Am 29.07.2019 hat der EuGH darüber entschieden, dass Webseitenbetreiber beim Einsatz von „Like Buttons“ (sog. Social-Plugins) und Anbieter für die Erhebung und Übermittlung personenbezogener Daten der Nutzer gemeinsam verantwortlich sind. Die Verbraucherzentrale erhob vor dem LG Düsseldorf Unterlassungsklage gegen einen Online-Händler, der einen solchen Facebook-Like-Button auf seiner Website zur Verfügung stellte.
Hintergrund war, dass durch die Einbindung des Like-Buttons auf der Facebook Fanpage i.d.R. bereits bei Aufruf der Website (also nicht erst durch Betätigung des Like-Buttons) Daten des Nutzers gespeichert wurden (dynamische IP-Adresse des Routers, aufgerufene Inhalte der Website, browserspezifische Informationen) und direkt von Facebook gesammelt wurden. Der Webseitenbetreiber übermittelte zwar keine Daten an Facebook, ermöglichte dies aber durch die Einbindung des Facebook-Plugin-Codes in den HTML-Code seiner Website. So konnte Facebook Cookies auf dem Nutzerendgerät des Webseitenbesuchers setzen und hierüber jedenfalls bei registrierten und eingeloggten Mitgliedern personenbezogene Nutzerprofile herstellen.
Im Unterschied zum vorangegangenen sog. Facebook Fanpage-Urteil wurde dem EuGH nicht nur die Grundsatzfrage des „ob“ der gemeinsamen Verantwortlichkeit vorlegt, sondern zudem Fragen zu den Konsequenzen einer gemeinsamen Verantwortlichkeit.
Der EuGH bejaht nun in dem aktuellen Urteil die gemeinsame Verantwortlichkeit bei der Einbindung von „Facebook-Like-Buttons“ zwischen dem Websitebetreiber und Facebook, da erst die Einbindung dieses Plugins auf der Webseite des Händlers den Browser des Besuchers veranlasst, Inhalte des Anbieters anzufordern und sodann hierzu personenbezogene Daten des Besuchers an diesen Anbieter zu übermitteln.
Zukünftig muss der Nutzer der Webseite also über die Datenerfassung zuvor informiert werden und muss seine Einwilligung erklären. Dies ist jedoch alleinige Aufgabe des Webseitenbetreibers.
Der EuGH bestätigt mit hiesigem Urteil seine vorherige Ansicht, wonach es für die gemeinsame Verantwortlichkeit unbeachtlich ist, dass der Online-Händler zu keinem Zeitpunkt Zugriff auf die Daten hatte, die der Nutzer direkt an Facebook übermittelt hat. Neu hingegen ist die Einschränkung, dass der Webseitenbetreiber nicht für die über die Erhebung und Übermittlung hinausgehende Datenspeicherung und -nutzung verantwortlich ist.
Die aktuelle Entscheidung lässt noch immer viele Fragen offen, insb. solche der praktischen Umsetzung. Es wird sich, wie in vielen Bereichen des Datenschutzes, erst in der Praxis zeigen, wie sich die Anforderungen an die Webseitenbetreiber und Anbieter von Social-Plugins umsetzen lassen
