Neues EuGH-Urteil / neue Haftungsrisiken: Gemeinsame Verantwortlichkeit bei Datenübermittlung sowie Verwendung von Social Media-Plugins, Cookies und Analysetools

Der Europäische Gerichtshof (EuGH) hat am 29. Juli 2019 entschieden, dass es gegen das Datenschutzrecht verstößt, wenn personenbezogene Daten von Nutzern einer Webseite an Dritte (hier Facebook) übermittelt werden, ohne zuvor eine Einwilligung der betroffenen Nutzer einzuholen. Hierbei ergibt sich aus der Urteilbegründung, dass Betreiber einer Webseite mitverantwortlich für eine solche Datenverarbeitung / -weitergabe sind, auch wenn diese die Daten selbst nicht erhalten bzw. nicht aktiv weitergeben.

Diese sog. „gemeinsame Verantwortlichkeit“ galt gem. Art. 26 DSGVO nur für die Vorgänge der Datenverarbeitung, für welche der Webseitenbetreiber und Facebook auch gemeinsam über die Zwecke und Mittel der Verarbeitung entscheiden. Dies ist in diesem Fall nur bei der Erhebung sowie der Weitergabe der Daten der Fall, da der Webseitenbetreiber auf die Weiterverarbeitung keinen weiteren Einfluss hat und die Verarbeitung hierbei ausschließlich durch Facebook geschieht.

Grundlage und Urteil

Beim LG Düsseldorf wurde gegen den Online-Händler Fashion-ID auf Unterlassung der Verwendung des Facebook-Like-Buttons geklagt: durch die Existenz dieses Social-Plugins werden personenbezogene Daten, wie u. a. die IP-Adresse des Nutzers, automatisiert an Facebook weitergeleitet, sobald dieser die Webseite aufruft. Somit ist Facebook ggf. in der Lage Nutzerprofile der Betroffenen zu erstellen.

Neu: Verbraucherschutzverbände dürfen bei Verstößen abmahnen

Der EuGH hat in seiner Urteilsbegründung nun erstmals unmissverständlich bestätigt, dass eine direkte Abmahnung durch Verbraucherschutzverbände durchaus erfolgsversprechend und möglich ist. Daher raten wir Ihnen, wie auch beim Erhalt von Abmahnungen und Unterlassungserklärungen durch konkurrierende Unternehmen, auf diese immer fristgerecht und zeitnah zu reagieren. Hierzu sollten Sie sich stets Unterstützung durch spezialisierte Rechtsanwälte holen, da hierbei „der Teufel im Detail steckt“ und eine unsachgemäße Bearbeitung des Vorgangs durch Formfehler zu einem kostenintensiven Faktor werden kann.

Folgen und Auswirkungen des EuGH-Urteils

Das EuGH-Urteil bezieht sich zwar primär erstmal nur auf die Verwendung des Facebook-Like-Buttons, allerdings lässt sich die Begründung grundsätzlich auch allgemein auf die Erhebung von personenbezogenen Daten von Webseitennutzern ausweiten. Eine Vorbildfunktion und Orientierungshilfe für Gerichtsurteile auf Länder- sowie Bundesebene ist dadurch zukünftig gegeben und erhöht somit direkt den Handlungsdruck auf Webseitenbetreiber in der Europäischen Union.

Webseitenbetreiber sollten (müssen!) ihre Nutzer ab sofort vor der Erhebung von personenbezogenen Daten (mittels Cookies oder Analysetools) über die geplante Erhebung sowie die Verarbeitung informieren und eine Einwilligung, z. B. durch eine Banner-Lösung, einholen. Sollte der Nutzer hierbei nicht in die Verarbeitung einwilligen, so muss durch den Webseitenbetreiber technisch sichergestellt werden, dass entsprechende Cookies oder Analysetools für die weitere Verweildauer auf der Webseite deaktiviert wurden und somit auch keine Datenverarbeitung oder -Weitergabe erfolgt. Bei Nicht-Einhaltung drohen nun, bestätigt durch die Vorbildfunktion des EuGHs für zukünftige Urteile, erhebliche Geldbußen.

Fazit

Eine grundsätzliche Folge aus dem aktuellen Urteil ist nun, dass Webseitenbetreiber für Datenschutzverstöße, welche von Facebook begangen werden, potentiell direkt mitverantwortlich gemacht werden können. Dabei ist zu erwarten, dass Verbraucherschutzverbände von dieser Möglichkeit im Wege von Abmahnungen oder gar Klagen Gebrauch machen werden.

Bei der zukünftigen Verwendung von Cookies und Analysetools raten wir Ihnen, zumindest wenn eine Datenweitergabe an Dritte wie z. B. Facebook oder Google erfolgt, oder nicht ausgeschlossen werden kann, immer eine vorherige Einwilligung der Betroffenen einzuholen.

Das Urteil kann hier eingesehen werden.