Als ob das Urteil des europäischen Gerichtshofes, welches vor ein paar Tagen bereits die Runde gemacht hat, nicht genug wäre. Der EuGH hat unlängst entschieden, dass Betreiber von Fanpages bei Facebook in gleichem Maße datenschutzrechtlich verantwortlich sind, wie Facebook selbst. Das Urteil ist für sich genommen schon harter Tobak für alle Fanpagebetreiber, vor allem weil es unerheblich ist, wer hinter den Fanpages steht. Durch das Urteil wird jeder auf Augenhöhe mit Facebook gehoben, egal ob Anwalt, Sportverein oder der Bäcker von nebenan. Das Urteil unterstellt latent, dass jeder, der eine Facebook-Fanpage betreibt, den gleichen Datenhunger haben müsse, wie Facebook. Ob das tatsächlich der Fall ist, dürfte mehr als zweifelhaft sein.
Hinzu kommt, dass Fanpagebetreiber zwangsläufig selbst Mitglieder von Facebook sein müssen, um eine solche Fanpage überhaupt zu erstellen. Sie sind somit aus datenschutzrechtlicher Sicht sowohl Betroffene, als jetzt auch Verantwortliche. Ihnen wurden jetzt die gleichen Pflichten aufgetragen, wie Facebook. Der Unterschied ist jedoch: Fanpagebetreiber haben nicht die gleichen Mittel, um diesen Pflichten nachzukommen. Als Mitglieder von Facebook haben sie kaum bessere Möglichkeiten, Angaben darüber zu machen, welche Daten der Fanpagebesucher (selbst der Besuch von Nicht-Facebook-Mitgliedern genügt) gesammelt und verarbeitet werden. Diese Vorgänge verbleiben weiterhin bei Facebook, sodass Fanpagebetreiber jetzt auf Facebook angewiesen sind, um rechtskonforme Angaben machen zu können. Ob sich Facebook hierzu wird bewegen lässt, darf bezweifelt werden. Schließlich hat Facebook kaum Anreiz, sich in die Karten schauen zu lassen. Die Folge: Fanpagebetreiber können ihre Pflichte nicht erfüllen und bleiben auf der Strecke.
Die Entschließung der Konferenz der unabhängigen Datenschutzbehörden vom 06.06.2018 legt jetzt noch einen drauf. Sie begrüßt das Urteil des EuGH mit der fulminanten Überschrift „Die Zeit der Verantwortungslosigkeit ist vorbei“.
Starke Worte, die leider zeigen, dass die Konferenz das ganze Ausmaß des Urteils nicht ganz verstanden zu haben scheint. Bereits jetzt zeichnet sich ab, dass die neue DSGVO kaum wird erreichen können, was sie sich vorgenommen hat. Die wirklichen Datenkraken lächeln müde, nehmen sich gut bezahlte Anwälte und nutzen ihre Systemrelevanz, um ihre Nutzer zur Abgabe von Einwilligungen zu bewegen. Völlig freiwillig natürlich.
Wirklich hart trifft die DSGVO den Mittelstand, der jetzt aufwändige und kostspielige Datenschutzmaßnahmen betreiben muss, um allein das Risiko von Abmahnungen zu minimieren. Wer sich sowas leisten kann, ist fein raus. Der Rest muss sehen wo er bleibt und hoffen, weder von Abmahnanwälten noch von Datenschutzbehörden entdeckt zu werden.
Mit ihrer Stellungnahme hat die Konferenz eine Position bezogen, die ihrer Aufgabe entspricht. Schließlich geht es um den Schutz der Daten. Allerdings zeigt sie wenig Feingefühl für die gegenseitigen Interessen und Bedürfnisse. Gerade die „kleinen“ Fanpagebetreiber, wie besagter Sportverein, oder Frisöre, Handwerker, aber auch Anwälte oder Ärzte dürften sich durch diese Stellungnahme bitterlich im Stich gelassen fühlen. Es ist lebensfremd jedem Fanpagebetreiber den gleichen Datenhunger wie Facebook zu unterstellen. Nichtsdestotrotz drängt die Konferenz auf Eile, es bestehe „dringender Handlungsbedarf“.
Die Konferenz der unabhängigen Datenschutzbehörden hätte die Gelegenheit nutzen können, ein Zeichen dafür zu geben, dass nicht alle Fanpagebetreiber über einen Kamm geschert werden können. Sie hat sich entschieden, dies nicht zu tun. Datenschutz um jeden Preis also. Ein Preis, den wieder die falschen zahlen müssen. Denn nach jetziger Rechtslage, bestärkt durch die Stellungnahme der Konferenz scheint der einige Weg, sich aus einer datenschutzrechtlichen Haftung zu entziehen, keine Fanpage zu betreiben. Damit dürfte Facebook für jeden, der sich das Risiko einer Abmahnung oder eines Bußgeldverfahrens nicht leisten kann, als „digitale Nutzfläche“ bis auf weiteres entfallen.
Dabei sind mögliche Lösungen nicht schwer vorstellbar: Die DSGVO kennt z.B. den Begriff der Datenschutz-Folgenabschätzung. Wie der Name es bereits andeutet, muss abgeschätzt werden, ob und welches Risiko für personenbezogene Daten besteht. Je höher das Risiko, desto besser müssen die Datenschutzmaßnahmen sein. Vielleicht wäre es eine Idee, diesen Gedanken auf Fanpages zu übertragen. Freilich steht auch dies wieder in Abhängigkeit zu der Zusammenarbeit mit Facebook. Aber Facebook könnte z.B. Aussagen über die Reichweite bestimmter Fanpages treffen, die wiederum zur Einschätzung eines datenschutzrechtlichen Risikos herangezogen werden könnten. Wenn sich dann beispielsweise herausstellt, dass der Fußballverein von nebenan eh Mühe hat, auf über 100 „Follower“ zu kommen, scheint eine „Entlassung“ aus der datenschutzrechtlichen Verantwortlichkeit zumindest nicht mehr völlig undenkbar. Aber das ist erst noch Zukunftsmusik. Es bleibt abzuwarten, wie sich die Dinge entwickeln werden.
Einziges „Trostpflaster“ scheint zu sein, dass das Urteil des EuGH keine unmittelbare Wirkung entfaltet. Das zugrundeliegende Verfahren muss erst beendet werden. Gleichwohl ist klar, wo die Reist hingeht: Solange Facebook kein datenschutzrechtskonformes Produkt anbietet, sind Fanpages keine Option mehr.