Müssen Unternehmen ihre Facebook-Seite abschalten?

In den letzten Monaten hat ein Großteil der Unternehmen in Anbetracht der Datenschutz-Grundverordnung die Nutzung von Social Media überdacht. In seinem Urteil vom 5. Juni 2018 (AZ: C-210/16) verschärfte der Europäische Gerichtshof (EuGH) die Situation mit seiner Entscheidung, dass nicht nur Facebook, sondern auch die Betreiber von sogenannten Fanpages für die Verarbeitung personenbezogener Daten mitverantwortlich sein können.

Im konkreten Fall – aus dem Jahr 2011 – hatte die Wirtschaftsakademie Schleswig-Holstein gegen einen Bescheid des Unabhängigen Landeszentrums für Datenschutz Schleswig-Holstein (ULD) geklagt. Dieses hatte wegen des fehlenden Hinweises zur Verarbeitung von personenbezogenen Daten die Abschaltung der Akademie-Fanpage angeordnet. Der EuGH stellte nun klar, dass er den Begriff des „für die Verarbeitung Verantwortlichen“ weit auslegt: Durch die Parametrierung des Zielpublikums sei die Wirtschaftsakademie bei der Entscheidung über Zweck und Mittel der Verarbeitung beteiligt, weswegen sie gemeinsam mit Facebook verantwortlich sei.

Die eigene Datenschutzerklärung muss überarbeitet werden und es sollte von der Fanpage auf diese verlinkt werden.

Um Bußgelder zu vermeiden, wird gemäß Artikel 26 DSGVO eine Vereinbarung zwischen den Verantwortlichen geschlossen werden müssen, die alle Verantwortlichkeiten bei der Datenverarbeitung regelt. Das erfordert die Mitarbeit des anderen Verantwortlichen, also etwa von Facebook. Die Konferenz der unabhängigen Datenschutzbehörden (DSK) schlussfolgert, dass „die Fanpage-Betreiber ihre datenschutzrechtliche Verantwortung nur erfüllen können, wenn Facebook selbst an der Lösung mitwirkt und ein datenschutzkonformes Produkt anbietet“. Solange das nicht der Fall ist, muss eine angepasste Datenschutzerklärung ausreichen.