Facebook hat seine „Informationen zu Seiten-Insights“ aktualisiert, die bereits am 28. November 2019 in Kraft getreten sind. Worum es sich bei Facebook-Insights handelt, welche Grundsatzentscheidung dem zugrunde liegt und was die neueste Änderung für Fanpage-Betreiber bedeutet, erklären wir Ihnen im nachfolgenden Beitrag.

Facebook stellt Betreibern von Fanpages die Funktion „Insights“ zur Verfügung. Mit dieser Funktion können statistische Daten eingesehen werden, die z.B. für die Optimierung einer Seite genutzt werden können. Einsehbar sind unter anderem die Reichweite eines Beitrags, die Seitenaufrufe sowie die Reaktionsfreudigkeit auf Beiträge. Nicht einsehbar sind die Namen der Nutzer. Facebook hat jedoch genauere Einsicht und kann sehen, wer etwas angeklickt, mit einem „Like“ versehen und kommentiert hat.

Am 5. Juni 2018 hatte der Europäische Gerichtshof („EuGH“) entschieden, dass die Betreiber von Facebook-Fanpages gemeinsam mit Facebook für deren Online-Präsenz verantwortlich sind (Az.: C-210/16). Auch wenn sich die Feststellungen des Urteils auf die alte Datenschutz-Richtlinie (Richtlinie 95/46/EG) beziehen, lassen sich diese im Wesentlichen auf die geltenden Bestimmungen der DSGVO übertragen, hier speziell auf Art. 26 DSGVO. Im Gegensatz zur alten Datenschutz-Richtlinie sind nach Art. 26 DSGVO nunmehr besondere Pflichten für gemeinsam Verantwortliche vorgesehen. Dazu gehört der Abschluss einer schriftlichen Vereinbarung zwischen den beteiligten Verantwortlichen. In dieser Vereinbarung sollte festgelegt werden, welcher Beteiligte für welche Verpflichtung der DSGVO verantwortlich ist. Dies betrifft insbesondere die Verantwortlichkeit hinsichtlich der Betroffenenrechte und der Informationspflichten.

Datenschutzkonferenz: Betrieb einer Facebook-Fanpage ist rechtswidrig

In einem Beschluss vom 5. September 2018 stellte die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder („DSK“) fest, dass das Betreiben einer Facebook-Fanpage ohne Abschluss einer entsprechenden Vereinbarung rechtswidrig sei. Kurz darauf passte Facebook seine Allgemeinen Geschäftsbedingungen an und stellte erstmals eine solche Vereinbarung zur Verfügung. Die für Betreiber einer Fanpage geltenden „Richtlinien für Seiten, Gruppen und Veranstaltungen“ wurde um eine „Seiten-Insights-Ergänzung bezüglich des Verantwortlichen“ ergänzt. Diese Ergänzung wird mit dem Fanpage-Betreiber automatisch abgeschlossen. Außerdem hatte Facebook den Nutzern auf jeder Fanpage „Informationen zu Seiten-Insights-Daten“ zur Verfügung gestellt.

Für die Aufsichtsbehörden war diese Ergänzung nicht ausreichend, was aus einem Positionspapier vom 1. April 2019 hervorgeht. Facebook habe zwar eine sogenannte „Seiten-Insights-Ergänzung“ sowie „Informationen zu Seiten-Insights“ veröffentlicht – diese erfüllen nach Ansicht der DSK jedoch nicht die Anforderungen an eine gemeinsame Verantwortlichkeit gemäß Art. 26 DSGVO. Es müsse daher von Seiten Facebook nachgebessert werden. Bis dahin sei „ein datenschutzkonformer Betrieb einer Fanpage nicht möglich.“

Datenschutzbehörde kann Betrieb einer Facebook-Fanpage untersagen

Am 11. September 2019 hatte das Bundesverwaltungsgericht („BVerwG“) entschieden, dass der Betreiber einer Facebook-Fanpage zur Abschaltung seiner Seite verpflichtet werden kann, falls die von Facebook zur Verfügung gestellte digitale Infrastruktur schwerwiegende datenschutzrechtliche Mängel aufweist (Az.: 6 C 15.18) (siehe auch unseren Blogbeitrag vom 9. Oktober 2019). Die Aufsichtsbehörde in Schleswig-Holstein untersagte einem Unternehmen den Betrieb einer Fanpage, da die Nutzer nicht darüber informiert wurden, dass eine Erhebung ihrer Daten stattfindet. Das Unternehmen argumentierte, es habe keinerlei Einfluss auf die Datenerhebung. Entgegen der Auffassung des Unternehmens musste die Aufsichtsbehörde nicht gegen Facebook vorgehen, „weil das wegen der fehlenden Kooperationsbereitschaft von Facebook mit erheblichen tatsächlichen und rechtlichen Unsicherheiten verbunden gewesen wäre.“

Erneute Aktualisierung der „Informationen zu Seiten-Insights“ durch Facebook

Wenige Monate nach dem Urteil des BVerwG hat Facebook die „Informationen zu Seiten-Insights“ erneut aktualisiert. In der vorherigen Fassung adressierte Facebook bereits die gemeinsame Verantwortlichkeit nach Art. 26 DSGVO – die alleinige Entscheidungskompetenz lag jedoch nach wie vor bei Facebook. Zudem waren die Informationen „nicht hinreichend transparent und konkret“, so die DSK.

Die überarbeitete Fassung ist nun deutlich umfangreicher. Insbesondere werden die Verarbeitungsprozesse detaillierter beschrieben sowie technische und organisatorische Maßnahmen erläutert. Zu den bereitgestellten Informationen gehört eine Auflistung von Handlungen der Nutzer, die von Facebook protokolliert werden. Dazu gehören auch die jeweiligen Informationen zu den Handlungen, die ebenfalls gespeichert werden. Als „Handlungen“ kommen beispielsweise das Liken, Kommentieren, Teilen und Abonnieren von Seiten und Veranstaltungen in Betracht. Die Informationen, die zu den genannten Handlungen gespeichert werden, sind z.B. das Datum, die Uhrzeit, das Endgerät, die Nutzer-ID und der Sprachencode. Da Facebook einen großen Teil der Pflichten im Rahmen der gemeinsamen Verarbeitung nach Art. 26 DSGVO übernimmt, sind Fanpage-Betreiber nach wie vor in ihren Möglichkeiten eingeschränkt, Einfluss auf die Datenverarbeitung zu nehmen.

Fazit

Die überarbeitete Fassung der „Informationen zu den Seiten-Insights“ von Facebook ist ein weiterer erforderlicher Schritt für eine rechtskonforme Gestaltung einer Vereinbarung nach Art. 26 DSGVO. Dennoch bleibt es zweifelhaft, ob die Anpassungen ausreichen, um eine Datenschutzkonformität anzunehmen. Ein rechtssicherer Betrieb von Facebook-Fanpages kann daher weiterhin nicht gewährleistet werden. Am sichersten bleibt es daher immer noch die Facebook-Fanpages zu schließen, wenn dies auch keine wirklich praktikable Lösung darstellt. Seitenbetreiber, die dennoch Facebook-Fanpages weiter nutzen möchten, sollten in jedem Fall die Funktionsweise der Fanpages, deren Rechtsgrundlagen sowie Hinweise zur Vereinbarung mit Facebook über die gemeinsame Verantwortung in eine Datenschutzerklärung auf der Facebook-Fanpage aufnehmen.

Sprechen Sie uns an. Gerne beraten wir Sie bei der rechtskonformen Ausgestaltung einer Facebook-Fanpage.