News

EuGH: Einbindung von Social Plugins in eigene Website

Bearbeiter: Sabine Kriwanek / Bearbeiter: Barbara Tuma

Dt. Fall. Der Betreiber einer Website, der in diese Website ein Social Plugin einbindet (hier: „Gefällt mir“-Button von Facebook), kann gemeinsam mit dem Anbieter dieses Plugins als für die Verarbeitung Verantwortlicher iSd DatenschutzRL angesehen werden.

RL 95/46/EG: Art 1, Art 2, Art 7, Art 22 bis 24

Hat der Betreiber einer Website in diese Website ein Social Plugin eingebunden (hier: „Gefällt mir“-Button von Facebook), das schon bei Aufruf dieser Website den Browser des Besuchers der Website veranlasst, Inhalte des Anbieters des Plugins anzufordern und hierzu personenbezogene Daten des Besuchers an diesen Anbieter zu übermitteln, kann der Website-Betreiber für das Erheben und die Übermittlung der personenbezogenen Daten der Besucher seiner Website gemeinsam mit Facebook verantwortlich sein (für die Verarbeitung Verantwortlicher iSv Art 2 Buchst d RL 95/46/EG). Seine Verantwortlichkeit ist jedoch – im Hinblick auf seinen eingeschränkten Entscheidungsspielraum bezüglich Art und Umfang der übermittelten Daten – auf das Erheben der personenbezogenen Daten und deren Weitergabe durch Übermittlung beschränkt. Er muss auch nur dafür – dh im Rahmen seines Entscheidungsspielraums – die Einwilligung der Seitenbesucher einholen bzw sie darüber informieren

In der vorliegenden Situation ist es erforderlich, dass der Betreiber und der Anbieter mit den Verarbeitungsvorgängen jeweils ein berechtigtes Interesse iSv Art 7 Buchst f RL 95/46/EG wahrnehmen, damit diese Vorgänge für jeden Einzelnen von ihnen gerechtfertigt sind.

EuGH 29. 7. 2019, C-40/17, Fashion ID

Sachverhalt

Zu einem deutschen Vorabentscheidungsersuchen.

Hinweis:

Die RL 95/46/EG wurde mit Wirkung zum 25. 5. 2018 aufgehoben und durch die VO (EU) 2016/679 (DSGVO) ersetzt. Die RL ist jedoch in Anbetracht des für den Ausgangsrechtsstreit maßgeblichen Zeitraums auf diesen anwendbar.

Fashion ID, ein Online-Händler für Modeartikel, band in seine Website das Social Plugin „Gefällt mir“ des sozialen Netzwerks Facebook (im Folgenden: „Gefällt mir“-Button von Facebook) ein.

Der Browser eines Internetbesuchers kann Inhalte aus verschiedenen Quellen darstellen, die in eine Website eingebunden sind, etwa Fotos, Videos, Newsfeeds oder auch – wie hier – den „Gefällt mir“-Button von Facebook. Will der Betreiber einer Website derartige Drittinhalte einbinden, setzt er auf dieser Website einen Verweis auf den externen Inhalt. Stößt der Browser des Besuchers auf einen derartigen Verweis, fordert er den Inhalt von dem Drittanbieter an und fügt ihn an der gewünschten Stelle in die Darstellung der Website ein. Hierzu übermittelt der Browser dem Server des Drittanbieters die IP-Adresse des Rechners dieses Besuchers sowie die technischen Informationen des Browsers, damit der Server feststellen kann, in welchem Format der Inhalt an welche Adresse auszuliefern ist. Daneben übermittelt der Browser auch Informationen zu dem gewünschten Inhalt. Welche Informationen der Browser übermittelt und was der Drittanbieter mit diesen Informationen macht, insbesondere, ob er diese speichert und auswertet, kann der den Drittinhalt auf seiner Website einbindende Betreiber nicht beeinflussen.

Speziell hinsichtlich des „Gefällt mir“-Buttons von Facebook geht aus der Vorlageentscheidung hervor, dass beim Aufrufen der Website von Fashion ID durch einen Besucher aufgrund der Einbindung dieses Buttons in die Website personenbezogene Daten dieses Besuchers an Facebook Ireland übermittelt werden. Offenbar erfolgt diese Übermittlung, ohne dass sich der Besucher dessen bewusst ist und unabhängig davon, ob er Mitglied des sozialen Netzwerks Facebook ist oder den „Gefällt mir“-Button von Facebook anklickt.

Die Verbraucherzentrale NRW, ein gemeinnütziger Verband zur Wahrung von Verbraucherinteressen, wirft Fashion ID vor, personenbezogene Daten der Besucher ihrer Website ohne deren Einwilligung und unter Verstoß gegen die Informationspflichten nach den Vorschriften über den Schutz personenbezogener Daten an Facebook Ireland übermittelt zu haben.

Der EuGH hat für Recht erkannt:

1.Die Art 22 bis 24 der RL 95/46/EG des Europäischen Parlaments und des Rates vom 24. 10. 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr sind dahin auszulegen, dass sie einer nationalen Regelung, die es Verbänden zur Wahrung von Verbraucherinteressen erlaubt, gegen den mutmaßlichen Verletzer von Vorschriften zum Schutz personenbezogener Daten Klage zu erheben, nicht entgegenstehen.
2.Der Betreiber einer Website wie die Fashion ID GmbH & Co KG, der in diese Website ein Social Plugin einbindet, das den Browser des Besuchers dieser Website veranlasst, Inhalte des Anbieters dieses Plugins anzufordern und hierzu personenbezogene Daten des Besuchers an diesen Anbieter zu übermitteln, kann als für die Verarbeitung Verantwortlicher iSv Art 2 Buchst d der RL 95/46/EG angesehen werden. Diese Verantwortlichkeit ist jedoch auf den Vorgang oder die Vorgänge der Verarbeitung personenbezogener Daten beschränkt, für den bzw für die er tatsächlich über die Zwecke und Mittel entscheidet, dh das Erheben der in Rede stehenden Daten und deren Weitergabe durch Übermittlung.
3.In einer Situation wie der im Ausgangsverfahren in Rede stehenden, in der der Betreiber einer Website in diese Website ein Social Plugin einbindet, das den Browser des Besuchers dieser Website veranlasst, Inhalte des Anbieters dieses Plugins anzufordern und hierzu personenbezogene Daten des Besuchers an diesen Anbieter zu übermitteln, ist es erforderlich, dass der Betreiber und der Anbieter mit diesen Verarbeitungsvorgängen jeweils ein berechtigtes Interesse iSv Art 7 Buchst f der RL 95/46/EG wahrnehmen, damit diese Vorgänge für jeden Einzelnen von ihnen gerechtfertigt sind.
4.Art 2 Buchst h und Art 7 Buchst a der RL 95/46/EG sind dahin auszulegen, dass in einer Situation wie der des Ausgangsverfahrens, in der der Betreiber einer Website in diese Website ein Social Plugin einbindet, das den Browser des Besuchers dieser Website veranlasst, Inhalte des Anbieters dieses Plugins anzufordern und hierzu personenbezogene Daten des Besuchers an diesen Anbieter zu übermitteln, die nach diesen Vorschriften zu erklärende Einwilligung von dem Betreiber nur in Bezug auf den Vorgang oder die Vorgänge der Verarbeitung personenbezogener Daten einzuholen ist, für den bzw für die dieser Betreiber tatsächlich über die Zwecke und Mittel entscheidet. Darüber hinaus ist Art 10 dieser RL dahin auszulegen, dass in einer solchen Situation auch die in dieser Bestimmung vorgesehene Informationspflicht den Betreiber trifft, wobei dieser die betroffene Person jedoch nur in Bezug auf den Vorgang oder die Vorgänge der Verarbeitung personenbezogener Daten informieren muss, für den bzw für die dieser Betreiber tatsächlich über die Zwecke und Mittel entscheidet.
Artikel-Nr.
Rechtsnews Nr. 27694 vom 30.07.2019