Mittlerweile haben Milliarden Menschen ein Profil bei einem sozialen Medium angelegt. Die Auswahl ist groß, die Möglichkeiten zur Vernetzung sind vielfältig und man lernt sehr schnell neue Leute kennen. Es gibt viele Gründe, sich in sozialen Medien anzumelden. Was viele leider nicht als problematisch ansehen, ist, dass man als Nutzer viele personenbezogene Daten von sich und anderen der Öffentlichkeit preisgeben kann. Im digitalen Zeitalter, wo der Wert von Daten mit Öl verglichen wird, sind Profile auf sozialen Medien wie Facebook eine wahre Goldgrube: Nutzer veröffentlichen Informationen über Ihr Geschlecht, Herkunft, Wohnort, Beruf, Interessen, Hobbys, Standorte etc. etc. Mit den richtigen Mitteln lassen sich aus diesen Daten Informationen generieren, die manchen Unternehmen enorme Profite bescheren können.

Daher ist es nicht verwunderlich, dass manche von Ihnen das Internet nach personenbezogenen Daten absuchen, um diese beispielsweise an andere Unternehmen zu Werbezwecken zu verkaufen. Hierzu nutzen sie spezielle Software, die die sozialen Medien durchforsten und Informationen der Nutzer sammeln. Aus datenschutzrechtlicher Sicht ist diese Praktik fragwürdig, in manchen Fällen allerdings gänzlich unzulässig, wenn z. B. Daten unrechtmäßig durch Hacken von Profilen oder Datenbanken gesammelt werden.

Doch wie ist die Rechtslage, wenn lediglich Daten von sozialen Medien gesammelt werden, die von Nutzern in ihren öffentlichen Profilen selbst veröffentlicht wurden? In letzter Zeit haben vermehrt Nutzer sozialer Medien auf Schadensersatz geklagt, nachdem ihre öffentlich zugänglichen Daten von ihren Profilen im Internet zu finden waren. Ein Nutzer versuchte sogar, sein Recht auf Schadensersatz massenhaft, also wegen mehrerer Scraping-Fälle geltend zu machen. Dieser Beitrag soll darstellen, weshalb man keinen Anspruch auf Schadensersatz für Daten-Scraping hat, wenn man seine personenbezogenen Daten auf öffentlichen Profilen preisgibt.

Argumentation der Gerichte

Das Landgericht Offenburg (Urt. v. 28.02.2023 – Az.: 2 O 98/23), um nur ein Urteil von vielen zu nennen, argumentierte, dass die Durchführung des Daten-Scrapings allein nicht zu einem Schaden des Betroffenen führt, wenn Nutzer Ihre Daten freiwillig angeben und deren Profile darüber hinaus öffentlich einsehbar sind.

„Es ist festzuhalten, dass alle Daten – bis auf die Handynummer – aus dem öffentlichen Profil des Klägers „abgelesen“ wurden, die der Kläger bereitwillig dort selbst eingetragen hat. Ein Identitätsdiebstahl hat insoweit nicht stattgefunden. Soweit diese Daten öffentlich waren, standen sie bereits bei ihrer Eingabe nicht mehr unter der ausschließlichen klägerischen Kontrolle. Das Gefühl eines Kontrollverlustes kann sich daraus gerade nicht nachvollziehbar ergeben.“

Nahezu identisch wurden viele andere Urteile zu dem Thema argumentiert. Das Gericht bemängelte weiter, das Fehlen sämtlicher Anzeichen negativer Folgen für den Betroffenen. So wurden im Laufe des Verfahrens keinerlei Anzeichen ersichtlich, dass der Kläger überhaupt irgendwelche Anzeichen von Beunruhigung, geschweige denn tatsächliche Ängste, Sorgen, Unwohlsein oder andere Unannehmlichkeiten erlitt. Als ein mitentscheidendes Argument stellte das Gericht fest, dass der Kläger bis zum Schluss der mündlichen Verhandlung seine Suchbarkeitseinstellungen nicht geändert habe.

Und was lernen wir daraus?

Eigentlich nichts Neues. Das Urteil bestätigt genau das, was eigentlich alle sagen: Pass auf deine privaten Daten auf! Dennoch kann man einige Nützliche Dinge aus diesem Urteil ziehen. Nämlich Erkenntnis über die genauen Voraussetzungen für einen Anspruch auf Ersatz eines immateriellen Schadens durch Daten-Scraping. Die Rechtsprechung stellt klar, dass kein Schadensersatzanspruch besteht, wenn man seine personenbezogenen Daten selbst und freiwillig in öffentlich zugänglichen Profilen preisgibt. Dies gilt auch, wenn Ansprüche massenhaft geltend gemacht werden sollen. Allein die Tatsache, dass man die Möglichkeit hat, sich zu schützen, indem man lediglich die Privatsphäre-Einstellungen ändert, steht diesem Anspruch massiv im Wege. Somit hängt der Anspruch auf Schadensersatz maßgebend von der Zugänglichkeit der preisgegebenen Daten ab.

Wir können Ihnen daher nur raten, wie oben angesprochen, sehr vorsichtig mit Ihren Daten zu sein, wenn Sie verhindern wollen, „Opfer“ von Daten-Scraping auf sozialen Netzwerken zu werden. Überlegen Sie also sehr genau, was für Daten Sie von sich preisgeben möchten. Falls Sie sich, wie viele andere auch, dafür entschieden haben, ein Profil z. B. auf Facebook zu erstellen, vergessen Sie nicht die Privatsphäre-Einstellungen Ihren Bedürfnissen entsprechend anzupassen. Mit den richtigen Einstellungen kann die Gefahr des Daten-Scrapings minimiert werden und nur so haben Sie Anspruch auf Schadensersatz, wenn Ihre Daten trotzdem gesammelt wurden.

Über den Autor: Andreas Nanos LL.M. ist Wirtschaftsjurist und als externer Datenschutzbeauftragter beim Dresdner Institut für Datenschutz tätig. Im Fokus seiner Beratungstätigkeiten liegen insbesondere Unternehmen im Speditionssektor, mittelständische Unternehmen, sowie Hochschulen und Kultureinrichtungen. Neben seiner Tätigkeit als Datenschutzbeauftragter promoviert er an der juristischen Fakultät der Karls-Universität Prag im Bereich der strafrechtlichen Verantwortung für künstliche Intelligenz. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

In diesem Blog-Beitrag soll der sich eher im Verborgenen bewegende Art. 20 DS-GVO durchleuchtet werden. Von den zahlreichen Betroffenenrechten, die die DS-GVO zu bieten hat, ist die Datenübertragbarkeit das wohl am wenigsten bekannte – obwohl in der Literatur stark diskutierte Betroffenenrecht. Auch die Anwendung dieser Norm ist in der Praxis mit Unsicherheiten verbunden.

Begriff der Datenübertragbarkeit

Das Recht auf Datenübertragbarkeit erlaubt es betroffenen Personen die Herausgabe ihrer Daten zu verlangen, um die Daten an einen anderen Verantwortlichen weiterzugeben. Hierdurch sollen Betroffene bezüglich der Nutzung ihrer personenbezogenen Daten mehr Flexibilität bekommen. Der Wechsel von Online-Dienstanbietern soll dann durch eine automatisierte Datenübertragung deutlich erleichtert werden.

Zweck der Datenübertragbarkeit

Erwägungsgrund 68 Satz 1 zur DS-GVO nennt als Ziel die bessere Kontrolle Betroffener „im Fall der Verarbeitung personenbezogener Daten mit automatisierten Mitteln“. Primär, so das Verständnis von Literatur und Praxis, fungiert die Norm als Werkzeug, um wettbewerbspolitische Belange zu verfolgen, wohingegen der Schutz personenbezogener Daten an sekundärer Stelle steht. Genau gesagt, sollen durch die Datenübertragbarkeit sogenannte „Lock-in-Effekte“ verhindert werden. Unter Lock-in-Effekten versteht man die „Mühe“ oder den Aufwand (Switching Costs) den Nutzer zum Wechseln zu einem anderen Anbieter in Kauf nehmen müssen. Dieser Aufwand kann Nutzer effektiv an jenem Wechsel hindern. Durch das Recht der Datenübertragbarkeit und Kompatibilität personenbezogener Daten soll den Lock-in-Effekten entgegengewirkt und der Wechsel erleichtert werden. Das Ziel ist die Stärkung der Positionen von kleineren und neuen Anbietern.

Recht auf Datenübertragbarkeit in der Praxis

In der Literatur wird diskutiert, was die konkreten praktischen Anwendungsgebiete des Art. 20 DS-GVO sein können. Eine eindeutige Antwort gibt es bisher jedoch nicht. Erwägungsgrund 55 des Kommissionsentwurfs nannte ursprünglich soziale Netzwerke als das Hauptanwendungsgebiet. Dies erscheint jedoch angesichts der Tatsache, dass soziale Netzwerke hauptsächlich dem Austausch zwischen mehreren Personen dienen, wodurch regelmäßig auch personenbezogene Daten Dritter betroffen sind, fragwürdig. Der Grund liegt darin, dass nach Art. 20 Abs. 4 DS-GVO die Datenübertragbarkeit die Rechte und Freiheiten anderer Personen nicht beeinträchtigen darf. Es ist jedoch festzuhalten, dass die Übertragung von Profildaten grundsätzlich von Art. 20 Abs. 1 erfasst sein kann. Der Anwendungsbereich der Norm ist jedoch weit und beschränkt sich nicht auf die im Kommissionsentwurf vorgesehenen sozialen Medien. Die Anwendbarkeit des Art. 20 umfasst unter anderem auch Cloud-Dienste oder Playlists auf Streaming-Plattformen.

In der betrieblichen Praxis stellen Arbeitgeber und Betriebsräte die Frage, ob sie die Regelungen des Art. 20 DS-GVO im gleichen Maße treffen, wie die vom Kommissionsentwurf umfassten Anbieter von sozialen Netzwerken. Grundsätzlich kann jeder Verantwortliche Adressat dieser Norm sein. In der Literatur herrscht Einigkeit darüber, dass die Norm auch bei einem Wechsel der Arbeitgeber anwendbar ist. Fraglich bleibt allerdings, ob Art. 20 DS-GVO auch den Betriebsrat tangiert.

Gemäß § 79a Betriebsverfassungsgesetz (BetrVG) hat der Betriebsrat bei der Verarbeitung personenbezogener Daten die Vorschriften des Datenschutzes einzuhalten. Art. 20 DS-GVO dürfte also auch bei Anträgen, die sich an Betriebsräte richten, anwendbar sein. Zu beachten ist jedoch, dass nach § 79a Satz 2 BetrVG der Arbeitgeber der Verantwortliche im datenschutzrechtlichen Sinne ist. Anträge sind also an den Arbeitgeber zu richten und nicht an den Betriebsrat, da letztendlich der Arbeitgeber als Verantwortlicher dafür zuständig ist, die personenbezogenen Daten zu übertragen.

Doch damit nicht genug. Art. 20 DS-GVO grenzt den Kreis, gegen die man als Betroffener seine Rechte geltend machen kann, nicht ein. Das bedeutet, dass Betroffene Ihr Recht auf Datenübertragbarkeit grundsätzlich auch gegen kleine Unternehmen geltend machen können, solange die Voraussetzungen des Art. 20 Abs. 1 lit. a) (Einwilligung) und lit. b) (automatisierte Verfahren) erfüllt sind, was beispielsweise bei Handwerkern eher die Ausnahme sein dürfte. Aus dieser mangelnden Abgrenzung kann somit auch davon ausgegangen werden, dass es keine Unterschiede in den Kriterien der Umsetzung des Rechts gibt. Verantwortliche haben die vom Betroffenen bereitgestellten Informationen in einem strukturierten, gängigen maschinenlesbaren Format zu übergeben. Diese Regelung gilt für Handwerker und Arbeitgeber in gleichem Maße wie für Anbieter von sozialen Netzwerken.

Strukturiertes, gängiges und maschinenlesbares Format

Die Idee hinter dieser Anforderung ist es, den Wechsel zu einer möglichst breiten Auswahl an Anbietern zu ermöglichen. Die Praxis zeigt jedoch, dass eine vollständige Kompatibilität bzw. Interoperabilität nicht möglich ist. Erfasste Formate sind einerseits digitale, aber auch gedruckte Formate, die eingescannt werden können und die eine computergesteuerte Verarbeitung ermöglichen.

Ob ein Format gängig ist, ist nach dem allgemeinen Sprachgebrauch orientiert. Gängig steht allgemein für beispielsweise gebräuchlich, weit verbreitet oder allgemein üblich. Die Strukturiertheit bezieht sich auf die Art der Strukturierung der Daten. Das bedeutet, dass die zu übertragenden personenbezogenen Daten nach bestimmten Kriterien geordnet sein müssen. Art. 20 geht hier jedoch nicht auf eine logische oder leicht verständliche Strukturierung ein. Unter strukturierten Formaten herrscht in der Literatur soweit Einigkeit. Formate wie XML, SQLite und Excel-Dateien können geeignet sein.

Fazit

Aufgrund der Tatsache, dass das Recht auf Datenübertragbarkeit, wie bereits erwähnt, wohl das am wenigsten in Anspruch genommene Betroffenenrecht ist, ist auch die Rechtsprechung hierzu mehr als überschaubar. Die Zukunft wird zeigen, ob sich die Rechtsprechung den oben genannten Aussagen anschließt, oder gänzlich andere Vorgaben entwickeln wird.

Über den Autor: Andreas Nanos LL.M. ist Wirtschaftsjurist und als externer Datenschutzbeauftragter beim Dresdner Institut für Datenschutz tätig. Im Fokus seiner Beratungstätigkeiten liegen insbesondere Unternehmen im Speditionssektor, mittelständische Unternehmen, sowie Hochschulen und Kultureinrichtungen. Neben seiner Tätigkeit als Datenschutzbeauftragter promoviert er an der juristischen Fakultät der Karls-Universität Prag im Bereich der strafrechtlichen Verantwortung für künstliche Intelligenz. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

Bereits mit Urteil vom 5. Juni 2018 (Az.: C-201/16) hat der Europäische Gerichtshof (EuGH) den Stein in Sachen Facebook-Fanpages ins Rollen gebracht. Der EuGH entschied in diesem Urteil, dass Betreiber von sogenanneten Facebook-Fanpages (mit)verantwortlich für die Verarbeitung der Nutzerdaten sind, mithin eine gemeinsame Verantwortlichkeit zwischen den Betreiberinnen und Betreibern der Facebook Fanpages und Facebook besteht. Nunmehr hat die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder, kurz: Datenschutzkonferenz (DSK) FAQ zu den Facebook-Fanpages veröffentlicht und somit ein weiteres Kapitel der Saga aufgeschlagen. Der nachfolgende Beitrag soll in Ergänzung zu unserem kurzen Überblick aus April 2022 die bisherige Entwicklung, den Inhalt der FAQ und mögliche Auswirkungen für die Praxis darstellen und näher beleuchten.

WIE NAHM DAS UNHEIL SEINEN LAUF?

Dem Urteil des EuGH folgte am 6. Juni 2018 die Veröffentlichung einer Entschließung der DSK unter dem Titel „Die Zeit der Verantwortungslosigkeit ist vorbei: EuGH bestätigt gemeinsame Verantwortung von Facebook und Fanpage-Betreibern“, in welcher die Datenschutzaufsichtsbehörden zu erkennen gaben, dass sie sich durch das Urteil in ihrer bisherigen Rechtsauffassung bestätigt fühlten. Dem liegt zu Grunde, dass über die Funktion „Insights“ den Fanpage-Betreiberinnen und Fanpage-Betreiber eine Nutzeranalyse für ihre Seiten auf Facebook bereitgestellt wird. Unter anderem aufgrund dieser Funktion habe der EuGH festgestellt, dass für die Verarbeitung personenbezogener Daten eine gemeinsame Verantwortlichkeit im Sinne des Art. 4 Nr. 8 und Art. 26 DS-GVO zwischen Fanpage- und Plattformbetreiber besteht. Demnach ergeben sich für Betreiberinnen und Betreiber von Facebook-Fanpages zahlreiche Pflichten zu denen u.a. gehören, dass transparent und in verständlicher Form darüber informiert werden muss, welche Daten zu welchen Zwecken durch Facebook und die Fanpage-Betreiber verarbeitet werden und dass für die Bereiche der gemeinsamen Verantwortung von Facebook und Fanpage-Betreiberinnen und Fanpage-Betreiber in einer (transparenten) Vereinbarung festzulegen, wer welche Verpflichtung aus der Datenschutz-Grundverordnung (DS-GVO) erfüllt. Diese Vereinbarung muss darüber hinaus in wesentlichen Punkten den Betroffenen zur Verfügung gestellt werden, damit diese ihre Betroffenenrechte wahrnehmen können.

Hierauf bezugnehmend veröffentlicht Facebook am 11. September 2019 die sog. „Seiten-Insights-Ergänzung“, um den von der DSK aufgestellten Anforderungen gerecht zu werden und insbesondere eine Vereinbarung zur Gemeinsamen Verantwortlichkeit im Sinne des Art. 26 DS-GVO zur Verfügung zu stellen. Diese Ergänzung erfüllte nach Ansicht der Datenschutzaufsichtsbehörden jedoch nicht die Anforderungen an eine Vereinbarung nach Art. 26 DS-GVO, da insbesondere die alleinige Entscheidungsmacht seitens Facebook „hinsichtlich der Verarbeitung von Insights-Daten“ im Widerspruch zur gemeinsamen Verantwortlichkeit stehe wie die DSK in der „Positionierung zur Verantwortlichkeit und Rechenschaftspflicht bei Facebook-Fanpages sowie der aufsichtsbehördlichen Zuständigkeit“ vom 1. April 2019 deutlich machte.

Am 20. Mai 2019 richtete sich der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) in einem Rundschreiben an alle Ministerien, Behörden und öffentlichen Stellen und bestärkte diese Position noch einmal. In einem zweiten Rundschreiben vom 16. Juni 2021 griff der BfDI die Thematik nochmals auf und hob insbesondere die Problematik bei der Datenübermittlung an Drittländer hervor.

Die genauen rechtlichen Probleme bei Betrieb einer Facebook-Fanpage hat die DSK in einem Kurzgutachten vom 18. März 2022 dargestellt. Worauf ebenfalls ein entsprechender Beschluss der DSK zur Task Force Facebook-Fanpages ergangenen ist. In einem bisher letzten Akt geht insbesondere der BfDI noch weiter und versendet mittlerweile Anhörungen zu Facebook-Fanpages.

WORUM GEHT ES NUN IN DEN FAQ FACEBOOK-FANPAGE DER DSK?

Nach einem Problemaufriss inklusive Herausstellung des eigentlichen Knackpunktes, dass Meta Platforms als Betreiber des Dienstes Facebook die Daten der Nutzenden nicht ausschließlich zum Zweck der Bereitstellung eines sozialen interaktiven Netzwerks verarbeitet, sondern auch zu Werbezwecken. Als gemeinsam mit Meta Platforms Verantwortliche müssen Fanpage-Betreiberinnen und Fanpage-Betreiber die Vorgaben der DS-GVO einhalten und dazu – unter anderem – eine Vereinbarung über die gemeinsame Verantwortung schließen, der die Anforderungen von Art. 26 DSGVO erfüllt. Das aktuelle von Meta Platforms vorgelegte Addendum erfüllt diese Anforderungen nicht. Demnach können verantwortliche Betreiberinnen und Betreiber häufig eine rechtskonforme Verarbeitung personenbezogener Daten nicht sicherstellen. Das betrifft insbesondere die Frage, in welchem Umfang eine Übermittlung personenbezogener in datenschutzrechtliche Drittländer stattfindet, wobei in derartigen Fällen die speziellen Anforderungen der Art. 44 ff. DS-GVO einzuhalten sind.

FÜR WEN GELTEN DIE AKTUELLEN HINWEISE DER DSK UND WELCHE KONSEQUENZEN DROHEN?

Unter Ziff. 6 ff. der FAQ führt die DSK weiter aus, dass Facebook-Fanpages nur dann betrieben werden dürfen, wenn die datenschutzrechtliche Konformität des Betriebs sichergestellt ist und nachgewiesen werden kann. Solange der Betrieb einer Facebook-Seite nicht rechtskonform durchgeführt werden kann, stellt der weitere Betrieb einen Verstoß gegen das Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG) und die DS-GVO dar. Dies gilt sowohl für öffentliche als auch für nicht-öffentliche Stellen. Jedoch sind öffentliche Stellen in besonderem Maße gesetzlich verpflichtet, rechtskonform zu handeln. Daher und aufgrund ihrer Vorbildfunktion sollen diese durch die Datenschutzaufsichtsbehörden nun vorrangig in die Pflicht genommen werden. Dies werde auch durch das Urteil des OVG Schleswig-Holstein vom 25.11.2021 (Az. 4 LB 20/13) gestützt, welches die Deaktivierungs-Anordnung der Landesbeauftragten Schleswig-Holstein Marit Hansen gegenüber einer öffentliche Stelle bestätigte.

Die obigen Ausführungen zu Grunde gelegt kommt die DSK zu dem Ergebnis, dass Fanpage-Betreiberinnen und Fanpage-Betreiber die Rechtskonformität der von ihnen verantworteten Datenverarbeitung sicherstellen und nachweisen können müssen, dies ihnen für den Betrieb von Facebook-Fanpages zurzeit jedoch nicht möglich ist. Datenschutzrechtlich Verantwortliche können in dieser Situation daher nach Ansicht der DSK nur eine (unverzügliche) Deaktivierung ihrer Fanpages vornehmen, bis sie in der Lage sind, ihre Pflichten aus der DS-GVO zu erfüllen. Da die datenschutzrechtlichen Probleme bei Facebook-Fanpages weitestgehend unabhängig von deren jeweiligen Inhalten bestehen, sieht die DSK zudem keine Lösung durch eine Anpassung der Inhalte, sondern ausschließlich durch Abschalten der Seite. Nichts desto trotz ergeht der Hinweise, dass sobald hinreichende Nachbesserungen durch Meta Platforms dazu geführt haben, dass eine datenschutzrechtliche Konformität gegeben ist, eine Facebook-Fanpage dann wieder in Betrieb genommen werden könnte. Ob und wann dies der Fall sein könnte, gleicht wohl jedoch einem Blick in die berühmte Glaskugel.

Weiterhin verweist die DSK darauf, dass viele der Erkenntnisse auch auf andere Social-Media-Auftritte (bspw. Instagram, Twitter, TikTok usw.) übertragbar sein dürften. Die Umstände seien häufig sehr ähnlich, sodass die rechtliche Bewertung sinngemäß übertragbar ist. Eine explizite gerichtliche Klärung gibt es jedoch bisher nur für den Betrieb von Facebook-Fanpages.

FAZIT

Die eigentlich Rechtsproblematik für Betreiberinnen und Betreiber von Facebook-Fanpages ist nicht erst durch die neuerdings veröffentlichen FAQ der DSK zu einer Herausforderung für datenschutzrechtliche Verantwortliche erwachsen. Vielmehr schwillt der Konflikt rund um das Urteil des EuGH aus dem Jahre 2018 und die Gemeinsame Verantwortlichkeit zwischen Facebook und Betreiberinnern und Betreibern bereits seit Jahren und gleicht einem Stück in mehreren Akten, bei dem aktuell das vorläufige Ende zumindest vieler Facebook-Fanpages öffentlicher Stellen durch deren Abschaltung gekommen zu sein scheint. Allerdings wird das letzte Wort noch lange nicht gesprochen sein.

Über den Autor: Alexander Weidenhammer ist Rechtsanwalt und als externer Datenschutz- und Informationssicherheitsbeauftragter beim Dresdner Institut für Datenschutz tätig. Im Fokus seiner Beratungstätigkeiten liegen insbesondere Rechtsanwalts- und Steuerberatungskanzleien, mittelständische Unternehmen sowie Vereine. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

Instagram gehört für viele Unternehmen, Vereine und andere Einrichtungen fast schon zum guten Ton. Aktuelle Informationen werden häufig nur noch über Instagram zur Verfügung gestellt. In machen Bereichen scheint Instagram Facebook den Rang abgelaufen zu haben.Meta bzw. Facebook beschäftigt die Datenschutzwelt mit allen dazugehörigen Plattformen seit Jahren. Instagram fällt selbst für Meta-Verhältnisse ein wenig aus dem Rahmen. Bei der Nutzung eines Instagramprofils werden immer jede Menge personenbezogener Daten verarbeitet. Das ist das Geschäftsmodel von Meta. Die Datenschutzhinweise von Instagram sind schon eine Herausforderung für sich. Kopiert und in eine Textdatei eingefügt bringen diese Informationen es auf 11 DIN A4 Seiten – in Schriftgröße 10 … Das spricht nicht für Transparenz. Die erschreckendsten Informationen erhält man aber direkt am Anfang: … die Inhalte, Kommunikationen und sonstigen Informationen, die du bereitstellst, wenn du unsere Produkte nutzt; dazu gehören … das Kommunizieren mit anderen. … Besonders interessant ist auch der Hinweis, dass besondere Kategorien von personenbezogenen Daten zwar in Europa unter besonderem Schutz stehen und sie freiwillig angegeben werden können – aber dann? Sicherlich handelt es sich bei dieser freiwilligen Angabe nicht um eine rechtswirksame Einwilligung. Dazu fehlt es schon an der Informiertheit.

Nach dem ernüchternden, wenn auch erwartbaren Ergebnis des kürzlich erschienen Kurzgutachten zur datenschutzrechtlichen Konformität des Betriebs von Facebook-Fanpages der „Taskforce Facebook-Fanpages“ der DSK, welches Themas unseres Blogbeitrags der letzten Woche war, stellt sich die Frage, ob die Erkenntnisse auch auf Instagram-Business übertragbar ist. Bei Instagram kann man zwischen zwei Versionen wählen: „Normal“ und „Business“.

WAS UNTERSCHEIDET DIE INSTAGRAM-BUSINESS VERSION?

Häufig kann man sich bei der Verwendung der Businessversionen von Anwendungen und Apps zumindest sichererer fühlen und hat einen Teil richtig gemacht. Das gilt fast immer aus lizenzrechtlicher Sicht. Aus datenschutzrechtlicher Sicht kann sich ein anderes Bild ergeben. Insbesondere gilt das bei Nutzung der Social-Media-Plattform Instagram in der Business Version.

Der Instagram-Business Account bietet zusätzliche Features. So kann ein Profil von jedem gesehen werden. Bei dieser Form des Instagram-Accounts können Sie Ihre Kontaktinformationen zu Ihrem Profil hinzufügen. Aktuelle und potenzielle Kunden können Ihr Profil besuchen und diese Schaltfläche verwenden, um Sie zu erreichen. Instagram-Busines bietet auch Online-Shops und sog. Shoppable Posts, die sich perfekt für E-Commerce-Websites und Einzelhändler eignen.

Diese zusätzlichen Features machen den Account aus Marketingsicht interessant, aber aus datenschutzrechtlicher Sicht noch problematischer. Besonders zu beachten ist in diesem Zusammenhang Insights. Beim Besuch eines Instagram-Business-Profils werden diesbezüglich größtenteils dieselben Cookies gesetzt wie bei Facebook. Für die Datenverarbeitungen bei Insights gibt es bei Meta nur eine Datenschutzinformationen, sodass davon ausgegangen werden kann, dass es sich um ein und dieselbe Produkt handelt. Die in Rechtsprechung und Literatur vertretenen Auffassungen zu Facebook sind daher auch auf Instagram-Business übertragbar.

Zur Vereinbarkeit von Insights mit der DS-GVO und dem TTDSG sei im wesentliche auf die Ausführungen des Blogbeitrags der letzten Woche verweisen. Zusätzlich zum dort erläuterten sollten Betreibende von Instagram-Accounts sich bewusst machen, dass neben dem durch Instagram für angemeldete User, auch anderer Meta Plattformen, gesetzten Cookies c_user auch grundsätzlich ein Cookie dat_r für User ohne Konto oder Anmeldung gesetzt wird. Diese sind beide nicht nur dazu geeignet, sondern werden auch aktiv für Profilbildungen genutzt. Von Instagram selbst wird zum jetzigen Zeitpunkt keine rechtswirksame Einwilligung gemäß § 25 TTDSG eingeholt.

WEITERE DATENSCHUTZRECHTLICHE PFLICHTEN

Weiterhin problematisch ist auch, wie im oben genannten Kurzgutachten unter Punkt 4 erläutert, dass Betreibende eines Instagram-Profils als Verantwortliche die weiteren datenschutzrechtlichen Verpflichtungen aus Art 5 DS-GVO wie „auf nachvollziehbare Weise“, „Datenminimierung“, „Speicherbegrenzung“ nicht erfüllen können, da Sie keinen Einfluss darauf haben. Aus denselben Gründen können Sie auch nicht Ihren Verpflichtungen aus Art 13 DS-GVO nachkommen und Nutzende über die Datenverarbeitung informieren. Zusätzlich erschwerend ist, dass eine Übermittlung personenbezogener Daten in ein Drittland nur zulässig ist, wenn die Vorgaben der Artt. 44 ff. DS-GVO eingehalten werden. Dies muss vom datenschutzrechtlich Verantwortlichen, also vom Betreibenden, geprüft werden.

WOHIN MIT DEN PFLICHTANGABEN?

Bei beiden Varianten – „Normal“ oder „Business“ – müssen im geschäftlich genutzten Profil ein Impressum und Datenschutzinformation eingebunden werden. Instagram bietet kein geeignetes Feld für diese Angabe. Die Option, den gesamten Impressums- und Datenschutzerklärungstext in die Beschreibung einzufügen, gibt es nicht, da Instagram die Eingabe auf 150 Zeichen beschränkt.

Es besteht die Möglichkeit, in der Profilbeschreibung auf Seiten der Website zu verweisen. Der Link ist aber nicht „klickbar“. Um einen klickbaren Link zum Impressum und zur Datenschutzinformation einzufügen, bleibt nur das Feld „Website“. Hier ist gut zu überlegen, wo dieser Link hinführt. Die Datenschutzinformation der eigenen Homepage ist regelmäßig keine gute Lösung, da sich die Angaben leicht widersprechen können. So es für die Internetseite stimmen mag, dass kein Drittlandtransfer stattfindet – die Information zu Instagram würde das dann ad absurdum führen.

Es gibt auf dem Markt einige Dienstleister, die eine vorgefertigte Lösung für Instagram anbieten. Datenschutzrechtlich ist von einer solchen externen Lösung eher abzuraten, da Nutzende auf diese Weise nur auf Umwegen über den Anbieter – teils in einem sog. unsicheren Drittland – zum Ziel gelangen.

FAZIT

Das Betreiben eines Instagram-Business-Accounts ist datenschutzkonform – aus denselben Gründen wie eine Facebook-Fanpage –  nicht möglich. Beim Betreiben eines „normalen Accounts“ entfällt zumindest die Verarbeitung über Insights. Alle anderen Datenverarbeitungen bleiben bestehen und damit auch die – nicht nur datenschutzrechtlichen – Pflichten.

Entscheiden Sie sich dennoch für ein Instagram-Profil sollten grundsätzlich sämtliche in den Datenschutz- und Sicherheitseinstellungen angebotenen Möglichkeiten ausgeschöpft werden, um die Erhebung und Verarbeitung von personenbezogenen Daten von Besuchenden auf das absolute Minimum zu beschränken. Alle Veröffentlichungen sollten so datensparsam wie möglich erfolgen. Idealerweise finden sich Inhalte, die auf Instagram gepostet werden, alternativ auch auf Ihrer Homepage, sodass niemand gezwungen ist, die Plattformen zu nutzen, um auch diese Inhalte sehen zu können.

Für die Umsetzung der datenschutzrechtlichen Anforderungen stehen wir Ihnen – für den Fall, dass wir Sie nicht davon überzeugen konnten, auf Instagram zu verzichten – gerne zur Verfügung. Sprechen Sie uns an.

Über den Autor: Das DID Dresdner Institut für Datenschutz unterstützt Unternehmen und Behörden bei allen Fragen rund um die Themen Datenschutz und Informationssicherheit. Regelmäßig erscheinen an dieser Stelle Beiträge zu praxisrelevanten Themen und Entwicklungen. Für Anregungen und Reaktionen zu diesem Beitrag können Sie das DID Dresdner Institut für Datenschutz gern per E-Mail kontaktieren.

SACHVERHALT

Dem streitgegenständlichen Sachverhalt ist zu entnehmen, dass es sich bei den sorgeberechtigten Elternteilen der Kinder um getrenntlebende Eheleute handelt, denen beide die elterliche Sorge zusteht. Die gemeinsamen Kinder leben bei der Mutter, wobei der Vater mit den Kindern einen regelmäßigen Umgang pflegt. Die neue Lebensgefährtin des Vaters wiederum betreibt einen Friseursalon und verbreitete zu Werbezwecken für ihr Friseurgewerbe auf den einschlägigen Profilen bei Facebook und Instagram Aufnahmen der Kinder. Die Mutter der Kinder hatte von der Veröffentlichung der Aufnahmen keine Kenntnis, wohingegen der Vater einer Veröffentlichung zustimmte. Mit Kenntnisnahme der Veröffentlichung verlangte die Mutter die Entfernung der Aufnahmen, welcher der Lebensgefährtin zunächst nicht nachkam. Die Mutter ging hiergegen mit Erfolg gerichtlich vor.

ENTSCHEIDUNG DES OLG DÜSSELDORF

Auch wenn im Rahmen des Beschlusses des OLG Düsseldorf im Kern die Anwendung des § 1628 BGB (Bürgerliches Gesetzbuch) hinsichtlich der gerichtlichen Entscheidung bei Meinungsverschiedenheiten der Eltern thematisiert wird, deren Ausführungen an dieser Stelle nicht weiter ausgeführt werden sollen, sind die weiteren datenschutzrechtlichen Betrachtungen von besonderer Bedeutung:

Zunächst stellt das Gericht klar, dass „das öffentliche Teilen der Bilder bei Facebook und Instagram und ihre Einstellung auf der Webseite […] schwer abzuändernde Auswirkungen auf die Entwicklung der Kinder [hat].“ Dies ergebe sich „aus der Tragweite der Verbreitung von Fotos in digitalen sozialen Medien unter Berücksichtigung der hiervon betroffenen Privatsphäre der Kinder und des gebotenen Schutzes ihrer Persönlichkeit.“ Weiterhin wird im Rahmen des Beschlusses deutlich gemacht, dass eine derartige Veröffentlichung von Fotoaufnahmen gegenüber einem unbegrenzten Personenkreis erfolgt und eine Weiterverbreitung dieser kaum kontrollierbar ist. Dies führe zwangsläufig dazu, dass die Kinder (potenziell) für einen unbegrenzten Zeitraum und gegenüber einem unbeschränkten Personenkreis mit Fotoaufnahmen aus der Zeit ihrer Kindheit konfrontiert werden. Nach Auffassung des Gerichtes „tangiert [dies] spürbar die Integrität ihrer Persönlichkeit und ihrer Privatsphäre.“

Darüber hinaus führt das OLG Düsseldorf mit Verweis auf eine frühere Entscheidung des Bundesgerichtshofes (BGH, Urt. v. 28.09.2004 – VI ZR 305/03) aus , dass sich die Notwendigkeit zur Einwilligung beider Elternteile aus § 22 KunstUrhG (Gesetz betreffend das Urheberrecht an Werken der bildenden Künste und der Photographie) ergibt. Hinsichtlich der Rechtsgrundlage der Einwilligung gemäß Art. 6 Abs. 1 Satz 1 lit. a) DS-GVO (Datenschutz-Grundverordnung) ergibt sich dies bereits mit Blick auf die Regelung nach Art. 8 Abs. 1 DS-GVO. Darin heißt es: „Hat das Kind noch nicht das sechzehnte Lebensjahr vollendet, so ist diese Verarbeitung [auf Rechtsgrundlage der Einwilligung] nur rechtmäßig, sofern und soweit diese Einwilligung durch den Träger der elterlichen Verantwortung für das Kind oder mit dessen Zustimmung erteilt wird.“

Dementsprechend komme es grundsätzlich auch nicht darauf an, „ob die Kinder in die Bildveröffentlichung einwilligen. Eine solche Einwilligung würde nämlich nichts daran ändern, dass die erforderliche Einwilligung beider sorgeberechtigter Elternteile in die Bildverbreitung fehlt. […] Denn entscheidend sind nicht die Neigungen, die Bindungen oder der Wille der Kinder. Den Ausschlag gibt [vorliegend] vielmehr die Rechtswidrigkeit der Bildverbreitung mangels der Zustimmung der Mutter.“

AUSWIRKUNGEN FÜR DIE PRAXIS

Für die Praxis ergibt sich aus dem Beschluss des OLG Düsseldorf zwangsläufig die Anforderung, dass im Rahmen einer Veröffentlichung von Fotoaufnahmen von Kindern die Einwilligungen sämtlicher sorgeberechtigter Parteien eingeholt werden. Das bedeutet, dass neben den allgemeinen datenschutzrechtlichen Anforderungen an eine Einwilligungserklärung, diese so zu gestalten ist, dass die Notwendigkeit der Einwilligung sämtlicher Sorgeberechtigten deutlich hervortritt. Dies kann beispielsweise durch eine entsprechende Gestaltung der Unterschriftenfelder oder im Rahmen elektronischer Einwilligungserklärungen beispielsweise durch eine Hervorhebung im Text erreicht werden.

Sofern es der verantwortlichen Stelle zuzumuten ist und diese gegebenenfalls bereits Informationen über die sorgeberechtigten Personen vorliegen hat, sollte eine entsprechende Überprüfung der Einwilligungserklärungen erfolgen.

BESONDERER SCHUTZBEDARF PERSONENBEZOGENER DATEN VON KINDERN

Weiterhin ergibt sich aus den Entscheidungsgründen ein weit wesentlicher Aspekt: Die Veröffentlichung von Kinderfotos im Internet im Allgemeinen sowie in sozialen Netzwerken im Besonderen kann auf die Entwicklung von Kindern enorme negative Auswirkungen haben. In diesem Zusammenhang sollten verantwortliche Stellen – insbesondere solche mit Nähe zu Kindern, z.B. Kindertageseinrichtungen – stets hinterfragen, ob die Veröffentlichung von Kinderfotos im Internet zwingend erforderlich ist. (Zur Erforderlichkeit der Abbildung konkreter Personen unser Beitrag: „Veröffentlichung von Gruppenfotos in sozialen Netzwerken“, DSB 2021, S. 128 ff.). Dies ergibt sich bereits aus Art. 5 Abs. 1 lit. c DS-GVO – dem Grundsatz der Datenminimierung. Eine Veröffentlichung von Fotoaufnahmen verbietet sich erst recht dann, wenn Kinder (teilweise) unbekleidet abgebildet sind. Einen Perspektivenwechsel ermöglicht hierbei auch der Blog von Toyah Diebel.

Darüber hinaus wird in der datenschutzrechtlichen Literatur auch ein weiterer nicht zu vernachlässigender Gesichtspunkt diskutiert: Influencer:innen und Blogger:innen nutzen im Rahmen Ihrer Reichweite Fotoaufnahmen ihrer Kinder zur Platzierung von Werbung. Bei den benannten Personen handelt es sich sodann zugleich sowohl um die datenschutzrechtlich verantwortliche Stelle als auch um die Träger der elterlichen Verantwortung. Ist vor diesem Hintergrund eine solche Datenverarbeitung zulässig oder handelt es sich hierbei womöglich um ein unwirksames Insichgeschäft im Sinne des § 181 BGB?

FAZIT

Aus dem Beschluss des OLG Düsseldorf geht deutlich hervor, dass eine Veröffentlichung von Fotoaufnahmen von Kindern erhebliche Auswirkungen auf die Entwicklung der Kinder haben kann. Die Dimension einer solchen Veröffentlichung bedingt – und dies wurde bereits durch den Gesetzgeber und andere Gerichte erkannt – stets einer Einwilligung sämtlicher sorgeberechtigter Personen. Aufgrund möglicher weitreichender Folgen sollte durch verantwortliche Stellen stets im Vorfeld einer Veröffentlichung geprüft werden, ob eine solche zwingend erforderlich ist und bejahendenfalls für eine konforme Einwilligung der sorgeberechtigten Personen Sorge tragen.

Über den Autor: Max Just, LL.M. ist Wirtschaftsjurist und als externer Datenschutz- und Informationssicherheitsbeauftragter beim DID Dresdner Institut für Datenschutz tätig. Neben diversen öffentlichen Stellen berät er ebenfalls verschiedene IT- und mittelständische Unternehmen. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

SACHVERHALT

Im Rahmen einer öffentlichen Veranstaltung eines Ortsvereins einer politischen Partei mit insgesamt rund 70 Teilnehmenden nahm einer der Veranstaltungsteilnehmer ein Foto auf, auf welchem ein Großteil der Teilnehmenden abgebildet war. Hierunter auch der Vorsitzende des Ortsvereins sowie das Ehepaar F. Dieses Foto wurde durch denselben Ortsverein vier Jahr später in einem sozialen Netzwerk veröffentlicht. Herr F. wandte sich hierauf mit Verweis auf das für die Veröffentlichung fehlende erforderliche Einverständnis an den Ortsverein und forderte diesen zur Stellungnahme und Löschung auf. Zudem legte Herr F. bei der zuständigen Datenschutzaufsichtsbehörde Beschwerde ein, welche umgehend ein aufsichtsbehördliches Prüfverfahren einleitete. Der Ortsverein führte aus, dass die Veröffentlichung weder gegen die Datenschutz-Grundverordnung (DS-GVO) noch gegen das Gesetz betreffend das Urheberrecht an Werken der bildenden Künste und der Photographie (KUG) verstoße. Gegen die daraufhin ergangene aufsichtsbehördliche Verwarnung erhob der Ortsverein Klage. Das Verwaltungsgericht Hannover bestätigte erstinstanzlich den Bescheid (VG Hannover, Urt. v. 27.11.19 – 10 A 820/19), das OVG lehnte nunmehr den Antrag auf Berufungszulassung ab.

ENTSCHEIDUNGSGRÜNDE UND AUSWIRKUNGEN AUF DIE PRAXIS

Die Veröffentlichung von Fotografien innerhalb eines sozialen Netzwerkes stellt nach Ansicht des OVG unstreitig eine Verarbeitung personenbezogener Daten unter gemeinsamer Verantwortlichkeit des Betreibers der jeweiligen Seite mit dem Betreiber des sozialen Netzwerkes dar. Die streitgegenständliche Datenverarbeitung sei nach Art. 5 Abs. 1 i.V.m. Art. 6 Abs. 1 DS-GVO nicht gerechtfertigt und mithin als Verstoß gegen die DS-GVO zu werten. Die Veröffentlichung der Fotografien könne unter anderem weder auf die Rechtsgrundlagen des berechtigten Interesses gemäß Art. 6 Abs. 1 S. 1 lit. f DS-GVO noch auf die spezialgesetzlichen Regelungen der §§ 22, 23 KUG i.V.m. Art. 85 Abs. 2 DS-GVO gestützt werden.

Das OVG legte dar, dass es im vorliegenden Fall grundsätzlich an der Erforderlichkeit der konkreten Datenverarbeitung fehlte. Darüber hinaus haben im Rahmen einer Interessenabwägung des Ortsvereins die entgegenstehenden Rechte und Interessen der betroffenen Personen lediglich in unzureichendem Umfang Eingang gefunden. Weiterhin entspricht die konkrete Datenverarbeitung auch nicht den vernünftigen Erwartungen der betroffenen Personen. Die Anwendung der spezialgesetzlichen Normen der §§ 22, 23 KUG i.V.m. Art. 85 Abs. 2 DS-GVO scheidet zudem aufgrund eines fehlenden journalistischen Verarbeitungszweckes aus.

Für die Praxis ergeben sich aus dem Urteil für die Veröffentlichung von Fotografien wichtige Hinweise, insbesondere welche Kriterien im Rahmen einer Interessenabwägung einbezogen werden sollten. Hierzu zählen unter anderem der Aspekt der Erforderlichkeit, die näheren Umstände der Anfertigung sowie das Veröffentlichungsmedium und der Zeitpunkt der Veröffentlichung.

Eine umfassende Darstellung der Entscheidungsgründe sowie der Auswirkungen und Handlungsempfehlungen für die Praxis können Sie unserem Beitrag „Veröffentlichung von Gruppenfotos in sozialen Netzwerken“ entnehmen, welcher in der Ausgabe Nr. 04/2021 des DATENSCHUTZ-BERATER erschienen ist. Den Beitrag können Sie in der digitalen Fassung hier abrufen.

Über den Autor: Max Just, LL.M. ist Wirtschaftsjurist und als externer Datenschutz- und Informationssicherheitsbeauftragter beim DID Dresdner Institut für Datenschutz tätig. Neben diversen öffentlichen Stellen berät er ebenfalls verschiedene IT- und mittelständische Unternehmen. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.