Was bedeutet die Fashion ID-Entscheidung des EuGH?

Am 29.07.2019 hat der EuGH eine lange erwartete Entscheidung zum Thema Social Media Plugins gefällt.

Bereits im März 2019 hatten sich die deutschen Aufsichtsbehörden entsprechend dahingehend positioniert, dass die Nutzung von Google Analytics, nicht auf die Rechtsgrundlage der berechtigten Interessen (Art. 6 Abs. 1 S. 1 lit. f) DSGVO) gestützt werden könne, wenn eine Weitergabe der Daten an einen Dritten erfolge. Es liege zwar ein berechtigtes Interesse vor (1. Stufe), aber es scheitere an der Erforderlichkeit der Verarbeitung zur Wahrnehmung des Interesses (2. Stufe). Die Reichweitenmessung könne auch auf dem eigenen Server erfolgen. Es müsse daher zwingend eine Einwilligung eingeholt werden. Diese Ansicht lässt sich wohl auch auf Social Media Plugins, also z.B. Facebook Like-Buttons, übertragen.

Nun hat sich der Europäische Gerichtshof zu Social Media Plugins geäußert. Das Urteil erging zwar noch zur Datenschutzrichtlinie und noch nicht zur DSGVO, ist aber übertragbar.

Datenschutz ist abmahnfähig

Der EuGH positioniert sich zu einer seit Anwendbarkeit der DSGVO umstrittenen Frage, nämlich ob die DSGVO eine Sperrwirkung hinsichtlich der Sanktionen entfalte und damit Ansprüche nach dem Gesetz gegen den unlauteren Wettbewerb (UWG) ausscheiden.

Dem sei nicht so. Damit ist also europarechtlich klar, dass Datenschutzverstöße nach dem UWG abgemahnt werden können. Die Frage, ob Datenschutz Marktverhaltensregeln im Sinne von § 3a UWG sind, hat der EuGH natürlich hier nicht entschieden, ist aber nach herrschender Meinung ebenso zu bejahen, sodass Datenschutzverstöße grundsätzlich abmahnfähig sind. Deshalb möchte auch die Bundesregierung mit dem Gesetzentwurf zur Stärkung des fairen Wettbewerbs die Abmahnfähigkeit von Datenschutzverstößen bei Unternehmen bis zu 49 Mitarbeitern einschränken.

Deshalb möchte auch die Bundesregierung mit dem Gesetzentwurf zur Stärkung des fairen Wettbewerbs die Abmahnfähigkeit von Datenschutzverstößen bei Unternehmen bis zu 49 Mitarbeitern einschränken.

Gemeinsame Verantwortlichkeit

Der Websitebetreiber, der Social Media Plugins in seine Seite einbindet, ist mit dem sozialen Netzwerk gemeinsam Verantwortlicher im Sinne von Art. 26 DSGVO. Begründet wird dies mit dem witschaftlichen Interesse, das der Seitenbetreiber hat, wenn er die Social Media Plugins einbindet.

Notwendig wäre also ein Vertrag über die gemeinsame Verantwortlichkeit. Einen solchen bietet bisher noch kein soziales Netzwerk an mit Ausnahme von Facebook für Facebook Insights (Seiten-Insights-Ergänzung), der bisher aber die Like-Buttons noch gar nicht umfasst. Hier müsste also Facebook nachbessern, ebenso die anderen Netzwerke, die noch gar keinen solchen Vertrag anbieten.

Kleine Bemerkung am Rande: Die deutschen Datenschutzbehörden halten die Seiten-Insights-Ergänzung datenschutzrechtlich ohnehin noch für nicht ausreichend.

Ganz interessant: Der EuGH geht davon aus, dass eine gemeinsame Verantwortlichkeit nur für die Übermittlung bestehe, nicht für die Datenverarbeitung, die nach der Übermittlung an das soziale Netzwerk von diesem durchgeführt werde, da hierauf der Seitenbetreiber keinen Einfluss habe.

Rechtsgrundlage für die Übermittlung nötig

Wenig überrascht: Der EuGH stellt klar, dass für die Datenverarbeitung, also die Übermittlung, eine Rechtsgrundlage notwendig sei. Dies könne etwa eine Einwilligung (Art. 6 Abs. 1 S. 1 lit. a DSGVO, Art. 7 DSGVO) sein, oder aber die berechtigten Interessen (Art. 6 Abs. 1 S. 1 lit. f DSGVO).

Bei der Einwilligung hatte man bisher das Problem, dass diese ja nicht informiert eingeholt werden konnte, da der Seitenbetreiber ja nicht wusste, was das soziale Netzwerk mit den Daten macht. Man hat sich häufig daher damit beholfen, dass man die 2-Klick-Lösung implementiert hat, diese aber auf die berechtigten Interessen gestützt hat. Dann hatte man zwar vielleicht seine Informationspflichten nach Art. 13 DSGVO verletzt, nicht aber eine unwirksame, da nicht informierte Einwillugung, riskiert.

Nach diesem Urteil ist dies nun einfacher, denn es geht ja nur noch darum, dass Daten übermittelt werden. Was das soziale Netzwerk nach der Übermittlung mit den Daten macht, muss also nicht genau angegeben werden. Es sollte daher eine Einwilligung implementiert werden, etwa über die 2-Klick-Methode und die entsprechenden Informationen nach Art. 13 DSGVO bereitgestellt werden.

Die einfache Einbindung von Social Media Plugins ohne 2-Klick-Methode ist damit eindeutig rechtswidrig.