Das Bundesverwaltungsgericht hat entschieden, dass der Betreiber eines im sozialen Netzwerk Facebook unterhaltenen Unternehmensauftritts (Fanpage) verpflichtet werden kann, seine Fanpage abzuschalten, falls die von Facebook zur Verfügung gestellte digitale Infrastruktur schwerwiegende datenschutzrechtliche Mängel aufweist.
Gegenstand des zugrunde liegenden Revisionsverfahrens war eine Anordnung der schleswig-holsteinischen Datenschutzaufsicht, mit der die Klägerin, eine in Kiel ansässige Bildungseinrichtung, unter der Geltung der Datenschutzrichtlinie (Richtlinie 95/46/EG) verpflichtet worden war, die von ihr bei Facebook betriebene Fanpage zu deaktivieren. Der Bescheid beanstandete, dass Facebook bei Aufruf der Fanpage auf personenbezogene Daten der Internetnutzer zugreife, ohne dass diese gemäß den Bestimmungen des Telemediengesetzes über Art, Umfang und Zwecke der Erhebung sowie ein Widerspruchsrecht gegen die Erstellung eines Nutzungsprofils für Zwecke der Werbung oder Marktforschung unterrichtet würden. Ein gegenüber der Klägerin als Betreiberin der Fanpage erklärter Widerspruch des Nutzers bleibe mangels entsprechender technischer Einwirkungsmöglichkeiten folgenlos.
Vorinstanzen verneinen datenschutzrechtliche Verantwortlichkeit
Die Klage hatte in den Vorinstanzen Erfolg. Das Oberverwaltungsgericht hat eine datenschutzrechtliche Verantwortlichkeit der Klägerin abgelehnt, weil sie keinen Zugriff auf die erhobenen Daten habe. Dagegen wandte sich der Beklagte im vorliegenden Revisionsverfahren.
EuGH bejaht Mitverantwortung von Fanpage-Betreibern bei Datenverarbeitung
Auf Vorlage des Bundesverwaltungsgerichts (Beschluss vom 25. Februar 2016 -
BVerwG 1 C 28.14) entschied der Gerichtshof der Europäischen Union mit Urteil vom 5. Juni 2018, dass der Betreiber einer Fanpage für die durch Facebook
erfolgende Datenverarbeitung mitverantwortlich ist. Denn er ermöglicht durch den Betrieb der
Fanpage Facebook den Zugriff auf die Daten der Fanpage-Besucher.
Klägerin durfte grundsätzlich für Herstellung datenschutzkonformer Zustände bei Nutzung der Fanpage in die Pflicht genommen werden
Das Bundesverwaltungsgericht hat auf der Grundlage dieser bindenden Vorgabe das Berufungsurteil aufgehoben und den Rechtsstreit an das Schleswig-Holsteinische Oberverwaltungsgericht zurückverwiesen. Um das von der Datenschutzrichtlinie bezweckte hohe Datenschutzniveau möglichst zügig und wirkungsvoll durchzusetzen, konnte sich der Beklagte bei der Auswahl unter mehreren datenschutzrechtlichen Verantwortlichen vom Gedanken der Effektivität leiten lassen und ermessenfehlerfrei die Klägerin für die Herstellung datenschutzkonformer Zustände bei Nutzung ihrer Fanpage in die Pflicht nehmen. Er musste nicht gegen eine der Untergliederungen oder Niederlassungen von Facebook vorgehen, weil das wegen der fehlenden Kooperationsbereitschaft von Facebook mit erheblichen tatsächlichen und rechtlichen Unsicherheiten verbunden gewesen wäre. Erweisen sich die bei Aufruf der Fanpage
ablaufenden Datenverarbeitungen als rechtswidrig, so stellt die Deaktivierungsanordnung ein
verhältnismäßiges Mittel dar, weil der Klägerin keine anderweitige Möglichkeit zur Herstellung datenschutzkonformer Zustände offensteht.
Mögliche Rechtswidrigkeit der beanstandeten Datenverarbeitungsvorgänge bedarf näherer Aufklärung
Zur Frage der Rechtswidrigkeit der beanstandeten Datenverarbeitungsvorgänge bedarf es einer
näheren Aufklärung der tatsächlichen Umstände durch das Berufungsgericht. Die Rechtmäßigkeit der bei Aufruf der klägerischen Fanpage ablaufenden Datenverarbeitungsvorgänge ist an den Vorgaben des im Zeitpunkt der letzten Behördenentscheidung gültigen Datenschutzrechts, insbesondere an den Vorschriften des Telemediengesetzes, denen die Klägerin als Betreiberin unterliegt, zu messen.
- Vorinstanz:
- VG Schleswig hebt Anordnungen des ULD betreffend Fanpages bei Facebook auf ( Schleswig-Holsteinisches VerwaltungsgerichtUrteil[Aktenzeichen: 8 A 218/11, 8 A 14/12, 8 A 37/12] )
- Wirtschaftsakademie kann nicht zur Abschaltung der Facebook-Fanpage verpflichtet werden ( Schleswig-Holsteinisches OberverwaltungsgerichtUrteil[Aktenzeichen: 4 ÖB 20/13] )
- Betreiber einer Facebook-Fanseite trägt gemeinsam mit Facebook Verantwortung für Verarbeitung personenbezogener Daten von Webseitenbesuchern ( Gerichtshof der Europäischen UnionUrteil[Aktenzeichen: C-210/16] )
Angaben zum Gericht:
- Gericht:Bundesverwaltungsgericht
- Entscheidungsart:Urteil
- Datum:11.09.2019
- Aktenzeichen:BVerwG 6 C 15.18