Der EuGH hat am 29.07.2019 entschieden: Website-Betreiber sind mit facebook "gemeinsam Verantwortlich", wenn sie den LikeButton auf der eigenen Website einbinden. Wie ist das zu verstehen? Welche Auswirkungen hat das?

Die Fakten

Den genauen Hergang des juristischen Verfahrens findet sich wie immer sehr übersichtlich auf dejure.org:

https://dejure.org/dienste/vernetzung/rechtsprechung?Text=C-40/17

Das EuGH-Urteil hat Herr Nicholas Vollmer hier kritisch kommentiert.

Den Schlussantrag des EU-Generalanwalts hat Herr Nicholas Vollmer hier kritisch kommentiert.

Wie ist das EuGH-Urteil zu verstehen?

Dem EuGH-Urteil liegt der Schlussantrag des EU-Generalanwalts zugrunde (siehe obigen Hyperlink). Er sieht sich offensichtlich verpflichtet die bisherige EuGH-Rechtsprechung fortzuführen (facebook-fanpage und Zeugen-Jehovas). Andererseits will er aber vermeiden, dass die "gemeinsame Verantwortlichkeit" ausufert und somit schlägt er vor, die Verantwortlichkeit einer Verarbeitungs-Kette aufzuteilen. Das Problem aus heutiger Sicht: Eine "gemeinsame Verantwortung" gemäß Artikel 26 DS-GVO lässt sich nicht auftrennen, denn sie ist per Definition "gemeinsam". Wie sagt ein altes Sprichwort "mitgefangen, mitgehangen".

Eine Verarbeitungskette ist gemäß dem EU-Workingpaper 169 aber eben KEINE gemeinsame Verantwortlichkeit, sondern einfach nur die Hintereinanderschaltung verschiedener Verantwortlicher (siehe dort in den Beispielen 7 und 9). Diese Einschätzung hätte der EU-Generalanwalt vielleicht besser berücksichtigt.

Der entscheidende Hinweis zum Verständnis einer "gemeinsamen Verantwortlichkeit" lässt sich dem DS-GVO-Erwägungsgrund 92 entnehmen (der aber keine Rolle spielen darf, weil der deutsche Gerichtsprozess aus Zeiten vor der DS-GVO stammt): Entscheidend ist die "gemeinsame Anwendung oder Verarbeitungsumgebung"... und genau diese liegt beim facebook-LikeButton eigentlich nicht vor.

Das eigentliche EuGH-Urteil besagt basierend auf diesen EU-Generalanwalts-Einschätzungen: Weil sowohl der Website-Betreiber als auch facebook gewisse wirtschaftliche Interessen haben, liegt ein gemeinsamer Zweck vor. Dünner lässt sich eine "gemeinsame Verantwortlichkeit" wohl kaum begründen. Der EuGH kommt in RdNr. 80 seiner Entscheidung völlig überraschend (und ohne erkennbare Begründung) zu besagtem Ergebnis. Außerdem sei jeder Verantwortlicher für seinen Teil zuständig.

Aus unserer Sicht ist eine "gemeinsame Verantwortlichkeit" mit einer Ehe zu vergleichen. Man ist auf Gedeih und Verderb miteinander verbunden. Schulden macht man gemeinsam. Zugewinn macht man gemeinsam. Das Erziehungsrecht teilt man sich. In einem Ehe-Vertrag kann (und sollte) man grundlegende Fragen klären. Und hier sagt der EU-Generalanwalt: Lasst uns die Ehe auftrennen in Gewinn/Schulden, Altersversorgung, Erziehungsrecht und so weiter. Das widerspricht dem Kern der Sache.

Nun liegt es wieder beim OLG Düsseldorf über die Sachfrage zu entscheiden. Das wird spannend.

Welche Auswirkungen hat das EuGH-Urteil?

Aus unserer Sicht wurde das EuGH-Urteil im Juli 2019 von niemandem kritisch gelesen, sondern nur wohlwollend zur Kenntnis genommen. Insofern wird sich die "gemeinsame Verantwortlichkeit" epidemisch ausbreiten.

Die "gemeinsame Verantwortlichkeit" wird dann fein säuberlich in die die Anteile eines jeden Verantwortlichen zerlegt. Irgendwann (in fünf bis 10 Jahren) wird dann mal jemand sagen: "Hey, aber das widerspricht doch der DS-GVO! Der EuGH muss neu entscheiden!". Und so wird es dann auch kommen.

Bis dahin gilt:

1. Die "gemeinsame Verantwortlichkeit" wird in Zukunft bei vielen Daten-Transfers wohl (leider) als das geeignete Mittel angesehen werden. Die Grundlage ist immer das wirtschaftliche Interessen, was per Definition alle Unternehmen haben (müssen).
   
   
2. Es besteht eine Vertragspflicht gemäß Artikel 26 DS-GVO zwischen den beteiligten Verantwortlichen. Dies ist keine triviale Aufgabe, wenn man das hin-und-her hinsichtlich der facebook-fanpage-insights betrachtet. Da es hier um beträchtliche gemeinsame Haftungsrisiken gibt, werden sich die Anwälte freuen, die diese Verträge formulieren müssen. (Der normale Datenschutzbeauftragte ist dazu nicht befugt.)
   
   
3. Angesichts der gemeinsamen Haftung wird es interessant, was die die Wirtschaftsprüfer sagen, wenn sich herausstellt, dass der kleine Mittelständler gemäß Artikel 26 (3) DS-GVO theoretisch mit Schadenersatzforderungen rechnen muss, die wegen Fehlverhalten von z.B. google oder facebook geltend gemacht werden könnten.
   
   
4. In den Transparenztexten wird man den betroffenen Personen eine "gemeinsame Verantwortlichkeit" mitteilen müssen und gemäß Artikel 26 (2) DS-GVO die wesentlichen Vertragsbestandteile öffentlich machen müssen. Viel Spaß dabei!

Interessieren Sie sich für solche Themen? Dann werfen Sie einen Blick auf unseren PrivazyPlan®; eine ausführliche Leseprobe wird Sie überzeugen. Die ca. 50 Pflichten der DS-GVO sind machbar! Der TOM-Guide® ist dazu die perfekte Ergänzung, denn er beschreibt auf über 600 Seiten viele technisch-organisatorische Maßnahmen.

© Das Urheberrecht dieser Meldung liegt bei Nicholas Vollmer. Sie dürfen diesen Text nicht unverändert übernehmen und bei umfangreichen Zitaten den Urheberrechts-Hinweis nicht entfernen.