Aktuelles

Brandneues vom EuGH: Social Plugins (“Facebook-Button”) machen Probleme. Sie speichern Daten, keiner weiß welche, und leiten sie weiter. Was damit geschieht, weiß auch niemand. Welche Rechte Sie als Nutzer dabei haben, hat jetzt der Europäische Gerichtshof entschieden.

Brandneues vom EuGH: Social Plugins (“Facebook-Button”) machen Probleme. Sie speichern Daten, keiner weiß welche, und leiten sie weiter. Was damit geschieht, weiß auch niemand. Welche Rechte Sie als Nutzer dabei haben, hat jetzt der Europäische Gerichtshof entschieden.

Es ist bis heute das bekannteste Symbol von Facebook: Der ausgestreckte weiße Daumen ist im Internet das universelle Zeichen für "Gefällt mir". 2009 führte Facebook die als Like-Button bekannte Schaltfläche ein, damit die Nutzerinnen und Nutzer ihre Zustimmung für Beiträge oder Fotos von anderen bekunden konnten. Wenig später tauchte der Like-Button auch außerhalb von Facebook auf. Websitebetreiber konnten ihn in Form eines kleinen Social-Media-Plugins auf ihren Seiten einbinden, sodass Besucher die Inhalte schnell teilen konnten.

Jetzt, zehn Jahre nach der Einführung, beschäftigte sich der Europäische Gerichtshof (EuGH) mit genau dieser Einbindung.

Der konkrete Fall

Fashion ID, ein Online-Händler für Modeartikel, der zu Peek & Cloppenburg gehört, band in seine Website das Social Plugin „Gefällt mir“ des sozialen Netzwerks Facebook („Gefällt mir“-Button von Facebook) ein.

Die Verbraucherzentrale Nordrhein Westfalen, ein gemeinnütziger Verband zur Wahrung von Verbraucherinteressen, wirft Fashion ID vor, personenbezogene Daten der Besucher ihrer Website ohne deren Einwilligung und unter Verstoß gegen die Informationspflichten nach den Vorschriften über den Schutz personenbezogener Daten an Facebook Ireland übermittelt zu haben.

Offenbar erfolgt diese Übermittlung, ohne dass sich der Besucher dessen bewusst ist und unabhängig davon, ob er Mitglied des sozialen Netzwerks Facebook ist oder den „Gefällt mir“-Button von Facebook anklickt.

Welche Fragen sollte der EuGH beantworten?

Die wichtigste Frage: Wer ist für den Like-Button verantwortlich: Facebook selbst oder die Seite, die ihn einbaut? Müssen Unternehmen die Nutzer über die Verwendung ihrer Daten aufklären und ein Einverständnis einholen? Und könnte ein Unternehmen als sogenannter Störer haftbar gemacht werden, selbst wenn die Verantwortung bei Facebook liegt?

Wie haben die Richter in Luxemburg entschieden?

Websitebetreiber müssen künftig beim Besuch der Website darauf hinweisen, dass Daten erhoben und übermittelt werden. Das könnte etwa durch eine Pop-Up-Warnung  geschehen, in der auf die Datenschutzbestimmungen hingewiesen wird. Viele Websites nutzten schon jetzt eine weniger aggressive „Zwei-Klick-Lösung“. Hier wird zunächst nur ein Bild des Like-Button eingeblendet und erst nach einem Klick darauf beginnt die Datenübermittlung.

Oder wie es der EuGH formuliert: „…. Seine [die des Homepagebetreibers] Verantwortlichkeit ist jedoch - im Hinblick auf seinen eingeschränkten Entscheidungsspielraum bezüglich Art und Umfang der übermittelten Daten - auf das Erheben der personenbezogenen Daten und deren Weitergabe durch Übermittlung beschränkt. Er muss auch nur dafür - dh im Rahmen seines Entscheidungsspielraums - die Einwilligung der Seitenbesucher einholen bzw sie darüber informieren.“

Welche Folgen hat das Urteil?

Die Auslegung des EuGH dürfte eine Vorbildwirkung für künftige Urteile haben, die Social Plugins betreffen, also auch auf anderen Seiten und auch von anderen Anbietern als Facebook. Auch Google, Twitter oder Pinterest bieten ähnliche Schaltflächen an.

Was machen diese „Social-Plugins“ eigentlich genau?

Der Browser eines Internetbesuchers kann Inhalte aus verschiedenen Quellen darstellen, die in eine Website eingebunden sind, etwa Fotos, Videos, Newsfeeds oder auch - wie hier - den „Gefällt mir“-Button von Facebook. Will der Betreiber einer Website derartige Drittinhalte einbinden, setzt er auf dieser Website einen Verweis auf den externen Inhalt. Stößt der Browser des Besuchers auf einen derartigen Verweis, fordert er den Inhalt von dem Drittanbieter an und fügt ihn an der gewünschten Stelle in die Darstellung der Website ein. Hierzu übermittelt der Browser dem Server des Drittanbieters die IP-Adresse des Rechners dieses Besuchers sowie die technischen Informationen des Browsers, damit der Server feststellen kann, in welchem Format der Inhalt an welche Adresse auszuliefern ist. Daneben übermittelt der Browser auch Informationen zu dem gewünschten Inhalt. Welche Informationen der Browser übermittelt und was der Drittanbieter mit diesen Informationen macht, insbesondere, ob er diese speichert und auswertet, kann der den Drittinhalt auf seiner Website einbindende Betreiber nicht beeinflussen.

Hier geht es zur gesamten Entscheidung EuGH 29.07.2019, C-40/17, Fashion ID

Hinweis:

Die RL 95/46/EG wurde mit Wirkung zum 25. 5. 2018 aufgehoben und durch die VO (EU) 2016/679 (DSGVO) ersetzt. Die Richtline ist jedoch in Anbetracht des für den Ausgangsrechtsstreit maßgeblichen Zeitraums auf diesen anwendbar.