Social MediaUrteil im Fall Facebook-Fanpages

Im Februar 2023 hatte der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) den Betrieb der Facebook-Fanpage der Bundesregierung aufgrund von Datenschutzmängeln untersagt (wir berichteten). Der damalige Behördenchef Ulrich Kelber vertrat die Auffassung, dass wegen der nicht datenschutzkonformen Ausgestaltung des von Meta genutzten Cookie-Banners keine wirksame Einwilligung der Besucher der Fanpage für die Speicherung bestimmter Cookies vorläge. Dagegen hatte das Bundespresseamt (BPA) geklagt. Und obwohl der Bescheid nicht an den Facebook-Betreiber Meta Platforms gerichtet war, hatte der Technologiekonzern ebenfalls eigenständig Klage erhoben.

Klage des BPA wurde stattgegeben

In dem daraus resultierenden, verbundenen Verfahren hat das Verwaltungsgericht Köln der Klage nun zum Teil stattgegeben und den Bescheid aus dem Jahr 2023 aufgehoben, die Klage des Technologiekonzerns Meta wurde in drei von vier Punkten abgewiesen. Dieses Urteil des Verwaltungsgerichts Köln bestätigt die Auffassung des BPA, dass allein Meta verpflichtet sei, die datenschutzkonforme Ausgestaltung des Sozialen Netzwerks Facebook sicherzustellen, so der Bundestag in seiner Meldung zum Urteil. Fragen zu Datenverarbeitungen von Meta seien damit unmittelbar gegenüber Meta zu klären „Das Urteil bestätigt uns darin, an unserem Facebook-Auftritt als wichtigem Bestandteil unserer Öffentlichkeitsarbeit festzuhalten“, sagte Regierungssprecher Stefan Kornelius.

Auch wenn sich die konkrete Entscheidung auf die Bundesregierung bezieht, dürfte sie weiter reichen, denn das Datenschutzrecht gilt für alle Ebenen – also neben dem Bund auch für Länder und Kommunen.

Klarheit – wenigstens ein bisschen

Die amtierende BfDI Louisa Specht-Riemenschneider betonte, dass viele Behörden in Deutschland auf Antworten aus diesem Gerichtsverfahren gewartet hätten, um ihre eigene Social-Media-Strategien rechtskonform auszurichten. Auch seien in manchen Bundesländern noch Verfahren anhängig, so zum Beispiel in Sachsen, aber auch in anderen europäischen Ländern. Das Kölner Urteil ist ebenfalls noch nicht rechtskräftig. Die Bundesdatenschutzbeauftragte will die Anrufung der nächsten Instanz immerhin erwägen: „Ich werde mir die Urteilsbegründung sehr gründlich ansehen und entscheiden, ob ich die Sache der nächsthöheren Instanz, dem Oberverwaltungsgericht Münster, zur Entscheidung vorlege.“

Geteilte Verantwortung von Facebook und Fanpage-Betreibern?

Das Verfahren geht unter anderem auf eine Entscheidung des Europäischen Gerichtshofs aus dem Jahr 2018 zurück (EuGH, Urt. v. 05.06.2018, C-210/16 „Wirtschaftsakademie“). Das höchste Gericht der Europäischen Union hatte hier entschieden, dass nicht Facebook allein für Einhaltung des Datenschutzes auf seiner Plattform zuständig ist, sondern auch die Betreiber der Fanpages für Datenschutzmängel verantwortlich gemacht werden können. Diese gemeinsame Verantwortung von Plattform und Seitenbetreibern ist inzwischen durch eine Vielzahl weiterer Urteile auf europäischer Ebene gefestigt und ausgebaut worden (z.B. EuGH, Urt. v. 10.07.2018, C-25/17 „Zeugen Jehovas“ und EuGH, Urt. v. 29.07.2019, C-40/17 „Fashion ID“). Ob nun auch zwischen Meta und dem BPA eine gemeinsame Verantwortlichkeit bestand, lag dem Kölner Verwaltungsgericht zur Klärung vor.