Am 29. Juli 2019 entschied der Europäische Gerichtshof in der RS C- 40/17, dass Betreiber von Websites durch die Einbindung von Plug-Ins, neben Drittanbietern, verantwortlich für die Datenerhebung und -übermittlung sind.
Dem Urteil liegt ein Rechtsstreit zwischen der Verbraucherzentrale NRW e.V. und dem Online-Händler für Modeartikel Fashion ID GmbH & Co. KG („Fashion ID“) zu Grunde. Die Fashion ID verwendet auf ihrer Webseite ein Plug-In, den sog. Facebook „Gefällt mir“ – Button. Über diesen werden – wenn ein Nutzer die Webseite der Fashion ID besucht – Informationen über die IP-Adresse und den Browser an Facebook übermittelt. Die Datenübermittlung erfolgt unabhängig davon, ob der Nutzer ein Konto bei Facebook besitzt, oder nicht.
Die Möglichkeit des Erhalts personenbezogener Daten entsteht bei Verwendung des „Gefällt mir“ – Buttons ab dem Zeitpunkt des Aufrufs der Website, urteilt der Europäische Gerichtshof. Es werden Daten verarbeitet, die ohne Einbindung des Plug-Ins durch den Websitebetreiber nicht erhoben würden, so dass der Websitebetreiber die Mittel der Datenverarbeitung bereitstellt. Mit der Einbindung des Plug-Ins verfolgt der Websitebetreibers zudem den Zweck, die Werbung für die eigenen Produkte auf Facebook zu optimieren. Daher nimmt der EuGH eine Verantwortlichkeit des Websitebetreibers gemäß Art. 2 Buchstabe d der Richtlinie 96/46* an.
Die Verantwortlichkeit des Websitebetreibers ist – so der EuGH weiter – jedoch auf die Verarbeitungsvorgänge beschränkt, bei denen dieser tatsächlich über die Zwecke und Mittel der Datenverarbeitung entscheidet. In dem Fall der Fashion ID handelt es sich dabei um das Erheben der Daten und die Weitergabe durch Übermittlung. Für die spätere Weiterverarbeitung durch Facebook, zu der der Websitebetreiber keinen Beitrag leistet, ist Facebook sodann allein verantwortlich.
Die sich aus der Richtlinie 94/46 ergebenden Verpflichtungen zur Einholung einer Einwilligung und zur Information des Betroffenen, treffen den Websitebetreiber gleichermaßen, sind jedoch ebenfalls auf die Datenverarbeitungsvorgänge beschränkt, bei denen der Websitebetreiber Zwecke und Mittel tatsächlich (mit-)bestimmt.
Mit dem Urteil zum „Gefällt mir“ – Button führen die Luxemburger Richter ihre Rechtsprechungslinie zur gemeinsamen Verantwortlichkeit (vgl. auch EuGH, Urteil vom 5. Juni 2018, Wirtschaftsakademie Schleswig-Holstein, C-210/16; Urteil vom 10. Juli 2018, Jehovan todistajat, C-25/17) fort. Websitebetreibern bleibt daher ausdrücklich anzuraten über eingebundene Plug-Ins und sonstige Drittinhalte bei Datenerhebung zu informieren und die erforderlichen Einwilligungen einzuholen.
* Das Urteil bezieht sich insgesamt auf die Regelungen der Richtlinie 95/46, die rechtlichen Erwägungen lassen sich jedoch auf die Bestimmungen der seit dem 25. Mai 2018 geltenden Datenschutzgrundverordnung übertragen.
