1. Was passiert, wenn ich meine Facebook-Fanseite online lasse?
Zunächst einmal (wahrscheinlich) nichts. Der EuGH hat keinen Rechtsverstoß durch Facebook festgestellt, sondern nur festgehalten, dass in erster Linie Facebook für die Einhaltung von Datenschutzregeln verantwortlich ist. So weit, so wenig überraschend. Das Neue an dem Urteil ist, dass laut EuGH auch die Seitenbetreiber eine Mit-Verantwortung haben. In welchem Maße diese Mitverantwortung zum Tragen kommt, führt der EuGH nicht weiter aus. Die IHK Schleswig-Holstein, deren Rechtsstreit mit der dortigen Datenschutzbehörde ULD Auslöser des Verfahrens war, interpretiert den Spruch der EU-Richter so, dass ein Vorgehen gegen einzelne Fanpagebetreiber „unverhältnismäßig und rechtswidrig“ wäre. Diese Sicht hat die IHK allerdings recht exklusiv. In der Tat stellt der EuGH nur die Mit-Verantwortung fest, lässt Details aber offen. Theoretisch können Facebook-Fanpagebetreibern Abmahnungen oder Klagen wegen Verstößen gegen Datenschutzregeln drohen, sollten diese festgestellt werden. Darum empfehlen manche Anwälte und Rechtsexperten, Fanpageseiten zu löschen oder offline zu stellen, wenn man absolute Rechtssicherheit haben möchte. Bei den meisten Fanpagebetreibern wird es aber wohl so sein, dass man im Zuge einer Risikoabwägung zum Schluss kommt, dass es besser ist, die eigene Fanseite online zu lassen und aufmerksam die weitere Entwicklung zu beobachten.
2. Gilt das EuGH-Urteil nur für Facebook?
Das Urteil des EuGH bezieht sich zunächst einmal konkret auf Betreiber von Facebook-Fanseiten. Allerdings lassen sich die Aussagen, die das Gericht macht, prinzipiell auch auf andere Onlinedienste, die personenbezogene Daten verarbeiten, anwenden. Facebook selbst teilt mit, dass die Entscheidung des Gerichts „generell für Online-Dienste“ gelte. Das ist die Einschätzung von Facebook, es gibt aber keinen Grund dies anders zu sehen. Wer also wirklich auf Nummer sicher gehen will, müsste auch seine Angebote bei anderen Online-Diensten offline stellen, die personenbezogene Daten nutzen, also etwa Instagram (gehört ja auch zu Facebook) oder Twitter oder bestimmte Google-Dienste. Man kann sich auch vorstellen, dass Marktplatz-Anbieter bei Amazon von dem Urteil betroffen sind.
3. Hat das Urteil Bestand, obwohl es sich auf die nicht mehr gültige EU-Datenschutzrichtlinie bezieht?
Der Rechtsstreit zwischen der IHK Schleswig-Holstein und der dortigen Datenschutzbehörde, der dem jetzigen Urteil zugrunde liegt, datiert auf das Jahr 2011 zurück. Damals war noch eine andere EU-Datenschutzrichtlinie in Kraft, die mittlerweile durch die neue Datenschutzgrundverordnung (DSGVO) abgelöst wurde. Allerdings sind die betreffenden Regelungen in der DSGVO nahezu wortgleich mit denen der alten Richtlinie. Auch die DSGVO sieht vor, dass es mehrere Verantwortliche für die Verarbeitung von Daten geben kann. Insofern ist es sehr wahrscheinlich, dass das EuGH-Urteil auch unter der DSGVO Bestand hat, abschließend geklärt ist dies jedoch nicht.
4. Was ist mit meiner privaten Facebookseite – ist die auch betroffen?
Grundsätzlich könnten auch private Facebookseiten betroffen sein, denn auch dort werden personenbezogene Daten erhoben und verarbeitet und Datenschutzbestimmungen gelten sowohl für Privatpersonen als auch für Unternehmen. Umstritten ist, ob das Datenschutzrecht bei rein persönlichen und familiären Tätigkeiten anzuwenden ist. Da aber fast jeder auf seiner privaten Facebookseite auch „Freunde“ hat, die nicht zur Familie oder zum engen persönlichen Umfeld zählen, dürfte dies für die allermeisten Nutzer irrelevant sein. Als Privatperson kann man allerdings nicht von „Wettbewerbern“ abgemahnt werden und auch (Datenschutz-)Behörden kümmern sich in der Regel nicht um solche Seiten. Trotzdem sind generell Abmahnungen auch bei privaten Seiten möglich, sollten Verstöße vorliegen. Diese Abmahnungen könnten dann durch andere Nutzer erfolgen. Eventuell könnte sich hier ein Betätigungsfeld für so genannte Abmahnkanzleien auftun.
5. Wie geht es weiter?
Nach dem Spruch des EuGH geht der konkrete Fall (IHK Schleswig-Holstein gegen ULD) zurück an das Bundesverwaltungsgericht in Leipzig. Dort muss nun inhaltlich geklärt werden, ob in dem vorliegenden Fall tatsächlich gegen Datenschutzverordnungen verstoßen wurde. Das EuGH-Urteil setzt hierfür lediglich einen Rahmen. Wann das Bundesverwaltungsgericht entscheidet, weiß keiner.