EuGH: Websites mit «Gefällt mir»-Button tragen Verantwortung für Datenerhebung

Sie müssen daher Nutzer ihrer Seite auch über die Datenerhebung informieren und ihre Einwilligung einholen, wie der Europäische Gerichtshof (EuGH) in einem am Montag veröffentlichten Urteil entschied. Für die spätere Datenverarbeitung durch Facebook könne der Betreiber aber nicht verantwortlich gemacht werden. (Az: C-40/17)

Im konkreten Fall geht es um die Internetseite Fashion ID, dem Online-Angebot der Kaufhauskette Peek & Cloppenburg. Sie band in ihre Website den «Gefällt mir»-Button ein, mit dem Nutzer auf Facebook direkt bekunden können, dass sie ein bestimmtes Produkt mögen. Jedoch wurden bereits beim Besuchen der Seite die personenbezogenen Daten des Nutzers an Facebook übermittelt - egal, ob der Button überhaupt angeklickt wurde oder der Nutzer ein Facebook-Konto besitzt.

Dagegen klagte die Verbraucherzentrale Nordrhein-Westfalen und argumentierte, die Datenübermittlung ohne die Einwilligung der Nutzer und eine entsprechende Information sei rechtswidrig. Das Oberlandesgericht Düsseldorf (OLG) legte den Fall dem EuGH zur Einschätzung und Auslegung des Unionsrechts vor.

Der Luxemburger Gerichtshof urteilte nun, dass Fashion ID für die Erhebung der Daten und die Weiterleitung an das Netzwerk «als gemeinsam mit Facebook verantwortlich angesehen werden» kann. Denn Fashion ID und Facebook entschieden auch «gemeinsam über die Zwecke und Mittel» des Datentransfers. Letztlich gehe es darum, Werbung zu optimieren und damit einen «wirtschaftlichen Vorteil» zu erreichen. Die Datenerhebung und -weitergabe erfolgten «im wirtschaftlichen Interesse» sowohl von Fashion ID als auch von Facebook.

Als Mitverantwortlicher für den Datentransfer müsse der Betreiber der Website die Nutzer auch darüber informieren und für das Erheben und die Übermittlung der Daten die Einwilligung der Website-Besucher einholen. Zu diesen Informationen gehöre etwa der Zweck der Verarbeitung. Dafür, was mit den Daten nach der Übermittlung an Facebook geschieht, kann der Betreiber hingegen nach Einschätzung des EuGH nicht verantwortlich gemacht werden, da er nicht darüber entscheidet.

Das OLG muss nun abschliessend über den Fall urteilen und zwar «im Einklang mit der Entscheidung» des EuGH. Auf der Website Fashion ID ist mittlerweile ein extra Kasten eingebunden, in dem Nutzer explizit Social Media aktivieren können. Damit willigen sie in die Datenschutzerklärung von Fashion ID ein, in der auch angegeben wird, welche Daten genau erhoben und übermittelt werden.

Der Digitalverband Bitkom äusserte sich kritisch zu dem Urteil. Damit bürde der EuGH tausenden Betreibern «eine enorme Verantwortung auf». Das Urteil werde sich abgesehen vom Facebook-Button «auf alle gängigen Social-Media-Plugins auswirken», warnte der Verband. Schon jetzt nähmen Informationen zu Cookies, die Datenschutzerklärung und die Geschäftsbedingungen grossen Raum auf Websites ein und würden meist «nur noch formal zur Kenntnis genommen». Nun steige der bürokratische Aufwand bei Betreibern stark.

Der Bundesverband Digitale Wirtschaft (BVDW) sieht vor allem die Verpflichtung zur Einwilligung kritisch. Dass Nutzer etwa in den Datenschutzbestimmungen über die Verarbeitung der Daten informiert würden, sei «prinzipiell noch nachvollziehbar». Das Einwilligungsprinzip zugrunde zu legen, gehe allerdings «an jeder Realität vorbei» und mache die Nutzung der Websites «maximal kompliziert und umständlich».