Recht aktuell
Facebookverbot für Kommunen?
Facebook: Datenschutzrechtliche Bedenken
Denn bereits im Jahr 2018 hat die Konferenz der unabhängigen Datenschutzaufsichts behörden des Bundes und der Länder beschlossen, dass ein datenschutzkonformer Betrieb von Facebook-Fanpages nicht sichergestellt sei. Anlass hierzu war die Entscheidung des Europäischen Gerichtshofs in Sachen „Wirtschaftsakademie“. Dort stellte der EuGH fest, dass der jeweilige Betreiber einer Facebook-Fanpage und Facebook (Meta) sogenannte gemeinsame Verantwortliche nach Art. 26 Abs. 1 der Datenschutzgrundverordnung seien, da sich die Interessen der Betreiber von Fanpages und von Meta ergänzten. Denn beide haben ein Interesse daran, dass das Netzwerk wächst, der sogenannte Netzwerkeffekt. Der Fanpage-Betreiber zieht einen Nutzen, weil sich seine Reichweite erhöht und mehr Bürger erreicht werden können. Meta wiederum profitiert insoweit, als es mithilfe der über die Fanpage gewonnenen Daten die auf dem Netzwerk bereit gestellte Werbung optimieren kann.
Datenchutzbeauftragter gegen Betrieb der Facebook-Fanpage
Folge ist, dass zwischen den von Fanpages und Meta ein sogenannter Vertrag über die gemeinsame Verantwortlichkeit geschlossen werden muss, in dem festgelegt wird, wer von ihnen welche Verpflichtung nach der Datenschutzgrundverordnung übernimmt. Ein Gutachten der Datenschutzkonferenz aus dem Jahr 2022 bestätigte diese Auffassung. Nun hat der Bundesdatenschutzbeauftragte knapp viereinhalb Jahre später dem Bundespresseamt den Betrieb der Facebook-Fanpage der Bundesregierung untersagt. Denn: Einen Vertrag mit Meta über die gemeinsame Verantwortlichkeit konnte das Bundespresseamt bis zuletzt auch im Rahmen der Anhörung nicht vorlegen.
Dabei liegt es nicht daran, dass es für derartige Vereinbarungen keine Muster gäbe, oder aber die zu regelnde Materie besonders komplex sei. Meta sieht – anders als die Datenschutzaufsichtsbehörden – schlicht nicht die Notwendigkeit, derartige Verträge mit Fanpage-Betreibern abzuschließen. In der Folge haben auch die Betreiber kommunaler Fanpages keine entsprechenden Vereinbarungen vorzuweisen, denn das von Meta bereitgestellte sogenannte Addendum „Seiten-Insights-Ergänzungen“ ist nicht ausreichend.
Seine Untersagungsverfügung stützt der Bundesdatenschutzbeauftragte zudem darauf, dass keine hinreichende Rechtsgrundlage für die Verarbeitung personenbezogener Daten auf der FacebookFanpage vorliegt. Angesprochen sind damit die bei Nutzung der Fanpage durch Facebook gesetzten Cookies. Hierbei handelt es sich um kleine Datensätze, die – mit unterschiedlicher Lebensdauer – zwischen dem Server und dem Browser ausgetauscht werden.
Dabei merkt der Datenschutzbeauftragte zunächst an, dass die Verarbeitungszwecke der durch Facebook gesetzten Cookies teilweise nicht nachvollziehbar seien. Jedenfalls aber stehe fest, dass es sich nicht ausschließlich um aus technischer Sicht zum Seitenbetrieb unbedingt erforderliche Cookies handle. Diese Feststellung ist von erheblicher Bedeutung. Denn § 25 des seit dem Jahr 2021 geltenden Telekommunikation-Telemedien-Datenschutz-Gesetzes fordert außerhalb der technisch notwendigen Cookies eine Einwilligung des Nutzers.
Cookie-Banner und der Datenschutz
Die Anforderungen an eine datenschutzrechtliche Einwilligung ergeben sich unmittelbar aus der Datenschutzgrundverordnung. So muss jede Einwilligung freiwillig, für einen bestimmten Fall, in informierter Weise, unmissverständlich und durch eine eindeutig bestätigende Handlung abgegeben werden. Dadurch ist eine der aktuell im Datenschutzrecht meistdiskutierten Fragen aufgeworfen: Welche Anforderungen sind an die Ausgestaltung eines sogenannten Cookie-Banners zu stellen, um den – hohen – Anforderungen der Datenschutzgrundverordnung an eine Einwilligung nachzukommen? Nachdem zuletzt etwa das Landgericht München zu dem Ergebnis kam, dass das Cookie-Banner von „focus.de“ nicht den datenschutzrechtlichen Vorgaben genüge, kommt der Datenschutzbeauftragte bei der Facebook-Fanpage des Bundes zum gleichen Ergebnis: Zum einen reichten die im Cookie-Banner dargestellten Informationen nicht aus, um dem Nutzer eine informierte Entscheidung über die Verarbeitung seiner personenbezogenen Daten zu ermöglichen. Zum anderen sei dem Nutzer auch keine freiwillige Entscheidung möglich.
Dies macht der Datenschutzbeauftragte einerseits an der – aus seiner Sicht – missverständlichen Auswahlmöglichkeit „Nur erforderliche Cookies erlauben“ fest. Hiermit werde dem Nutzer die tatsächlich nicht bestehende Möglichkeit suggeriert, auch technisch notwendige Cookies nicht erlauben zu können, obwohl diese bereits ohne eine Einwilligung verarbeitet werden könnten. Zum anderen werde der Nutzer durch die Gestaltung des Cookie-Banners gedrängt, auch optionale Cookies zu erlauben. Denn die Auswahl „Erforderliche und optionale Cookies erlauben“ ist in dem „facebooktypischen" Blau deutlich hervorgehoben, während „Nur erforderliche Cookies erlauben“ blassgrau dahinter zurücktritt. Mehr Infos.
Erhebliche Auswirkungen auf Behörden
Die Entscheidung des Datenschutzbeauftragten ist dennoch ein Rundumschlag gegen die Nutzung sozialer Netzwerke durch die öffentliche Hand. Denn auch die Gestaltung des Cookie-Banners betrifft selbstverständlich nicht nur die Fanpage des Bundes, sondern in gleicher Weise den Betrieb kommunaler Fanpages. Die Entscheidung des Datenschutzbeauftragten hat nicht nur daher für das Bundespresseamt, sondern für alle Behörden, die Fanpages auf Facebook oder andere Social Media Dienste betreiben, erhebliche Bedeutung. Insbesondere, da das Vorgehen auf der Arbeit der Datenschutzkonferenz beruht, ist zu erwarten, dass Aufsichtsbehörden der Länder nachziehen und auch kommunale Fanpages in den Blick nehmen werden. So ist es in Sachsen ja bereits geschehen, dort gab es ein Ultimatum für Kommunen bis Ende April.
Muss die Kommune die Facebook-Fanpage abschalten?
Wie aber kann oder muss eine Facebook-Fanpage betreibende Kommune nun reagieren? Zunächst steht sie vor dem Problem, dass sie selbst keine Möglichkeit hat, einen datenschutzkonformen Betrieb herzustellen. Hierfür bedarf es der Mitwirkung von Meta. Ob Meta aber auf den Hilferuf einer einzelnen Kommune reagiert, erscheint fraglich. Vielmehr wäre es wohl notwendig, dass Bund, Länder und Kommunen gemeinsam auf Meta zugehen, die notwenige Vereinbarung über die gemeinsame Verantwortlichkeit verhandeln und auf ein den Anforderungen der DSGVO entsprechendes Cookie-Banner hinwirken.
Abschalten müssen sie dennoch nicht unmittelbar. Denn: Gegen eine Untersagungsverfügung der Aufsichtsbehörde stehen den Betroffenen Rechtsbehelfe zu, die aufschiebende Wirkung entfalten. Die Entscheidung kann also bis zur abschließenden Entscheidung durch ein Gericht nicht vollzogen werden. Die Anordnung der sofortigen Vollziehung gegenüber einer Behörde ist nach § 20 Abs. 7 des Bundesdatenschutzgesetzes ausgeschlossen. Damit steht den von einer Untersagungsverfügung betroffenen Kommunen die Möglichkeit offen, zunächst einen Rechtsbehelf gegen die Entscheidung zu erheben und das Verfahren des Bundesdatenschutzbeauftragten gegen das Bundespresseamt abzuwarten. Denn der Bund hat gegen die Entscheidung des Datenschutzbeauftragten des Bundes Klage erhoben.
