EuGH-Urteil zu Like-Button Wer muss für den Datenschutz sorgen?
Früher war der Facebook-Like-Button auf vielen Internetseiten eingebettet. Heute ist er fast verschwunden. Das liegt auch daran, dass unklar ist, wer wie für Datenschutz sorgen muss. Das soll sich jetzt ändern.
Worum geht es?
Viele Website-Betreiber arbeiten mit Plugins von Drittanbietern. Das heißt, sie binden auf ihren Seiten etwa den Facebook-Gefällt-mir-Button oder Google Maps ein. Während der Gefällt-Mir-Button kaum noch zu finden ist, ist gerade ein Google-Maps-Plugin weiterhin sehr üblich.
Auf der Website "FashionID" - dem Online-Shop des Düsseldorfer Modehauses Peek & Cloppenburg - war der Facebook-Like-Button bis Ende Mai 2015 eingebunden. Dadurch wurden beim Besuch der Seite automatisch die Daten der Nutzer (etwa die IP-Adresse) an Facebook weitergeleitet - unabhängig davon, ob Nutzer den Button angeklickt hatten. Auch wer kein Facebook-Konto hatte, musste mit einer Weitergabe seiner Daten rechnen.
Warum beschäftigt der Fall jetzt die Gerichte?
Die Verbraucherzentrale NRW hält die automatische Weitergabe der Daten an Facebook für rechtswidrig und forderte FashionID auf, den Like-Button nicht mehr auf diese Weise zu nutzen. Das Unternehmen kam dem nicht nach, so landete der Fall vor Gericht.
Facebook selbst ist dem Gerichtsverfahren auf der Seite von FashionID beigetreten. Da es dabei auch um europäisches Datenschutzrecht geht, muss nun der Europäische Gerichtshof (EuGH) einige Fragen klären. Darunter: Ist für die Weitergabe der Daten über den Gefällt-Mir-Button nur Facebook verantwortlich? Oder auch der Betreiber der Internetseite, der das Plugin installiert hat?
Wie könnte das Urteil ausgehen?
Vergangenes Jahr mussten sich die Richter schon einmal mit ähnlichen Fragen beschäftigen. Damals ging es um die Frage, ob die Betreiber einer Facebook-Fanpage gemeinsam mit dem sozialen Netzwerk für den Datenschutz der Nutzer verantwortlich sind. Die Antwort war: ja. Fanpage-Betreiber entschieden nämlich mit, welche Daten (etwa Alter, Geschlecht, Beziehungsstatus, Online-Kaufverhalten) ihrer Nutzer erhoben werden sollen. Das ermögliche ein gezieltes Informationsangebot.
Das Urteil zum Gefällt-Mir-Button könnte eine Fortschreibung dieser Entscheidung werden. Der Generalanwalt - der den Fall vorab unverbindlich für die Richter prüft - geht davon aus, dass Website-Betreiber "mitverantwortlich" sind für Plugins von Drittanbietern. Denn durch das Einbinden würden sie willentlich Daten ihrer Nutzer erheben und etwa an Facebook übermitteln, um die Sichtbarkeit ihrer Produkte über das soziale Netzwerk zu erhöhen - letztlich also aus einem kommerziellen Zweck. FashionID selbst ist der Ansicht, dass das Unternehmen "mangels Einflussnahmemöglichkeiten" keine Verantwortung tragen könne.
Welche Folgen könnte das Urteil haben?
Wenn auch der Betreiber der Website datenschutzrechtlich in der Verantwortung steht, müsste er seine Nutzer darüber aufklären, welche Daten wann an wen weitergegeben werden sollen. Außerdem bräuchte er für die Weitergabe der Daten eine Einwilligung. Teilweise passiert genau das bereits: FashionID etwa stellte 2015 - nach der Abmahnung durch die Verbraucherzentrale - auf eine sogenannte "Zwei-Klick-Lösung" um. Website-Besucher müssen jetzt aktiv die Nutzung von Social Media auf der Seite aktivieren. Dabei müssen sie einer Datenschutzerklärung zustimmen, in der steht, was mit den Daten geschieht.
Aus Sicht der Verbraucherzentrale ist das ein Schritt in die richtige Richtung. Inwieweit diese neue Vorgehensweise den gesetzlichen Anforderungen entspricht, wollten die Verbraucherschützer aber noch nicht bewerten.
Ändert sich mit der Datenschutzgrundverordnung etwas an dem Fall?
Die ursprüngliche Abmahnung der Verbraucherzentrale ist schon einige Jahre alt, deshalb wird der EuGH noch auf Grundlage der alten Datenschutz-Richtlinie urteilen. Aber: Der Begriff des datenschutzrechtlich "Verantwortlichen" ist in der alten Richtlinie und der neuen Verordnung sehr ähnlich definiert. Das heißt, das Urteil wird sich wohl auf die neue Rechtslage übertragen lassen. Und vielleicht äußern sich die Richter ja auch nebenbei ausdrücklich zur Datenschutzgrundverordnung.
