EUGH-Urteil zum Facebook-Like-Button (Fashion-ID-Verfahren)

03.08.2019

Es war so zu erwarten. Nach dem bereits oft zitierten Urteil zum Thema Facebook Fanpages hat sich das EUGH nun auch zum Like-Button geäußert und u.a. eine gemeinsame Verantwortlichkeit festgestellt. Was bedeutet das für Webseitenbetreiber?

NOVIDATA Updates

Newsletter Datenschutz & IT-Sicherheit

Mit unserem Newsletter erhälst du aktuelle Informationen zu den Themen Datenschutz & IT-Sicherheit regelmäßig bequem in dein Postfach!

Jetzt anmelden

Vorausgegangen war eine Klage der Verbraucherzentrale gegen den Onlinehändler Fashion-ID. Dieser hatte den Facebook Like-Button in seiner Webseite eingebunden und somit Daten der Besucher (mindestens IP-Adresse) automatisch an Facebook übermittelt. Zusätzlich war es Facebook möglich, Cookies auf den Geräten der Seitenbesucher zu speichern und somit Nutzerprofile zu generieren. Hinzu kam, dass Fashion-ID von seinen Besuchern keine Einwilligung für die Weitergabe der Daten an Facebook eingeholt hat.
 


Das EUGH stellte im Einzelnen fest:
 
 

  1. Gemeinnützige Verbände dürfen zur Wahrung der Interessen gegen Verursacher von Datenschutzverletzungen vorgehen (Art. 80 Abs. 2 DSGVO)
  2. Der Webseitenbetreiber wird durch die Einbindung des Like-Button Quellcodes zum gemeinsam Verantwortlichen. Schließlich sei das „sammeln von Daten“ durch Facebook erst mit der Einbindung des Like-Buttons möglich.
  3. Die Entscheidung darüber, ob der Übermittlung der Daten zwangsweise eine Einwilligung vorweggehen muss oder sich die Übermittlung auf Basis berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) stützen darf, das Landgericht Düsseldorf entscheiden muss.
  4. Sollte eine Einwilligung notwendig sein, ist diese durch den Webseitenbetreiber einzuholen. Gleichzeitig muss er seinen Informationspflichten nachkommen. Beides gelte selbstverständlich nur für die Vorgänge und Prozesse, die der Webseitenbetreiber zu verantworten hat. Zusätzlich muss sichergestellt sein, dass die Einwilligung vor der ersten Verarbeitung / Übermittlung stattfindet.

 

Eine gemeinsame Verantwortlichkeit bedeutet jedoch nicht gleichzeitig eine gleichwertige Verantwortlichkeit. Es sei durchaus möglich, dass ein Verantwortlicher keinen Zugang zu den personenbezogenen Daten hat (in diesem Fall der Webseitenbetreiber). Damit wäre der Betreiber der Webseite nur für die Phase der Erhebung der Daten verantwortlich (im konkreten Fall: Erhebung und Übermittlung von Daten über die Webseite). Auf die Verarbeitung von Facebook (Verarbeiten der Daten, setzen der Cookies) hätte der Betreiber keinerlei Einfluss, da er hier weder über den Zweck noch die Mittel entscheidet.

 

 

Konsequenzen für Betreiber von Webseiten

 

Ungeachtet dessen, ob nun eine Einwilligung notwendig ist oder nicht bleibt festzuhalten, dass bei der Einbindung von Social-Media-Plugins (und eigentlich aller Dritt-Applikationen) von einer gemeinsamen Verantwortlichkeit auszugehen ist. Ob und wann Anbieter eine Vereinbarung zur gemeinsamen Verantwortlichkeit gem. Art. 26 DSGVO anbieten werden, steht in den Sternen.

 

Sollte eine Einwilligung notwendig sein, bedeutet das für 90% aller aktuellen Webseiten einen massiven Umbauaufwand:

 

  • Die Cookiebanner müssen angepasst werden. Es genügt dann nicht mehr, in einem Satz auf das Setzen von Cookies oder die Verwendung einer Trackingsoftware hinzuweisen. Vielmehr muss jede Verarbeitung / Übermittlung einzeln ausgewiesen und eine Einwilligung eingeholt werden
  • Die betroffenen Code-Snippets dürfen erst nach der wirksamen Einwilligungserklärung geladen werden (und nicht wie bis heute bereits beim ersten Laden der Webseite)

 

Es gibt bereits heute eine sehr gute Lösung, zumindest was den Einsatz von Share-Buttons betrifft: die Zwei-Klick-Lösung. Dabei wird beim Betreten der Seite nur ein Bild des Like-Buttons dargestellt. Beim Klick öffnet sich ein kleines Informationsfenster und erst nach dessen Bestätigung wird der eigentliche HTML-Code nachgeladen. Heise-Leser kennen dies bereits unter dem Namen „Shariff-Lösung“.


Datenschutz & IT-Sicherheit

Externer Datenschutzbeauftragter & Externer Informationssicherheitsbeauftragter

Schulungen & Workshops

Professionelle Inhouse und Online-Schulungen zu  
Datenschutz, IT-Sicherheit & Hinweisgeberschutz

Hinweisgeberschutzgesetz

Interne Meldestelle & Digitales 
Hinweisgebersystem NOVIBLOWER.PRO

Newsletter

Stets auf dem aktuellsten Stand mit 
unserem regelmäßigen Newsletter

Hinweis

Dieser Artikel wurde auf Basis der aktuell verfügbaren Literatur erstellt. Er dient als erste Einschätzung von potentiellen Problemen innerhalb der Datenschutzgrundverordnung (DSGVO). Es wird darauf hingewiesen, dass viele der hier behandelten Probleme noch nicht abschließend, insbesondere durch höchstrichterliche Rechtsprechungen, geklärt wurden und teilweise auch noch keine Stellungnahmen der Landesdatenschutzbehörden vorliegen, weshalb zu einigen Punkten unterschiedliche Auffassungen vertreten werden. Ich übernehme daher keine Haftung auf Richtigkeit und Vollständigkeit. Insbesondere ist darauf hinzuweisen, dass jeder Fall gesondert zu prüfen ist und keine individuelle Rechtsberatung ersetzt.


Weitere Artikel

28.10.2024

Erstellst du einen Tätigkeitsbericht zum Datenschutz? So ein Tätigkeitsbericht im Datenschutz ist eine wertvolle Möglichkeit, die Arbeit und Fortschritte des Datenschutzbeauftragten strukturiert festzuhalten und zu dokumentieren. Er bietet eine transparente Übersicht über die datenschutzrechtlichen Maßnahmen und Entwicklungen im Unternehmen und kann der Unternehmensleitung helfen, die Datenschutzlage besser zu verstehen. Aber gibt es eine gesetzliche Pflicht einen Tätigkeitsbericht zu erstellen, für wen ist er überhaupt gedacht und wie ist so ein Tätigkeitsbericht aufgebaut? In diesem Artikel erhältst du Antworten auf zentrale Fragen rund um den Tätigkeitsbericht.

Mehr erfahren ...
23.10.2024

Selbst Jahre nach Einführung der Datenschutz-Grundverordnung (DSGVO) versetzen Auskunftsersuchen viele Unternehmen kurzzeitig in eine Schockstarre. Schließlich handelt es sich hierbei um eines der weitreichendsten Rechte der betroffenen Personen. Das Auskunftsrecht nach Art. 15 DSGVO ermöglicht es den Anfragenden, umfassende Informationen darüber zu erhalten, ob und in welchem Umfang ihre personenbezogenen Daten verarbeitet werden. Darüber hinaus beinhaltet das Recht gegebenenfalls auch eine Kopie der verarbeiteten Daten.

Doch was passiert, wenn keine personenbezogenen Daten der anfragenden Person verarbeitet werden? Eigentlich könnte man die Auskunft in einem solchen Fall recht schnell beantworten: “Wir verarbeiten keine personenbezogenen Daten von Ihnen”. Allerdings lauert hier eine potenzielle Falle, die oft übersehen wird: Was ist mit den Daten aus der Anfrage selbst?

Mehr erfahren ...
13.10.2024

Stell dir vor, du bekommst eine vertraute E-Mail von einem Geschäftspartner. Es geht um eine Überweisung, die dringend erledigt werden muss. Die Bankverbindung sieht neu aus, aber du machst dir nichts dabei und überweist das Geld. Ein paar Tage später erfährst du, dass das Geld auf einem fremden Konto gelandet ist. Willkommen in der Welt des modernen Cyberbetrugs – ein Problem, das immer häufiger wird, auch in Deutschland.

Mehr erfahren ...
07.10.2024

Diese Klarstellung war seit Jahren erwartet worden: Der EuGH hat am 4. Oktober 2024 entschieden, dass die DSGVO einer nationalen Regelung nicht entgegensteht, die es Mitbewerbern erlaubt, Verstöße gegen den Datenschutz als unlautere Geschäftspraxis gerichtlich geltend zu machen.

Mehr erfahren ...

Externer Datenschutzbeauftragter

Sie benötigen einen externen Datenschutzbeauftragten für Ihr Unternehmen? Wir beraten Sie gerne. Kontaktieren Sie uns und fordern Sie ein unverbindliches Angebot an.

Unverbindliches Angebot anfordern
Inhalt wird geladen ...