Der Europäische Gerichtshof (EuGH) hat aktuell entschieden, dass ein Webseitenbetreiber bei Einbindung des „Like-Buttons“ von Facebook gemeinsam mit dem Plugin-Anbieter datenschutzrechtlich verantwortlich für das Erheben und die Übermittlung personenbezogener Daten ist. Insoweit muss der Webseitenbetreiber seiner Informationspflicht nachkommen (Urteil vom 29.07.2019, Az. C 40/17). Das Abmahnrecht von Verbraucherschutzverbänden in diesem Zusammenhang wurde vom EuGH bestätigt.
Im entschiedenen Fall wurden durch das Einbinden des Facebook-Like-Buttons in die Website automatisch personenbezogene Daten der Webseitenbesucher (wie z.B. die IP-Adresse) allein mit dem Öffnen der Website an Facebook weitergegeben, unabhängig davon, ob der jeweilige Webseitenbesucher den Button selbst angeklickt hatte. Auch in den datenschutzrechtlichen Informationspflichten wurde der Webseitenbesucher nicht über diese Vorgänge aufgeklärt. Das Urteil wird als richtungsweisend für den Einsatz von Social-Plugins – nicht nur von Facebook, sondern auch von anderen Anbietern solcher Services und Tools wie Instagram, Whatsapp, Twitter, Pinterest u.ä. – angesehen.
Soweit Webseiten- oder Onlineshop-Betreiber nicht generell auf Social-Plugins verzichten wollen, müssen sie zumindest Ihrer datenschutzrechtlichen Informationspflicht auch bezüglich der Frage nachkommen, welche Daten über die verwendeten Social-Plugins erhoben und dem Plugin-Anbieter übermittelt werden. Da der EuGH von einer gemeinsamen Verantwortlichkeit des Webseitenbetreibers und des Plugin-Anbieters ausgeht, müssen diese beiden Beteiligten eine Vereinbarung zur gemeinsamen Datenverarbeitung nach Art. 26 DSGVO abschließen, die die jeweiligen tatsächlichen Funktionen und Beziehungen der gemeinsam Verantwortlichen gegenüber der betroffenen Person gebührend widerspiegelt. Das Wesentliche der Vereinbarung muss der betroffenen Person in der Datenschutzerklärung mitgeteilt werden. Da Facebook und auch andere Plugin-Anbieter derzeit einen solchen Vertrag noch nicht vorhalten, besteht allein deshalb akute Abmahngefahr bei Verwendung des Like-Buttons und ähnlicher Plugins. Daneben ist das Fehlen einer Vereinbarung zur gemeinsamen Datenverarbeitung auch bußgeldbewehrt.
Nicht geklärt hat der EuGH, ob der Einsatz des Plugins sogar eine vorherige gegenüber dem Webseitenbetreiber zu erklärende Einwilligung des Webseitenbesuchers erfordert oder ob dies auch ohne Einwilligung bereits auf Grundlage einer sog. Interessenabwägung zulässig ist. Soweit der Plugin tatsächlich auch sog. Cookies setzt, wäre nach Ansicht des EuGH eine Einwilligung notwendig. Webseitenbetreibern ist sicherheitshalber weiterhin zu empfehlen, die bereits bekannte Zwei-Klick-Lösung oder den Shariff-Button einzusetzen. Auch bei diesen Lösungen muss allerdings im Rahmen der Datenschutzerklärung angegeben werden, welche Daten genau erhoben und übermittelt werden bzw. welche Vereinbarungen mit dem Plugin-Anbieter geschlossen wurden.
Kontakt:
RA Kai-Uwe Götz, goetz@gesamtmasche.hosting2.tn-rechenzentrum1.de/.