbindlich zusammenfasst, da alle rechtlichen Aspekte den Umfang des Artikels sprengen würden.