Social Media Plugins wie der Like- und Share-Button von Facebook kommen auf Webseiten aller Art zum Einsatz. Die Betreiber erhoffen sich dadurch eine Vergrößerung der Reichweite und mehr Traffic, da Seitenbesucher die Inhalte „liken“ und mit ihrem sozialen Netzwerk teilen.
Was ist das Problem bei der Verwendung von Social Media Plugins?
Datenschützer stören sich schon seit einiger Zeit an dem Datenhunger der Plugins. Warum? Die Plugins verarbeiten personenbezogene Daten und erstellen Persönlichkeitsprofile. Nutzer werden darüber nicht informiert. Bei jedem Aufruf der Website mit direkt eingebundenem Social Media Plugin verschickt dieses automatisch Daten an den Social-Media-Anbieter. Das geschieht unabhängig davon, ob ein Webseiten-Besucher auf diesem Social-Media-Kanal registriert ist oder nicht. Das Problem ist, dass Daten über Seitenbesucher bereits beim Laden der Website erfasst und übertragen werden.
Ist ein Websitebetreiber hierfür verantwortlich?
Aktuell - EuGH, Urteil vom 29.07.2019, C-40/17, Celex-Nr. 62017CJ0040 - „Fashion ID“
Der EuGH hatte folgende Rechtsfragen zu Social Plugin zu entscheiden: Bezogen auf das direkte Einbinden eines „Gefällt-mir-Buttons“ von Facebook auf eine Unternehmenswebsite hatte das OLG Düsseldorf den EuGH im Wege einer Vorlageentscheidung um Entscheidung gebeten, ob und in welchem Umfang ein Betreiber einer Website gemeinsam mit einem Anbieter eines Social Plugins für Datenschutzverstöße des Anbieters (mit-)verantwortlich ist und welche Pflichten den Betreiber einer Website dann treffen.
Der EuGH hat entschieden, dass eine Mitverantwortlichkeit eines Websitebetreibers nur für die Verarbeitungsvorgänge besteht und Rechtsfolgen auslöst, für die ein Websitebetreiber tatsächlich die Mittel und Zwecke festlegt (Erheben und Weitergabe der Daten an den Social Media Anbieter). Für weitere Verarbeitungen durch den Social Media Anbieter trifft den Websitebetreiber keine Verantwortung und auch keine Rechtspflicht (differenzierte Verantwortlichkeit).
Sachverhalt – Worum ging es?
Im vom EuGH entschiedenen Fall ging es um ein Social Plugin, das direkt auf der Website eines Unternehmens eingebunden war. Dies hatte zur Folge, dass der Browser personenbezogene Daten von Besuchern der Website (unabhängig davon, ob die Besucher bei dem Social Media Anbieter registriert waren) abgefragt und an den Social Media Anbieter weitergeleitet hat, so dass dieser die Daten der Websitebesucher weiterverarbeiten konnte.
Der EuGH hat die Rechtsfragen zu Social Plugin in dem Zwischenstreit wie folgt entschieden:
- Bindet ein Unternehmen auf seiner Website ein Social Plugin direkt ein, so ist es gemeinsam mit dem Anbieter dieses Social Plugin mitverantwortlich dafür, dass der Anbieter hierüber personenbezogene Daten erhebt und ein Websitebetreiber ihm durch Übermittlung diese Daten weitergibt. Die Mitverantwortung erstreckt sich nicht darauf, was der Social Media Anbieter anschließend mit diesen Daten tut.
- Die Verantwortung eines Betreibers einer Website ist begrenzt auf die Vorgänge, auf die er tatsächlich Einfluss hat, d. h. in denen er über Mittel und Zwecke (mit-)entscheidet.
- Mittel: „Gefällt-mir-Button“ von Facebook
- Zwecke: Optimierung von Werbung und Produktabsatz über das Social Media
- Jeder, der gemeinsam mit anderen für eine Verarbeitung personenbezogener Daten verantwortlich ist, benötigt eine Rechtsgrundlage, welche die Datenverarbeitung im jeweiligen Einzelfall erlaubt.
- Mögliche Rechtsgrundlage für die Einbindung des Social Plugin:
jeweils ein berechtigtes Interesse an der Datenverarbeitung
- Mögliche Rechtsgrundlage für Websitebetreiber für eine Weiterleitung der personenbezogenen Daten an den Social Media Anbieter:
Einwilligung der Besucher (begrenzt auf seinen Verantwortungsbereich, d. h. Erheben und Weiterleiten der Daten) oder eine andere zulässige Rechtsgrundlage (z. B. im überwiegenden Interesse des Besuchers):
Hier bleibt abzuwarten, wie die Datenschutzaufsichtsbehörden sich hierzu äußern.
- Den Betreiber einer Website trifft eine Informationspflicht – allerdings nur bezogen auf seinen Mitverantwortungsbereich. Der Websitebetreiber hat den Besucher seiner Website hierüber sofort zu informieren, d. h. zum Zeitpunkt der Erhebung der personenbezogenen Daten. Es bleibt abzuwarten, welche technischen Lösungen die Datenschutzaufsichtsbehörden hier akzeptieren werden. Derzeit sind dies die 2-Klick-Lösung und die Shariff-Lösung.
Welches Recht lag der Entscheidung des EuGH zugrunde?
Der Sachverhalt beruht auf einem Rechtsstreit aus 2015. Daher hatte der EuGH die Rechtsfragen anhand der Datenschutzregelungen zu entscheiden, die vor der DSGVO maßgebend waren (Richtlinie 95/46/EG).
Offen ist, ob diese Rechtsfragen im Lichte der DSGVO ebenso zu entscheiden wären oder ob Begrifflichkeiten der DSGVO in Einzelaspekten anders gesehen werden müssen.
Welche Lösungen gibt es jetzt?
Die Einbindung ist rechtmäßig möglich, soweit vorher eine Einwilligung des Nutzers eingeholt und in der Datenschutzerklärung über den Einsatz informiert wird.
Für die rechtssichere Einbindung der Social Media Plugins sind drei Varianten empfohlen.
- Die Shariff-Lösung
Diese Lösung ist eine Weiterentwicklung der 2-Klick-Lösung. Ein Skript ruft ab, wie häufig eine Seite auf X geteilt oder „geliked“ wurde. Dabei erfolgt eine Übertragung der IP-Adresse des Webseiten-Servers und nicht der IP-Adresse des Rechners des Besuchers. Eine Verbindung zwischen den Social-Media-Anbietern und Seitenbesuchern findet erst statt, wenn diese aktiv werden und die Plugins aktiv nutzen (z. B. durch Anklicken). Die Social-Media-Buttons von Shariff schützen die Privatsphäre der Besucher so gut wie das 2-Klick-Verfahren, bei diesen ist jedoch kein zweiter Klick nötig. Bei den Schaltflächen handelt es sich um HTML-Links, die Sie mit CSS individuell gestalten können.
- Die 2-Klick-Lösung
Bei dieser Variante muss der Seitenbesucher erst ein Symbol anklicken, um dieses Social Media Plugin zu aktivieren. Um das Social Media Plugin zu nutzen, muss der Webseiten-Besucher ein weiteres Mal darauf klicken. Erst dann werden seine Nutzerdaten an den Social Media-Anbieter übertragen.
- Vollständiger Verzicht
Ein Verzicht auf die Social Media Plugins ist die einfache Lösung, für Webseitenbetreiber aufgrund der verminderten Marketing-Möglichkeiten jedoch nicht attraktiv.
Fazit
Social Media Plugins eröffnen Webseiten-Betreibern wertvolle Möglichkeiten des Marketings. Statt auf die Verwendung zu verzichten, ist die Shariff-Lösung für die Einbettung der Social Media Plugins empfohlen und besser als die 2-Klick-Lösung. Die Verwendung von Social Media Plugins ist in der Datenschutzerklärung zu erläutern. Ferner bleibt abzuwarten, wie das OLG Düsseldorf, an das der EuGH den Fall zurückverwiesen hat, den Sachverhalt abschließend entscheiden wird.