Daten­schutz­behörde kann Betrieb einer Facebook-Fanpage untersagenPflicht zur Abschaltung einer Fanpage kann bei schwerwiegenden daten­schutz­rechtlichen Mängeln zulässig sein

Gegenstand des zugrunde liegenden Revisi­ons­ver­fahrens war eine Anordnung der schleswig-holsteinischen Daten­schutz­aufsicht, mit der die Klägerin, eine in Kiel ansässige Bildungs­ein­richtung, unter der Geltung der Daten­schutz­richtlinie (Richtlinie 95/46/EG) verpflichtet worden war, die von ihr bei Facebook betriebene Fanpage zu deaktivieren. Der Bescheid beanstandete, dass Facebook bei Aufruf der Fanpage auf perso­nen­be­zogene Daten der Internetnutzer zugreife, ohne dass diese gemäß den Bestimmungen des Teleme­di­en­ge­setzes über Art, Umfang und Zwecke der Erhebung sowie ein Wider­spruchsrecht gegen die Erstellung eines Nutzungsprofils für Zwecke der Werbung oder Marktforschung unterrichtet würden. Ein gegenüber der Klägerin als Betreiberin der Fanpage erklärter Widerspruch des Nutzers bleibe mangels entsprechender technischer Einwir­kungs­mög­lich­keiten folgenlos.

Vorinstanzen verneinen daten­schutz­rechtliche Verant­wort­lichkeit

Die Klage hatte in den Vorinstanzen Erfolg. Das Oberver­wal­tungs­gericht hat eine daten­schutz­rechtliche Verant­wort­lichkeit der Klägerin abgelehnt, weil sie keinen Zugriff auf die erhobenen Daten habe. Dagegen wandte sich der Beklagte im vorliegenden Revisi­ons­ver­fahren.

EuGH bejaht Mitver­ant­wortung von Fanpage-Betreibern bei Daten­ver­a­r­beitung

Auf Vorlage des Bundes­ver­wal­tungs­ge­richts (Beschluss vom 25. Februar 2016 - BVerwG 1 C 28.14) entschied der Gerichtshof der Europäischen Union mit Urteil vom 5. Juni 2018, dass der Betreiber einer Fanpage für die durch Facebook erfolgende Datenverarbeitung mitver­ant­wortlich ist. Denn er ermöglicht durch den Betrieb der Fanpage Facebook den Zugriff auf die Daten der Fanpage-Besucher.

Klägerin durfte grundsätzlich für Herstellung daten­schutz­kon­former Zustände bei Nutzung der Fanpage in die Pflicht genommen werden

Das Bundes­ver­wal­tungs­gericht hat auf der Grundlage dieser bindenden Vorgabe das Berufungsurteil aufgehoben und den Rechtsstreit an das Schleswig-Holsteinische Oberver­wal­tungs­gericht zurückverwiesen. Um das von der Daten­schutz­richtlinie bezweckte hohe Daten­schutz­niveau möglichst zügig und wirkungsvoll durchzusetzen, konnte sich der Beklagte bei der Auswahl unter mehreren daten­schutz­recht­lichen Verant­wort­lichen vom Gedanken der Effektivität leiten lassen und ermes­sen­feh­lerfrei die Klägerin für die Herstellung daten­schutz­kon­former Zustände bei Nutzung ihrer Fanpage in die Pflicht nehmen. Er musste nicht gegen eine der Unter­glie­de­rungen oder Niederlassungen von Facebook vorgehen, weil das wegen der fehlenden Koope­ra­ti­o­ns­be­reit­schaft von Facebook mit erheblichen tatsächlichen und rechtlichen Unsicherheiten verbunden gewesen wäre. Erweisen sich die bei Aufruf der Fanpage ablaufenden Daten­ver­a­r­bei­tungen als rechtswidrig, so stellt die Deakti­vie­rungs­a­n­ordnung ein verhält­nis­mäßiges Mittel dar, weil der Klägerin keine anderweitige Möglichkeit zur Herstellung daten­schutz­kon­former Zustände offensteht.

Mögliche Rechts­wid­rigkeit der beanstandeten Daten­ver­a­r­bei­tungs­vorgänge bedarf näherer Aufklärung

Zur Frage der Rechts­wid­rigkeit der beanstandeten Daten­ver­a­r­bei­tungs­vorgänge bedarf es einer näheren Aufklärung der tatsächlichen Umstände durch das Berufungs­gericht. Die Rechtmäßigkeit der bei Aufruf der klägerischen Fanpage ablaufenden Daten­ver­a­r­bei­tungs­vorgänge ist an den Vorgaben des im Zeitpunkt der letzten Behör­den­ent­scheidung gültigen Daten­schutz­rechts, insbesondere an den Vorschriften des Teleme­di­en­ge­setzes, denen die Klägerin als Betreiberin unterliegt, zu messen.