Keine Auftragsdatenverarbeitung zwischen Shopbetreiber und Facebook
Die Nutzerdaten erhebe also nicht Facebook in eigener Verantwortung, sondern in seinem Auftrag, Facebook werde also quasi nur als verlängerter Arm des Shopbetreibers tätig. Dem wollte das VG Bayreuth nicht folgen. Die Beurteilung, ob tatsächlich eine Auftragsdatenverarbeitung vorliege, sei nämlich unabhängig von der konkreten Rechtsnatur der Beauftragung. Vielmehr komme es darauf an, ob dem Auftragnehmer (in diesem Fall also Facebook) ein eigener Wertungs- und Entscheidungsspielraum zustehe. Müsse dies bejaht werden, liege keine Auftragsdatenverarbeitung vor.
Da es aber allein im Ermessen von Facebook liege, wer beworben werde und wer nicht, müsse einem selbständigen Tätigwerden ausgegangen werden. Daher könne nicht von einer Auftragsdatenverarbeitung werden. Vielmehr liege hierin eine sogenannte Funktionsübertragung auszugehen.
In der Folge sei von einer Datenübermittlung des Shopbetreibers an Facebook auszugehen. Für eine solche Übertragung existierte jedoch keine ausreichende Rechtsgrundlage. Diese sei auch nicht in § 28 Abs.2 S.2 BDSG (Listendaten-Privileg) zu finden, da E-Mail-Adressen nicht unter diese Ausnahmeregelung fielen.
Erläuterung:
Im Datenschutzrecht gilt das Verarbeitungsverbot mit Einwilligungsvorbehalt. Daten von Webseitennutzern dürfen also nur erhoben werden, wenn entweder der Nutzer eine informierte Einwilligung erteilt hat oder aber ein gesetzliche Erlaubnistatbestand vorliegt.
Einsatz von Facebook Custom Audiences künftig noch möglich?
Zwar ist die Entscheidung noch nach alter Rechtslage ergangen. Aber auch unter der Geltung der DSGVO dürfte die Entscheidung möglichweise nicht anderes ausfallen. Eine gestzliche Grundlage zur Übermittlung von personenbezogenen Daten im Rahmen von Facebook Custom Audience könnte allenfalls in Art. 6 Abs. 1 lit f. DSGVO zu finden sein. Ob aber die im Rahmen dieser Erlaubnisnorm vorzunehmende Abwägung zwischen den Interessen des Webseitenbetreibers auf der einen Seite und denen der Webseitennutzer auf der anderen Seite zu Gunsten des Webseitenbetreibers ausfallen wird, dürfte fraglich sein.
Soweit uns bekannt ist, ist dies die erste gerichtliche Entscheidung zum Einsatz von Facebook Custom Audiences. Es bleibt nun abzuwarten, ob der Shopbetreiber gegen die Entscheidung Rechtsmittel einlegt und ob die Parteien neben dem Eilverfahren auch den Weg ins Hauptsacheverfahren suchen. Im einstweiligen Rechtsschutz nimmt das Gericht lediglich eine summarische Prüfung vor. Eine Entscheidung im Hauptsacheverfahren könnte also durchaus noch anders ausfallen.
Datenschutzerklärungs-Generator von SOS-Recht vermeidet Abmahnungen
Die Gefahr von Abmahnungen wegen DSGVO-Verstößen ist durchaus real.
Wir haben auf der Seiten SOS Datenschutz einen Datenschutz-Erklärungsgenerator aufgesetzt, den Sie kostenfrei nutzen können. Mit unserem Datenschutz-Generator können Sie eine Datenschutzerklärung erstellen, die individuell auf Ihr Unternehmen und die Anwendungen Ihrer Webseite ausgerichtet ist. Der Datenschutz-Generator geht damit über das hinaus, was die meisten Muster-Datenschutzerklärungen zu bieten haben. Zudem enthält der Generator viele Umsetzungshinweise – so beispielsweise auch einen zur SSL-Verschlüsselung bei Kontaktformularen.
Sofern auch Sie mit einer Abmahnung konfrontiert sind, sollten Sie anwaltlichen Rat suchen. Gerne können Sie sich bei uns melden – wir verteidigen seit über 10 Jahren Mandanten gegen Abmahnungen. Profitieren auch Sie von unseren Erfahrungswerten. Wir vertreten bundesweit.
Haben Sie bereits eine DSGVO-konforme Datenschutzerklärung?
Seit dem 25.05.2018 müssen alle Webseitenbetreiber eine Datenschutzerklärung vorhalten, die den Anforderungen der Datenschutz-Grundverordnung entspricht. Nutzen Sie hierzu unseren DSGVO-Datenschutz-Generator, mit dem Sie Ihre individuelle Datenschutzerklärung in wenigen Minuten erstellen können.
- DSGVO-konform
- Von Anwälten entwickelt
- Mit vielen wertvollen Umsetzungshinweisen
Hier kostenfrei Datenschutzerklärung erstellen
