ZAP 11/2020, Internetreport / 2 Datenschutzrechtliche Vorgaben bei der Einbindung des "Facebook-Like-Buttons" in’eine Website

In dem Verfahren vor dem EuGH (Urt. v. 29.7.2019 – C 40/17, ZAP 2020, F. 1, S. 126, ZAP EN-Nr. 478/2019) ging es um die datenschutzrechtliche Zulässigkeit der Einbindung des sog. Facebook-Like-Buttons in die Website eines Unternehmens. Das LG Düsseldorf (Urt. v. 9.3.2016 – 12 O 151/15) hatte die Einbindung des "Facebook-Like-Buttons" als datenschutzwidrig und daher wettbewerbsrechtlich unzulässig beurteilt. Das OLG Düsseldorf (Beschl. v. 19.1.2017 – 20 U 40/16) hatte das Verfahren ausgesetzt und dem EuGH Fragen zur Vorabentscheidung vorgelegt.

In seinem Urteil führte der EuGH aus, dass der Betreiber einer Website, der in diese ein Social Plugin einbindet, das den Browser des Besuchers dieser Website veranlasst, Inhalte des Anbieters dieses Plugins anzufordern und hierzu personenbezogene Daten des Besuchers an diesen zu übermitteln, als für die Verarbeitung Verantwortlicher i.S.v. Art. 2 lit. d der Richtlinie 95/46 (sog. Datenschutzrichtlinie) anzusehen ist. Diese Verantwortlichkeit sei jedoch auf den Vorgang oder die Vorgänge der Datenverarbeitung beschränkt, für den bzw. für die er tatsächlich über die Zwecke und Mittel entscheidet, d.h., für das Erheben der in Rede stehenden Daten und deren Weitergabe durch Vermittlung. Unternehmen, die’den "Facebook-Like-Button" in ihre Website integrierten, seien als mit Facebook gemeinsam Verantwortliche anzusehen. Durch die Einbindung des Like-Buttons werde die Datenübermittlung an Facebook ermöglicht, die Unternehmen profitierten hiernach durch den Klick auf den "Like-Button" von der dadurch generierten Werbung. Ein solcher Website-Betreiber und Facebook entschieden damit gemeinsam über die Zwecke und Mittel der Datenverarbeitung. Der EuGH ist damit den Schlussanträgen des Generalanwalts gefolgt.

Der EuGH entschied ferner, dass Art. 10 der Datenschutzrichtlinie dahin auszulegen ist, dass in einer solchen Situation auch die in dieser Bestimmung vorgesehene Informationspflicht den Betreiber trifft, wobei dieser die betroffenen Personen jedoch nur in Bezug auf den Vorgang oder die Vorgänge der Verarbeitung personenbezogener Daten informieren muss, für den bzw. für die dieser Betreiber tatsächlich über die Zwecke und Mittel entscheidet.

Mit diesem Urteil verfolgt der EuGH seine im Jahr’2018 (Urt. v. 5.6.2018 – C-210/16) ergangene Rechtsprechung zu "Facebook-Fanpages" weiter. Damals hatte der EuGH entschieden, dass den Betreiber einer "Facebook-Fanpage" mit Facebook zusammen eine gemeinsame Verantwortlichkeit treffe.

Sowohl das Urteil zu den "Facebook-Fanpages" als auch das neue Urteil zu dem "Facebook-Like-Button" sind auf Grundlage der Datenschutzrichtlinie ergangen. Diese wurde durch die DSGVO ersetzt. Der EuGH musste sich daher in seinen Urteilen nicht mit den Vorgaben der DSGVO beschäftigen bzw. sich hierzu nicht äußern. Die Datenschutzkonferenz (Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder) hat aber zu der Entscheidung "Facebook-Fanpages" bereits verlauten lassen (Entschl. v. 6.6.2018), dass sie die Rechtsprechung des EuGH auch auf die DSGVO "anwenden" will.

Wer damit den "Facebook-Like-Button" in seine Website integrieren will, muss zunächst einen Vertrag mit Facebook betreffend die gemeinsame Verantwortlichkeit (Art. 26 Abs. 2 DSGVO) schließen. Ferner müssen Unternehmen die Nutzer ihrer Website über diese Datenverarbeitung (gemeinsam mit Facebook) informieren und, soweit sie für die Datenverarbeitung verantwortlich sind, eine Einwilligung einholen. Sowohl die Bereitstellung dieser Information als’auch die Einholung der Einwilligung müssen erfolgen, bevor es zu einer Datenverarbeitung kommt. Diesbezüglich müssen Unternehmen prüfen, welche technischen Möglichkeiten bzw. Features insoweit zur Verfügung stehen.