Datenschutzbehörde kann den Betrieb einer Facebook-Fanpage untersagen

Das Bundesverwaltungsgericht hat mit Urteil vom 11.09.2019 – BVerwG 6 C 15.18 entschieden, dass die Datenschutzbehörde den Betrieb einer Facebook-Fanpage untersagen kann, wenn die von Facebook zur Verfügung gestellte digitale Infrastruktur schwerwiegende datenschutzrechtliche Mängel aufweist.

In dem Verfahren ging es um eine Anordnung der schleswig-holsteinischen Datenschutzaufsicht, mit der eine Bildungseinrichtung verpflichtet worden war, die von ihr bei Facebook betriebene Fanpage zu deaktivieren. Die Aufsichtsbehörde beanstandete, dass Facebook bei Aufruf der Fanpage auf personenbezogene Daten der Internetnutzer zugreife, ohne dass diese über Art, Umfang und Zwecke der Erhebung sowie das Widerspruchsrecht gegen die Erstellung eines Nutzungsprofils für Zwecke der Werbung oder Marktforschung unterrichtet würden.

Das Oberverwaltungsgericht Schleswig hatte mit Urteil vom 04.09.2014 eine datenschutzrechtliche Verantwortlichkeit der Bildungseinrichtung abgelehnt, da sie keinen Zugriff auf die erhobenen Daten habe. Dagegen wandte sich die Aufsichtsbehörde zum Bundesverwaltungsgericht. Auf Vorlage des Bundesverwaltungsgerichts (Beschl. v. 25.02.2016 - BVerwG 1 C 28.14) hat der Gerichtshof der Europäischen Union (EuGH) mit Urteil vom 05.06.2018 - C-210/16 - entschieden, dass der Betreiber einer Fanpage für die durch Facebook erfolgende Datenverarbeitung mitverantwortlich ist. Denn er ermöglicht durch den Betrieb der Fanpage Facebook den Zugriff auf die Daten der Fanpage-Besucher.

Das Bundesverwaltungsgericht hat auf der Grundlage dieser bindenden Vorgabe das Urteil der Vorinstanz aufgehoben. Um das hohe Datenschutzniveau schnell und effektiv durchzusetzen, konnte sich die Aufsichtsbehörde bei der Auswahl unter mehreren Verantwortlichen vom Gedanken der Effektivität leiten lassen und ermessenfehlerfrei die Klägerin für die Herstellung datenschutzkonformer Zustände bei Nutzung ihrer Fanpage in die Pflicht nehmen. Erweisen sich die bei Aufruf der Fanpage ablaufenden Datenverarbeitungen als rechtswidrig, so stelle die Deaktivierungsanordnung ein verhältnismäßiges Mittel dar, weil der Bildungseinrichtung keine anderweitige Möglichkeit zur Herstellung datenschutzkonformer Zustände offenstehe.

Das Bundesverwaltungsgericht hat den Rechtsstreit an die Vorinstanz zurückverwiesen, da es zur Frage der Rechtswidrigkeit der Datenverarbeitungsvorgänge beim Aufruf der Facebook-Fanpage einer weiteren Aufklärung der tatsächlichen Umstände bedürfe.