Facebook hat die Nutzungsbedingungen für Fanpages angepasst und damit auf das Urteil des Europäischen Gerichtshofs (EuGH) reagiert. Der hatte gefordert, dass für das datenschutzkonforme Betreiben einer Fanpage eine Vereinbarung über die gemeinsame Verantwortlichkeit gemäß Art. 26 DSGVO vorliegen muss. In dieser Vereinbarung muss unter anderem geregelt sein, wer welche Pflichten, die von der DSGVO gefordert werden, übernimmt – insbesondere hinsichtlich der Betroffenenrechte und der Informationspflichten.

Die Seiten-Insights-Ergänzung bezüglich des Verantwortlichen soll nun alle Anforderungen erfüllen. Zunächst wird vereinbart, dass Facebook und die Fanpage-Betreiber für die Verarbeitung von personenbezogenen Daten der Seitenbesucher verantwortlich sind. Dies wurde so bereits durch den EuGH festgestellt. Viel wichtiger ist: Facebook wird laut der Vereinbarung die primäre Verantwortung übernehmen. Das gilt insbesondere für die in den Art. 12 bis 22 DSGVO geregelten Betroffenenrechte sowie die in Art. 32-34 DSGVO normierte Datensicherheit und Meldung von Datenschutzverletzungen.

Zusätzlich wird vereinbart, dass Verantwortlicher für die Datenverarbeitung Facebook Ireland (die Hauptniederlassung von Facebook in der EU) sein wird. Das hat gem. Art 56 DSGVO zur Folge, dass die irischen Datenschutzbehörden europaweit „federführend“ in allen diesbezüglichen Angelegenheiten sein werden. Gerichts- und Streitstand wird ebenso Irland sein.

Zudem garantiert Facebook die Zurverfügungstellung der „wesentlichen Aspekte“ des Dokuments für alle betroffenen Personen, womit auch das Kriterium „in transparenter Form“ im Sinne des Art. 26 DSGVO erfüllt werden soll.

Auch wenn die Hauptverantwortung für die Datenverarbeitung der User-Daten nun bei Facebook Ireland liegt, sehen die neuen Nutzungsbedingungen dennoch einige Pflichten für die Seitenbetreiber vor.

Seitenbetreiber sind verpflichtet, die Betroffenen über die Verarbeitung der Daten zu informieren, indem auf der Fanpage im Infobereich unter Datenrichtlinie ein Link zur eigenen Datenschutzerklärung aufgeführt und den Nutzern angezeigt wird.

Die eigene Datenschutzerklärung muss mit einem entsprechenden Textbaustein zur gemeinsamen Verantwortlichkeit beim Betrieb der Fanpage samt Rechtsgrundlage ergänzt werden.

In den ergänzten Nutzungsbedingungen wird weiterhin vereinbart, dass Seitenbetreiber dafür Sorge tragen müssen, dass die Verarbeitung der Insights-Daten auf einer Rechtsgrundlage beruht. In Betracht werden hierbei wohl vor allem eine Erlaubnis nach Art. 6 Abs. 1 S. 1 lit. b oder f DSGVO kommen. Letzterer legitimiert die Verarbeitung von personenbezogenen Daten, wenn der Verarbeitende ein dem Betroffenen gegenüber überwiegendes Interesse an der Verarbeitung hat.

Die Vereinbarung schreibt den Seitenbetreibern vor, den für die Datenverarbeitung Verantwortlichen zu benennen. Laut einem englischen Hinweis von Facebook können die Angaben zum verantwortlichen Unternehmen und dessen Datenschutzbeauftragten einschließlich deren Kontaktdaten im Bereich About über Edit Page Info eingetragen werden. Möglich ist dies aber auch in der verlinkten Datenschutzerklärung (siehe oben).

Im Falle einer Anfrage von deutschen Datenschutzbehörden oder betroffenen Seitenbesuchern ist der Fanpage-Betreiber verpflichtet, diese innerhalb von sieben Tagen über ein Formular an Facebook Ireland weiterzuleiten.

Durch die ergänzten Nutzungsbedingungen von Facebook vermindert sich das Risiko beim Betrieb der Fanpage enorm. Vorhandene „Regelungslücken“ konnten größtenteils geschlossen werden. Die Checkliste hilft dabei, eine Facebook-Fanpage datenschutzkonform zu betreiben.

Ob wirklich alle Regelungslücken durch diese Vereinbarung geschlossen und die deutschen Datenschutzbehörden zufrieden gestellt werden konnten, bleibt abzuwarten. Eine abschließende Bewertung wird erst vorgenommen werden können, wenn erste Gerichtsentscheidungen in dieser Angelegenheit vorliegen.