Navigation auf uzh.ch
Navigation auf uzh.ch
Hintergrund
Am 29. Juli 2019 hat sich die Zweite Kammer des Europäischen Gerichtshofs in der Rechtssache C-40/17 mit einem Vorabentscheidungsersuchen nach Art. 267 AEUV des Oberlandgerichtes Düsseldorf befasst. Im Ausgangsverfahren erhob die Verbraucherzentrale NRW, gegen Fashion ID, einen deutschen Online-Modehändler Klage auf Unterlassung der Einbindung des sog. „Gefällt mir“-Button von Facebook in dessen Website.
Konkret wurde dem Online-Händler vorgeworfen, bei blossem Aufrufen seiner Website personenbezogene Daten der Besucher an Facebook Ireland übermittelt zu haben – und zwar unabhängig davon, ob diese Facebook-Mitglied waren oder den „Gefällt mir“-Button überhaupt angeklickt haben.
Der EuGH war aufgerufen, Stellung zu beziehen, ob die Richtlinie 95/46/EG dahin auszulegen sei, dass sie einer nationalen Regelung, die es Verbänden zur Wahrung von Verbraucherinteressen erlaubt, gegen den mutmasslichen Verletzer von Vorschriften zum Schutz personenbezogener Daten Klage zu erheben, entgegenstehe. Im Übrigen wurde vom vorlegenden Oberlandesgericht um Aufklärung dahingehend gebeten, ob bei Einbindung eines Social Plugins (wie des Facebook „Like“-Buttons) der Einbindende selbst dann als ein „für die Verarbeitung Verantwortlicher“ im Sinne von Art. 2 Buchst. d der Richtlinie anzusehen ist, wenn er selbst den Datenverarbeitungsvorgang nicht beeinflussen kann.
Der EuGH wies zunächst darauf hin, dass eines der zentralen Richtlinienziele die Gewährleistung eines wirksamen und umfassenden Schutzes insbesondere des Grundrechts auf Privatleben bei der Verarbeitung personenbezogener Daten sei. In diesem Zusammenhang sei der Umstand, dass ein Mitgliedstaat die Möglichkeit für einen Verbraucherverband vorsehe, gegen den mutmasslichen Verletzer von Vorschriften zum Schutz personenbezogener Daten Klage zu erheben, diesem Ziel keineswegs abträglich, sondern begünstige im Gegenteil dessen Erreichung. Daran vermöge auch die Tatsache nichts zu ändern, dass in der fraglichen Richtlinie nicht explizit eine Bestimmung statuiert sei, die eine solche Klagebefugnis beinhalte, da der Gerichtshof klarstellte, dass die Richtlinie trotz grundsätzlich umfassender Harmonisierung, auch Vorschriften enthalte, die vergleichsweise allgemein gehalten sind und der Konkretisierung bedürften. Dies gelte für Art. 22 bis 24 der Richtlinie, welche die Klagebefugnis zum Gegenstand haben. Die Klagebefugnis des Verbandes sei demnach ohne weiteres mit dem Unionsrecht vereinbar.
Hinsichtlich der zweiten Frage war vorauszuschicken, dass eine Verarbeitung personenbezogener Daten aus einem oder mehreren Vorgängen bestehen kann. Ferner ist der Begriff „für die Verarbeitung Verantwortlicher“ in Art. 2 Buchst. d der Richtlinie so auszulegen, dass mehrere datenverarbeitende Akteure jeweils als Verantwortliche zu qualifizieren seien.
Der Gerichtshof hielt fest, dass Fashion ID mit der Einbindung des Facebook „Like-Buttons“ das Erheben und die Übermittlung von personenbezogenen Daten an Facebook Ireland ermöglicht hat. Er folgerte daraus, dass Facebook Ireland und Fashion ID gemeinsam über die Mittel, die dem Erheben personenbezogener Daten zugrunde lagen, entschieden hätten. Fashion ID sei daher als für die Verarbeitung (Mit-)Verantwortlicher im Sinne von Art. 2 Buchst. d der Richtlinie zu qualifizieren, wobei sich die Verantwortlichkeit auf den Vorgang des Erhebens bzw. der Weitergabe der Daten durch Übermittlung beschränke, nicht jedoch auf vor- oder nachgelagerte Vorgänge in der Verarbeitungskette, auf welche sie keinen Einfluss habe.
Fazit
Der EuGH bejahte eine Verpflichtung der Fashion ID, für das Erheben der Daten und deren Übermittlung an Facebook Ireland den eigenen Besuchern zum Zeitpunkt des Erhebens jeweils die eigene Identität und die Zwecke der Verarbeitung mitzuteilen. Ferner habe die für die Verarbeitung erforderliche Einwilligung nach Art. 2 Buchst. h und Art. 7 Buchst. a der Richtlinie jeweils vor dem Erheben der Daten der betroffenen Person und deren Weitergabe zu erfolgen. Daher obliege es Fashion ID als dem Betreiber der Website und nicht dem Anbieter des Social Plugins, eine solche Einwilligung einzuholen. Die Einwilligung sei zwar, so der Gerichtshof, nur, aber immerhin für die Vorgänge einzuholen, für die er (mit-)verantwortlich ist, allerdings müsse der Bearbeiter, damit eine Rechtfertigung für diese Vorgänge vorliege, mit dem Vorgang ein berechtigtes Interesse verfolgen.
Der Entscheid des Europäischen Gerichtshofs überzeugt. Auf einem anderen Blatt steht hingegen, wieviel damit tatsächlich für den durchschnittlichen Website-Besucher gewonnen ist. Das Thema der informationellen Selbstbestimmung wird dementsprechend auch inskünftig ein aktuelles bleiben.
Michele Volpe
Der Beitrag gibt ausschliesslich die persönliche Meinung des Verfassers wieder.
