Datenschutzbehörden sagen „Facebook-Fan-Pages“ den Kampf an

Unter der forschen Überschrift „Die Zeit der Verantwortungslosigkeit ist vorbei“ haben die deutschen Datenschutzbehörden den Betreibern von Facebook-„Fan-Pages“ den Kampf angesagt. Zu einer Zeit, in der Online-Verantwortliche zum Teil bis zur Verzweiflung mit der Umsetzung der Vorgaben der Datenschutz-Grundverordnung zu kämpfen haben (und in der auch schon die ersten Datenschutz-Querulanten Betriebe lahmlegen), haben gut verbeamtete und hoch bezahlte Verwaltungspersonen nichts Besseres zu tun, als Online-Redaktionen, Pressestellen, Verbänden und letztlich allen bei Facebook mit eigenen Seiten aktiven Bürgern allen Ernstes vorzuwerfen, sie seien bislang „verantwortungslos“ gewesen. Ganz so, als sei das Veröffentlichen von Informationen und Meinungen eine Belastung für die Gesellschaft und nicht gerade ein Dienst an einer freien Gesellschaft, von dem gerade auch die Datenschützer selbst sehr zu profitieren pflegen.

Es ist aber nicht nur die Überschrift, die es in sich hat. Die Datenschutzbehörden gehen – die neue Datenschutz-Grundverordnung (DGSVO) im Rücken - mit einer Vehemenz an das Thema heran, die auf die Betroffenen wenig Rücksicht nimmt. Wir erinnern an dieser Stelle auch daran, dass es die gleichen Behörden waren, die schon in einer Entschließung vom 9. November 2017 forderten, dass die bisherigen Freiheiten der Presse beim Datenschutz im Fall der Datenschutz-Grundverordnung nicht mehr zu gelten hätten. Zum Glück haben die Landesparlamente dieser pressefeindlichen Einstellung weitgehend nicht stattgegeben, sondern in den Neufassungen der einschlägigen Gesetze die Anwendung der DSGVO bei der Presse auf ein vertretbares Minimum reduziert. Vielleicht sind die Datenschutzbehörden deswegen jetzt umso intensiver mit den Facebook-Seiten befasst.

Worum geht es im Detail? Interessierte Bürger, Vereine, Firmen und auch Parteien können bei Facebook eine Seite (im Facebook-Deutsch: „Fan-Page, Fanpage“) zu einem Interessengebiet oder eben sich selbst veröffentlichen, auf denen Nachrichten und viele andere Informationen platziert werden können. Da Facebook in den letzten Jahren zur weltweit wichtigsten Plattform für Medien und Meinungsaustausch geworden ist, stellt die Präsenz bei Facebook keine Nebensache dar, sondern ist für die freie und demokratische Gesellschaft und ihre Medien unverzichtbar. Wer sich aus Facebook zurückzieht, überlässt das größte Mediennetzwerk der Welt den Nachrichtensendern weniger skrupelloser Nationen und darüber hinaus der großen Zahl von selbst ernannten Welterklärern (die alle in einer freien Gesellschaft auch ihre Berechtigung haben, aber nicht alleine bleiben sollten).

Die Klage: Schon vor Jahren war die Datenschutzbehörde in Schleswig-Holstein der Meinung, dass die Datenerfassung durch Facebook gegen das Datenschutzrecht verstößt. Statt aber allein gegen Facebook vorzugehen, griff die Behörde auch den einfachen Betreiber an und untersagte einer Reihe von Einrichtungen im Bundesland den Betrieb ihrer Seite. Begründung: Nicht allein Facebook sei verantwortlich für die Datenerfassung, sondern auch der Anbieter einer solchen Seite. Die Betreiber wiederum sahen sich – angesichts der Bedeutung von Facebook verständlich - in ihrer Meinungs- und Informationsfreiheit beeinträchtigt, stellten die Seiten nicht ab und klagten.

Das Urteil: Nun hat der Europäische Gerichtshof (EuGH) in einer Entscheidung vom 5. Juni 2018 entschieden, dass die Anbieter von Facebook-Seiten tatsächlich als Verantwortliche einzustufen seien.

Die Behörden: Obwohl derzeit zahlreiche Bürger, Vereine, Firmen und selbst Behörden durch die DSGVO in Teilbereichen lahmgelegt sind und die Politik, unter anderem die CDU, deswegen Anpassungen diskutiert, haben die Datenschutzbehörden nichts Besseres zu tun, als eine sofortige Umsetzung des Urteils zu fordern und allen Betreibern auch noch mit moralisierendem Unterton vorzuwerfen, bislang „verantwortungslos“ gewesen zu sein. Pragmatismus scheint ein Fremdwort zu sein – angesichts der derzeitigen Probleme wäre eine Übergangsfrist mehr als angemessen gewesen. Zumal es nach wie vor nicht verständlich ist, warum die Datenschutzbehörden nicht nur gegen Facebook vorgehen, sondern diejenigen anvisieren, die an der Datenerfassung von Facebook nichts ändern können.

Was gemacht werden soll: weil Anbieter von Facebook-Fan-Pages als Verantwortliche gelten, müssen sie zunächst einmal auf ihre Verantwortlichkeit und die Ansprechpartner hinweisen. Dazu gehört auch, dass sie – wie schon auf einer ganz normalen Webseite notwendig – auch noch einmal eigene Erläuterungen bereitstellen, was ihren eigenen Umgang mit personenbezogenen Daten angeht. Der Hinweis nur auf die Datenschutzbestimmungen von Facebook dürfte also in der Regel nicht genügen. Der Hinweis darf auch nicht nur kurz sein, sondern muss jegliche Datenverarbeitung erläutern und das auch in ausführlicher, für jede/n verständlicher Sprache.

Praktisch gesehen ist derzeit auf Facebook-Fan-Seiten kein Platz dafür, sondern im Menüpunkt „Info“ der Unterpunkt „Datenrichtlinie“ vorhanden, in den aber auch nur ein Link eingetragen werden kann. Also muss der ausführliche Text wohl woanders angeboten werden, beispielsweise auf der eigenen Internetseite.
Es kann dennoch Sinn machen, diese Ausführungen auch noch mal als „Notiz“ zu posten, so dass es bei Suchvorgängen von Nutzern auch bei Facebook selbst gefunden werden kann.
Wer einen Link auf seine Facebook-Seite anbietet, sollte dann auch am besten vor oder unterhalb des Links auf die diesbezüglichen Datenschutzbestimmungen hinweisen (damit die Nutzer die Möglichkeit haben, von vornherein auf die Datenerfassung zu verzichten, sollte die Datenschutzbestimmung daher in jedem Fall auch außerhalb der Facebook-Seite abrufbar sein).

Update 11. Juni 2018: Was gut geht, ist die Eingabe der Datenschutzerklärung im Menüpunkt "Our Story" (siehe dazu unten). Es macht dennoch Sinn, auch noch unter "Info" wie hier beschrieben den Link auf eine externe Version zu setzen.

Doch bei einigen klärenden Bemerkungen soll es nach dem Willen der Datenschutzbehörden nicht bleiben.

Informationen einholen: „Betreiber von Fanpages sollten sich selbst versichern, dass Facebook ihnen die Informationen zur Verfügung stellt, die zur Erfüllung der genannten Informationspflichten benötigt werden.“ So die Verlautbarung der Datenschutzbehörden. Hier darf sich der Betrachter am Kopfe kratzen. Sind die Datenschutzbehörden nicht selbst in der Lage zu schauen, ob Facebook die Informationspflichten (sowohl den Anbietern der Seiten gegenüber als auch den Besuchern der Fan-Seiten) erfüllt? Warum sollen jetzt Hundertausende von Seiten-Betreibern alle aktiv werden, wo die Behörden selbst zuständig sind, solche Informationspflichten von Facebook einzufordern? Haben die Behörden jetzt nicht die Möglichkeit, mit Bußgeldern sehr wohl für Ordnung zu sorgen? Begreifen die Datenschutzbehörden nicht, wie sehr sie damit die Gesellschaft belasten?

Cookies und Tracken nur mit Einwilligung: „Soweit Facebook Besucherinnen und Besucher einer Fanpage durch Erhebung personenbezogener Daten trackt, sei es durch den Einsatz von Cookies oder vergleichbarer Techniken oder durch die Speicherung der IP-Adresse, ist grundsätzlich eine Einwilligung der Nutzenden erforderlich, die die Anforderung der DSGVO erfüllt.“ Erneut müssen sich jetzt Hunderttausende fragen, wie sie selbst diese Verpflichtung erfüllen können. Dabei hätten die Behörden die Möglichkeit, das arbeitsökonomisch von einer einzigen Stelle zu verlangen: Facebook direkt. Warum dieser Direktangriff gegen die Seitenbetreiber?

Vereinbarung über Verantwortlichkeit: „Für die Bereiche der gemeinsamen Verantwortung von Facebook und Fanpage-Betreibern ist in einer Vereinbarung festzulegen, wer von ihnen welche Verpflichtung der DS-GVO erfüllt. Diese Vereinbarung muss in wesentlichen Punkten den Betroffenen zur Verfügung gestellt werden, damit diese ihre Betroffenenrechte wahrnehmen können.“ Auch hier bleibt der Betrachter ratlos. Warum machen die Behörden der Firma nicht sofort zur Auflage, dass eine solche Vereinbarung zu schaffen ist, und wenden sich stattdessen gegen die zahlreichen Nutzer der Seiten? Mit dieser forschen – sofort umzusetzenden – Anforderung bringen die Behörden die Nutzer in Bedrängnis: wie sollen sie denn gegenüber einem milliardenschweren Konzern mal eben verhandeln?

Nutzer werden als Rammbock der Datenschutzbehörden missbraucht: Das Kalkül der bei den Datenschutzbehörden für diese Erklärung Verantwortlichen dürfte klar sein. Über die Nutzer und mögliche Serien-Abschaltungen von Fan-Seiten wollen die Behörden Druck aufbauen. Dafür nehmen sie aber auch in Kauf, dass sich eine Reihe von Betreibern tatsächlich verabschiedet, weil sie kein Risiko eingehen können. Für die Meinungs- und Informationsfreiheit ist das fatal. Den Datenschutzbehörden ist das sichtlich egal, was aber nicht wirklich überrascht, denn sie waren ja ohnehin schon dagegen, dass die Presse und auch sonstige Meinungsträger von der DSGVO ausgenommen werden.

Was tun? Schon raten Anwälte zur Abschaltung der Facebook-Fan-Seiten, weil die Datenschutzbehörden unerfüllbare Kriterien aufgestellt haben. Doch wäre das im Interesse einer freien Gesellschaft? Sollen freiheitliche Medien, Blogger, Bürger, Vereine und Firmen, ja selbst die Behörden selbst die größte Informationsplattform der Welt den unverdrossenen Verrückten überlassen, die noch niemals von Gesetzen zu beeindrucken waren? Natürlich nicht. Deswegen machen viele Medien weiter. Sie können mit Fug und Recht darauf hinweisen, dass sie sich auf ihre Recht auf Meinungs- und Informationsfreiheit aus Artikel 5 Grundgesetz, Artikel 11 der Charta der Grundwerte der Europäischen Union in Verbindung mit Artikel 85 der DSGVO berufen können. Rechte, die stärker sind als offensichtlich durchgedrehte Datenschutzbehörden.

Facebook-Seiten eine erfolgreiche Plattform für Deutschland weltweit: Weil Bürger und Ansprechpartner in anderen Ländern sehr unbefangen mit Plattformen umgehen, können Deutschlands Bürger, Medien, Verbände, Firmen und selbst Behörden unkompliziert über Ideen, politische Fragen, neue Produkte oder auch Dienstleistungen informieren. In manchen Ländern abonnieren Hunderttausende die Seiten deutscher Medien, aber auch anderer Facebook-Betreiber. Hier droht der Übereifer von Datenschutzbehörden unübersehbaren Schaden anzurichten, wenn solche Kommunikationskanäle abzuschalten wären.

Andere Dienste betroffen? Wer das Urteil liest, dem schwant Böses. Im Prinzip könnten die Datenschutzbehörden nun auch bei anderen Internetdiensten ebenfalls von einer Verantwortlichkeit ausgehen. Twitter, Instagram, Snapchat – auch hier neue Datenschutzerklärungen, auch hier juristisches Geschwurbel in einer eigenen Datenschutzerklärung und viele offene Fragen, weil die Behörden nicht gegen die Dienste selbst vorgehen wollen, sondern sich gegen die unmittelbaren Anbieter wenden.

Politik gefragt: Das Thema macht noch einmal klar, dass die Politik handeln muss. Es braucht eine Anwendung der DSGVO, die mit den Anfordernissen einer freiheitlichen Gesellschaft vereinbar ist.
UPDATE: Der DJV eine Muster-Datenschutzerklärung für Facebook-Fanpages erstellt. Es wird, wie Sie sehen, der Versuch unternommen, konstruktiv mit den eigentlich unmöglichen Vorgaben der Datenschutzkonferenz umzugehen.

Für Hinweise, wo noch etwas geschraubt werden kann, sind wir wie immer dankbar (hir@djv.de). Mit weiteren Versionen / Updates des Textes ist in jedem Fall zu rechnen.

Der DJV kann mit der Bereitstellung dieses Textes keine Gewähr dafür übernehmen, dass damit Maßnahmen der Datenschutzbehörden oder auch normaler Besucherinnen und Besucher gegenüber den Betreiber/innen von Facebook-Fanpages ausgeschlossen sind.

Umsetzungshinweis: Ersetzen Sie dort, wo JOURNALIST steht, den Begriff durch Ihren Namen. Die Leserinnen werden um Entschuldigung dafür gebeten, dass aus Gründen der Eilbedürftigkeit hier die männliche Person als Standard gewählt wurde; nächstes Mal wird es umgekehrt sein.

An einigen Stellen, die rot markiert sind, müssen Sie noch einmal schauen, ob die Formulierung bei Ihnen passt bzw. was Sie dort eintragen müssen.

Bitte beachten Sie, dass der DJV-Bundesverband mit diesem (vorläufigen) Muster-Impressum keine abschließende Rechtsberatung für das einzelne Mitglied vornehmen kann.

Praktischer Hinweis: Der Text kann auf einer Facebook-Fanpage ganz gut in das Segment „Our Story“ eingebracht werden (natürlich muss dann „Our Story“ ersetzt werden durch „Impressum/Datenschutz“). Außerdem sollte man den Text am besten auch noch auf der normalen Webseite unterbringen und von dem Datenfeld „Datenrichtlinie“ in Facebook (im Punkt „Info“) dorthin verlinken.

https://www.djv.de/fileadmin/user_upload/Facebook-Fanpage_Musterimpressum.rtf

Michael Hirschler, hir@djv.de


Papier der Datenschutzkonferenz ist abrufbar auf der Seiten der Datenschutzbehörde Saarland als PDF: "Die Zeit der Verantwortungslosigkeit ist vorbei"
(Aktualisierungshinweis: Etwas netter formuliert am 15. Juni 2018)