Was macht Facebook?
Facebook ist ein soziales Netzwerk, mit dem Privatpersonen und Unternehmen Profile erstellen und miteinander vernetzen können. User können Inhalte liken, kommentieren sowie teilen und sich so weltweit austauschen.
Unternehmen nutzen Facebook als Marketingkanal. Sie teilen darüber für ihre Zielgruppe relevante Inhalte und schalten Werbeanzeigen, um eine möglichst große Zahl an Followern zu generieren. Das wiederum steigert den Produktverkauf und so den Unternehmenswert.
Ihre Nutzer müssen in Ihrer Datenschutzerklärung bei Verwendung dieses Dienstes informiert werden.
Datenschutzerklärung kostenlos erstellenWarum ist Facebook datenschutzrechtlich relevant?
Facebook sammelt eine Vielzahl von Daten seiner Nutzer. Dazu zählen u. a. die Daten, die User selbst im Netzwerk angeben, wie Name, Geburtsdatum und Wohnort. Darüber hinaus speichert das Netzwerk Daten zu allen Aktivitäten, die Nutzer vornehmen. Dazu zählen u. a. Kommentare, Likes, Statusmeldungen, Veranstaltungen und Freunde. Daneben sammelt Facebook Daten zur Art und Weise der Nutzung. So erhebt es Informationen dazu, wann, wie oft und wie lange User im Netzwerk surfen.
Diese Daten nutzt Facebook zum einen, um Usern ein personalisiertes Erlebnis bieten, und zum anderen, um Unternehmen eine Plattform für personalisierte Werbung stellen zu können. Für Analysezwecke gibt das Netzwerk einige seiner Daten zudem an Dritte weiter. In seinen Datenschutzrichtlinien verweist der Konzern jedoch darauf, dass es sich dabei nicht um personenbezogene Daten handelt. Diese würden nur dann an Dritte weitergereicht, wenn eine Einwilligung des jeweiligen Users vorliegt. Unternehmen, die Facebook als Marketing- und Werbeplattform nutzen, erhalten Zugriff auf personalisierte Nutzerdaten. Sie müssen daher verschiedene datenschutzrechtliche Pflichten beachten.
Facebook datenschutzkonform nutzen
Unternehmen müssen bei Facebook deutsche Datenschutzbestimmungen aus dem Telemediengesetz (DDG (ehemals TMG)), der Datenschutz-Grundverordnung (DSGVO) und dem Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG (ehemals TTDSG)) erfüllen. Dafür müssen sie diesen Pflichten nachkommen:
Link zu Datenschutzhinweis und Impressum auf Facebook-Page einfügen
Unternehmen müssen auf ihrer Facebookseite einen Link zu den Datenschutzhinweisen auf ihrer eigenen Webseite sowie einen Link zu ihrem Impressum platzieren.
Einwilligung für Datenerhebung einholen
Wollen Unternehmen Social Plugins wie den Facebook Pixel oder den Facebook Single Sign On (SSO) nutzen, benötigen sie dafür die Erlaubnis der Nutzer. Denn: Sie erheben über die Plugin personenbezogene Daten. Sie können die Einwilligung beispielsweise über den Einsatz eines Cookie-Banners einholen. Dabei darf das Kästchen für die Einwilligung nicht vorangekreuzt sein. Nur wenn User das Häkchen für die Einwilligung selbst setzen, geben sie eine echte und ausdrückliche Zustimmung in die Datenerhebung. Das gibt das TDDDG (ehemals TTDSG) vor.
Datenschutzerklärung aktualisieren
Seitenbetreiber müssen in ihrer Datenschutzerklärung angeben,
- welche Facebook-Dienste und -Plugins sie auf ihrer Webseite nutzen,
- welche Userdaten sie über Facebook erheben,
- warum sie Nutzerdaten sammeln und an Facebook weitergeben,
- wie sie die Daten verarbeiten und
- welche Nutzerdaten sie an Facebook weitergeben.
Standardvertragsklauseln prüfen
Seitenbetreiber sammeln über Facebook-Plugins wie den Like-Button personenbezogene Daten und geben diese an das soziale Netzwerk in den USA weiter. Um diese Datenübermittlung rechtssicher zu gestalten, nutzt Facebook Standardvertragsklauseln. Seitenbetreiber müssen diese überprüfen und abschließen. Verwenden Seitenbetreiber bereits (veraltete) Standardvertragsklauseln für Facebook, müssen sie diese durch die von der EU-Kommission neu herausgegebenen Klauseln ersetzen. Die Deadline dafür ist der 27. Dezember 2022. Zudem müssen Seitenbetreiber im Rahmen einer Risikoabschätzung überprüfen,
- welche Art von Daten an Facebook in den USA gehen,
- welche Rechtsvorschriften in den USA Anwendung finden und
- ob sie weitere Maßnahmen zum Schutz der Userdaten vornehmen können.
Einen umfassenden Überblick über die neuen Standardvertragsklauseln geben wir in unserem Artikel „Neue Standardvertragsklauseln: Das müssen Sie jetzt tun“.
Rechtsprechung zu Facebook
Zu Facebook liegt diese Rechtsprechung vor:
Landgericht Düsseldorf zu Facebook
Das Landgericht (LG) Düsseldorf hat am 09.03.2016 entschieden: Der auf Webseiten implementierte Like-Button von Facebook verstößt gegen Datenschutzbestimmungen (Az. 12 O 151/15). Denn: Unternehmen geben so Userdaten an Facebook ohne Einwilligung weiter.
Oberlandesgericht Düsseldorf / Europäischer Gerichtshof zu Facebook
Das Oberlandesgericht (OLG) Düsseldorf hat die Frage nach der Zulässigkeit des Like-Buttons dem Europäischen Gerichtshof (EuGH) vorgelegt (Beschluss vom 19.01.2017, Az. I-20 U 40/16). Dieser entschied: Unternehmen benötigen eine Erlaubnis der Nutzer, um ihre Daten an Facebook zu übermitteln. Denn: Sie sind neben Facebook mit für die ausgelöste Datenverarbeitung verantwortlich (Urteil vom 29.07.2019, C-40/17).
Verwaltungsgericht Bayreuth
Das Verwaltungsgericht (VG) Bayreuth kam zu dem Schluss: Unternehmen können Facebook Custom Audiences nicht ohne Erlaubnis der Nutzer verwenden (Urteil vom 08.05.2018, Az. B 1 S 18.105). Problematisch ist dabei vor allem das Hashverfahren SHA-256. Dies ist nicht geeignet, um die personenbezogenen Daten zu anonymisieren. Es ist nach wie vor ein Rückschluss auf einen konkreten Facebook-Nutzer möglich.
Verwaltungsgerichtshof München
Der Verwaltungsgerichtshof München bestätigte die Entscheidung des VG Bayreuth (Beschluss vom 26.09.2018, Az. 5 CS 18.1157). Seitenbetreiber benötigen eine Einwilligung der Nutzer, wenn sie ihre personenbezogenen Daten an Facebook weitergeben wollen.
