Anmeldung

Passwort vergessen




News

07.08.2019

Datenschutzrechtliche Mitverantwortung des Betreibers einer Website für die Verarbeitung personenbezogener Daten bei Einbindung von "Gefällt mir"-Button

Die Verarbeitung personenbezogener Daten ist zulässig, wenn sie zur Verwirklichung des berechtigten Interesses erforderlich ist, das von dem für die Verarbeitung Verantwortlichen oder von dem oder den Dritten wahrgenommen wird, denen die Daten übermittelt werden, sofern nicht das Interesse oder die Grundrechte und Grundfreiheiten der betroffenen Person, die gemäß Art. 1 Abs. 1 der Richtlinie 95/46 geschützt sind, überwiegen.

http://www.wkdis.de/aktuelles/images/aktuelles-daten_schutz.jpg

Sachverhalt:

In dem Verfahren vor dem OLG Düsseldorf - 20 U 40/16 - streiten die Parteien über die Zulässigkeit der Einbindung eines von der Streithelferin der Beklagten oder deren amerikanischer Muttergesellschaft bereitgestellten Plugins, des so genannten "Gefällt mir"-Buttons, auf der Webseite der Beklagten, eines Online-Händlers für Modeartikel. Der Kläger, ein gemeinnütziger Verband zur Wahrung der Interessen der Verbraucher, verlangt von der Beklagten, dass diese es unterlässt, im Internet das Social Plugin "Gefällt mir" zu integrieren. Das OLG hat das Verfahren ausgesetzt und dem EuGH folgende Fragen zur Vorabentscheidung vorgelegt: "1.Steht die Regelung in Artikeln 22, 23 und 24 der RL 95/46/EG zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr vom 24.10.1995 einer nationalen Regelung entgegen, die neben den Eingriffsbefugnissen der Datenschutzbehörden und den Rechtsbehelfsmöglichkeiten des Betroffenen gemeinnützigen Verbänden zur Wahrung der Interessen der Verbraucher die Befugnis einräumt, im Falle von Verletzungen gegen den Verletzer vorzugehen? Falls die Frage 1) verneint wird: 2. Ist in einem Fall wie dem vorliegenden, bei dem jemand einen Programmcode in seine Webseite einbindet, der den Browser des Benutzers veranlasst, Inhalte von einem Dritten anzufordern und hierzu personenbezogene Daten an den Dritten zu übermitteln, der Einbindende "für die Verarbeitung Verantwortlicher" im Sinne von Art. 2 lit. d) der RL, wenn er selbst diesen Datenverarbeitungsvorgang nicht beeinflussen kann? 3. Falls die Frage 2 zu verneinen ist: Ist Art. 2 lit. d) der RL bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr dahingehend auszulegen, dass er die Haftung und Verantwortlichkeit in dem Sinne abschließend regelt, dass er einer zivilrechtlichen Inanspruchnahme eines Dritten entgegen steht, der zwar nicht "für die Verarbeitung Verantwortlicher" ist, aber die Ursache für den Verarbeitungsvorgang setzt, ohne diesen zu beeinflussen? 4. Auf wessen "berechtigte Interessen" ist in einer Konstellation wie der vorliegenden bei der nach Art. 7 Buchstabe f) der RL vorzunehmende Abwägung abzustellen? Auf das Interesse an der Einbindung von Drittinhalten oder auf das Interesse des Dritten? 5. Wem gegenüber muss die nach Art. 7 lit. a) und Art. 2 lit. h) der RL zu erklärende Einwilligung in einer Konstellation wie der vorliegenden erfolgen? 6. Trifft die Informationspflicht des Art. 10 der RL n einer Situation wie der vorliegenden auch den Betreiber der Webseite, der den Inhalt eines Dritten eingebunden hat und so die Ursache für die Verarbeitung personenbezogener Daten durch den Dritten setzt?

Entscheidungsanalyse:

Der EuGH hat zur Frage 1 entschieden, dass die Art. 22 bis 24 der RL 95/46 dahin auszulegen sind, dass sie einer nationalen Regelung, die es Verbänden zur Wahrung von Verbraucherinteressen erlaubt, gegen den mutmaßlichen Verletzer von Vorschriften zum Schutz personenbezogener Daten Klage zu erheben, nicht entgegenstehen. Auf die zweite Frage ist geantwortet worden, dass der Betreiber einer Website, der in diese Website ein Social Plugin einbindet, das den Browser des Besuchers dieser Website veranlasst, Inhalte des Anbieters dieses Plugins anzufordern und hierzu personenbezogene Daten des Besuchers an diesen Anbieter zu übermitteln, als für die Verarbeitung Verantwortlicher im Sinne von Art. 2 lit. d der RL 95/46 angesehen werden kann. Diese Verantwortlichkeit ist jedoch auf den Vorgang oder die Vorgänge der Datenverarbeitung beschränkt, für den oder für die er tatsächlich über die Zwecke und Mittel entscheidet, also das Erheben der in Rede stehenden Daten und deren Weitergabe durch Übermittlung. In Anbetracht der Antwort auf die zweite Frage braucht die dritte Frage nicht beantwortet zu werden. Mit seiner vierten Frage möchte das vorlegende Gericht wissen, ob in einer Situation wie der im Ausgangsverfahren in Rede stehenden, in der der Betreiber einer Website in diese Website ein Social Plugin einbindet, das den Browser des Besuchers dieser Website veranlasst, Inhalte des Anbieters dieses Plugins anzufordern und hierzu personenbezogene Daten an diesen Anbieter zu übermitteln, bei der Anwendung von Art. 7 lit. f der RL auf das berechtigte Interesse dieses Betreibers oder das berechtigte Interesse des genannten Anbieters abzustellen ist. Vorab ist darauf hinzuweisen, dass diese Frage nach Ansicht der Kommission für die Entscheidung des Ausgangsrechtsstreits unerheblich ist, da die von Art. 5 Abs. 3 der RL 2002/58 verlangte Einwilligung der betroffenen Personen nicht eingeholt wurde. Hierzu ist festzustellen, dass nach Art. 5 Abs. 3 der RL 2002/58 die Mitgliedstaaten sicherstellen müssen, dass die Speicherung von Informationen oder der Zugriff auf Informationen, die bereits im Endgerät eines Teilnehmers oder Nutzers gespeichert sind, nur gestattet ist, wenn der betreffende Teilnehmer oder Nutzer auf der Grundlage von klaren und umfassenden Informationen, die er gemäß der Richtlinie 95/46 u.a. über die Zwecke der Verarbeitung erhält, seine Einwilligung gegeben hat. Es ist Sache des vorlegenden Gerichts, nachzuprüfen, ob in einer Situation wie der im Ausgangsverfahren in Rede stehenden der Anbieter eines Social Plugins, wie im vorliegenden Fall Facebook Zugriff auf Informationen hat, die im Endgerät des Besuchers der Website des Betreibers gespeichert sind, wie die Kommission geltend macht. Unter diesen Umständen und da das vorlegende Gericht offenbar davon ausgeht, dass im vorliegenden Fall die Facebook übermittelten Daten personenbezogene Daten im Sinne der RL 95/46 sind, die sich im Übrigen nicht notwendigerweise auf Informationen beschränken, die im Endgerät gespeichert sind, was vom vorlegenden Gericht zu verifizieren sein wird, können die Erwägungen der Kommission die Erheblichkeit der vierten Vorlagefrage, die sich auf die etwaige Zulässigkeit der Verarbeitung der Daten im vorliegenden Fall bezieht, für die Entscheidung des Ausgangsrechtsstreits nicht in Frage stellen. Folglich ist zu prüfen, welches berechtigte Interesse für die Anwendung von Art. 7 lit. f dieser RL auf die Verarbeitung dieser Daten zu berücksichtigen ist. Hierzu ist vorab darauf hinzuweisen, dass gemäß den Bestimmungen des Kapitels II ("Allgemeine Bedingungen für die Rechtmäßigkeit der Verarbeitung personenbezogener Daten") der RL 95/46 jede Verarbeitung personenbezogener Daten - vorbehaltlich der in Art.13 zugelassenen Ausnahmen auch - einem der in Art. 7 der RL angeführten Grundsätze in Bezug auf die Zulässigkeit der Verarbeitung von Daten genügen muss. Nach Art. 7 lit. f der RL 95/46, um dessen Auslegung das vorlegende Gericht ersucht, ist die Verarbeitung personenbezogener Daten zulässig, wenn sie zur Verwirklichung des berechtigten Interesses erforderlich ist, das von dem für die Verarbeitung Verantwortlichen oder von dem bzw. den Dritten wahrgenommen wird, denen die Daten übermittelt werden, sofern nicht das Interesse oder die Grundrechte und Grundfreiheiten der betroffenen Person, die gemäß Art. 1 Abs. 1 der RL 95/46 geschützt sind, überwiegen. Art. 7 lit f enthält somit für die Zulässigkeit der Verarbeitung personenbezogener Daten drei kumulative Voraussetzungen: 1. berechtigtes Interesse, das von dem für die Verarbeitung Verantwortlichen oder von dem oder den Dritten wahrgenommen wird, denen die Daten übermittelt werden, 2. Erforderlichkeit der Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses und 3. kein Überwiegen der Grundrechte. Da angesichts der Antwort auf die zweite Frage in einer Situation wie der im Ausgangsverfahren in Rede stehenden der Betreiber einer Website, der in diese Website ein Social Plugin einbindet, das den Browser des Besuchers dieser Website veranlasst, Inhalte des Anbieters dieses Plugins anzufordern und hierzu personenbezogene Daten des Besuchers an diesen Anbieter zu übermitteln, gemeinsam mit diesem Anbieter als für die Vorgänge der Verarbeitung, also das Erheben und die Weitergabe durch Übermittlung von personenbezogenen Daten der Besucher seiner Website Verantwortlicher angesehen werden kann, ist es erforderlich, dass jeder dieser Verantwortlichen mit diesen Verarbeitungsvorgängen ein berechtigtes Interesse im Sinne von Art. 7 lit. f der Richtlinie 95/46 wahrnimmt, damit diese Vorgänge für jeden Einzelnen von ihnen gerechtfertigt sind. Demnach ist auf die vierte Frage zu antworten, dass es in einer Situation wie der im Ausgangsverfahren in Rede stehenden, in der der Betreiber einer Website in diese Website ein Social Plugin einbindet, das den Browser des Besuchers dieser Website veranlasst, Inhalte des Anbieters dieses Plugins anzufordern und hierzu personenbezogene Daten des Besuchers an diesen Anbieter zu übermitteln, erforderlich ist, dass der Betreiber und der Anbieter mit diesen Verarbeitungsvorgängen jeweils ein berechtigtes Interesse im Sinne von Art. 7 lit. f der Richtlinie 95/46 wahrnehmen, damit diese Vorgänge für jeden Einzelnen von ihnen gerechtfertigt sind. Hinsichtlich der fünften und sechsten Frage ergibt sich im Wesentlichen Gleiches.

Praxishinweis:

Mit dem Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten hat sich der EuGH zuletzt in seinen Urteilen vom 13.05.2014 - C-131/12, vom 01.10.2015 - C-201/16 und vom 04.05.2017 - C-13/16 befasst.

Urteil des EuGH vom 29.07.2019, Az.: C 40/17