(openPR) Die engagierte Landesdatenschutzbehörde von Schleswig-Holstein (Unabhängiges Landeszentrum für Datenschutz, kurz ULD) ist enttäuscht über den mangelnden Erfolg ihrer Facebook-Kampagne.
Seit Oktober 2011 fordert das ULD öffentliche und nicht öffentliche Stellen in Schleswig-Holstein auf, die von diesen betriebenen Facebook-Fanpages abzuschalten bzw. zu deaktivieren. In einer aktuellen Pressemitteilung zieht das ULD Bilanz und kommt dabei zu dem richtigen Ergebnis, nicht ernst genommen zu werden. Die ilex Datenschutz GbR erklärt die Hintergründe.
1. Was sind Facebook-Fanpages?
Die deutsche Sprache ist reich an atypischen Gattungsnamen. Tempo für Taschentuch, Pampers für Windeln, Zewa für Küchenrolle. Schrittweise wird aus Facebook der Gattungsname für soziale Netzwerke. Hintergrund ist die überragende Stellung von Facebook auf dem Markt.
Dieses Potential erkennen diejenigen Stellen, die auf Bekanntheit setzen. Zunächst waren dies Unternehmen und Künstler. Mittlerweile setzen aber auch Behörden, politische Parteien und selbstverständlich Politiker auf Social-Media-Marketing, also die Werbung in sozialen Netzwerken.
Hierfür stellte der Marktführer Facebook die sog. Facebook-Fanpages bereit.
2. Welche Daten werden dort erhoben?
Für sich genommen ist die Online-Präsenz von Unternehmen und Behörden nicht zu beanstanden. Im Gegenteil: Dies ist Ausdruck von Transparenz und somit die vorauseilende Erfüllung der grundgesetzlich garantierten Informationsfreiheit.
Dennoch gibt es mit den Fanpages ein Problem, das sogar einen Namen trägt: „Facebook Insights“. Hierbei erhebt Facebook personenbezogene Nutzungsdaten der Webseitenbesucher zu Werbezwecken. Aus diesen Daten generiert Facebook eine Nutzungsstatistik, welche dem Fanpagebetreiber Angaben u. a. dazu liefert, wie viele Personen welchen Alters und Geschlechts in bestimmten zeitlichen Abständen das Angebot des Fanpagebetreibers genutzt haben. Hiervon geht das ULD zumindest aus.
Bislang, so das ULD, gäbe es keine Möglichkeit für die Fanpage-Besucher, dieser Erhebung zu widersprechen.
3. ULD: Unvereinbarkeit mit Datenschutzrecht
Nach Auffassung des ULD ist dieses Analyse-Tool unvereinbar mit dem Datenschutzrecht. In concreto wird ein Verstoß gegen § 15 Abs. 3 TMG gerügt. Dort heißt es in den Sätzen 1 und 2:
„Der Diensteanbieter darf für Zwecke der Werbung, der Marktforschung oder zur bedarfsgerechten Gestaltung der Telemedien Nutzungsprofile bei Verwendung von Pseudonymen erstellen, sofern der Nutzer dem nicht widerspricht. Der Diensteanbieter hat den Nutzer auf sein Widerspruchsrecht im Rahmen der Unterrichtung nach § 13 Abs. 1 hinzuweisen.“
In der Tat darf hinterfragt werden, ob ein Verstoß gegen § 15 Abs. 3 TMG gegeben ist. Was auf den ersten Blick einleuchtet, muss auf den zweiten Blick genauer betrachtet werden.
Dies zeigt die nachfolgende Analyse:
4. Anwendbarkeit des TMG?
Ein Verstoß gegen § 15 Abs. 3 TMG setzt zunächst die (örtliche) Anwendbarkeit dieser Norm voraus.
Eine örtliche Anwendbarkeit des § 15 Abs. 3 TMG besteht stets, wenn ein deutscher Diensteanbieter Nutzerdaten erhebt.
Dem könnte entgegengehalten werden, dass der Betreiber der Seite Facebook ein US-amerikansiches Unternehmen ist, dessen Europa-Geschäft aus Irland betrieben wird. Mithin könnte das TMG, und damit auch § 15 Abs. 3 TMG von US-amerikanischen oder irischen Recht verdrängt werden.
Letztlich verkennt dieses Gegenargument aber eines: Die Vorwürfe des ULD richten sich nicht gegen Facebook, sondern gegen die deutschen Betreiber der Fanpages, in concreto gegen die Behörden und Unternehmen aus dem schönen Bundesland Schleswig Holstein.
Sie sind Diensteanbieter i.S.d. TMG und haben ihren Sitz in Deutschland.
Denn zunächst sind auch die Betreiber einer Unterseite (Fanpage), die auf einer übergeordneten Webseite (Facebook) abrufbar sind auch Diensteanbieter, selbst wenn sie nicht Betreiber der gesamten Webseite sind. Dies entschied etwa der 20. Zivilsenat des Oberlandesgerichts Düsseldorf (Urt. v. 18. Dezember 2007, Az. I-20 U 17/07, 20 U 17/07). Kürzlich hat das Landgericht Aschaffenburg dies sogar ausdrücklich für die Betreiber von Facebook-Fanseiten bestätigt (Urt. 19. August 2011, Az. 2 HK O 54/11).
Dass die betroffenen Behörden und Unternehmen ihren Sitz in Deutschland haben, steht außer Frage.
Am Rande: Das Bundesdatenschutzgesetz (BDSG) kommt hier gemäß § 1 Abs. 3 BDSG nicht zur Anwendung. Hiernach tritt das BDSG zurück, wenn und soweit ein anderes Gesetz die Erhebung, Verarbeitung und/oder Nutzung personenbezogener Daten vorrangig und abschließend regelt. § 15 Abs. 3 TMG regelt den Umgang mit Nutzerdaten im Internet abschließend, sodass das BDSG hier zurücktritt.
5. Verstoß gegen § 15 TMG – IP-Adressen als Nutzerdaten?
Ferner setzt ein Verstoß gegen § 15 Abs. 3 TMG voraus, dass tatsächlich die personenbezogenen Nutzerdaten der Fanpagebesucher erhoben werden. Hier ist durchaus umstritten, ob IP-Adressen personenbezogene Nutzungsdaten sind. Schließlich setzt der Personenbezug voraus, dass aufgrund der Daten Rückschlüsse auf eine bestimmte natürliche Person möglich sind.
Diese Rechtsfrage wird kontrovers diskutiert.
Gegen die Annahme eines Personenbezuges spricht, dass eine IP-Adresse von mehreren natürlichen Personen verwendet werden kann und somit keine zuverlässigen Rückschlüsse auf eine natürliche Person zulässt.
Für die Annahme eines Personenbezuges spricht allerdings, dass das Datenschutzrecht insgesamt dazu dient, verarbeitungsbedingten Gefahren vorzubeugen. Mithin könnte aus dem Präventivcharakter des Datenschutzrechtes geschlossen werden, dass die – bei IP-Adressen zweifellos bestehende – abstrakte Möglichkeit, Rückschlüsse auf eine Person zu ziehen, ausreichen muss.
Die Rechtsfrage, die u.a. Niko Härting in einem aktuellen Aufsatz diskutiert (CR 2011, 585-588), darf daher sehr wohl als offen bezeichnet werden.
6. Enttäuschung des ULD
Trotz oder gerade aufgrund dieser unklaren Rechtslage startete das ULD – selbst eine Behörde – eine umfassende Aktion, in der es seit Oktober 2011 öffentliche und nicht öffentliche Stellen in Schleswig-Holstein aufforderte, die von diesen betriebenen Facebook-Fanpages abzuschalten bzw. zu deaktivieren.
Die Bilanz ist – wie das ULD freimütig einräumt – enttäuschend:
„Von den 15 angeschriebenen (7 öffentliche und 8 private) Stellen hat bisher nur eine öffentliche Stelle ihre Fanpage deaktiviert. Alle weiteren Stellen sind weiterhin über Facebook online. Die vom ULD eingeforderte Stellungnahme gaben von den verbleibenden 14 Stellen bisher nur drei öffentliche und drei private Stellen ab, darunter auch die Staatskanzlei Schleswig-Holstein und die Industrie- und Handelskammer (IHK). Zwei der Stellungnahmen gingen nach Fristablauf ein und waren inhaltlich ohne Substanz. Mit der Nichtreaktion im Rahmen des vom ULD eingeleiteten Verwaltungsverfahrens verletzten die weiterhin eine Facebook-Fanpage betreibenden Stellen ihre Auskunftspflicht, was nach dem Datenschutzrecht einen eigenständigen Rechtsverstoß darstellt.“
(Quelle: Pressemitteilung des ULD)
7. Fazit
Das ULD fühlt sich – zu Recht – nicht ernst genommen. Hierbei soll nicht gutgeheißen werden, dass die Angeschriebenen das ULD nicht ernst nehmen, vielmehr soll dieser Zustandsbeschreibung beigepflichtet werden.
Eine Ursachenforschung erübrigt sich aber, denn das Problem liegt auf der Hand:
Unternehmer suchen wirtschaftliche Lösungen. Niemand missachtet das Datenschutzrecht aufgrund einer rechtsfeindlichen Gesinnung. Ein Unternehmer übt den zivilen Ungehorsam, wenn das Datenschutzrecht unternehmerische Abläufe, wozu auch das Marketing gehört, zu stark beeinträchtigt.
Deshalb wird das ULD hier nicht ernst genommen. Hierin liegt aber ein strategischer Fehler.
Denn eine Nichtbeachtung des Datenschutzrechts – aus wirtschaftlichen Gründen – ist gar nicht notwendig, denn dieses Rechtsgebiet ist – wie kaum ein zweites – flexibel genug, um den Schutz der Betroffenenrechte und Wirtschaftlichkeitserwägungen in Einklang zu bringen. Deshalb empfiehlt es sich, frühzeitig Kontakt zu den Aufsichtsbehörden zu suchen, um eine einvernehmliche Lösung herzustellen.
Hierbei wird das ULD sein begrüßenswertes Ziel, die Betroffenen stärker zu schützen, am schnellsten erreichen, wenn man den Fanpagebetreibern aufzeigt, wie eine datenschutzkonforme Lösung aussieht. Etwa in einer Selbstverpflichtung, nicht die ganze IP-Adresse zur Kenntnis zu nehmen oder in einem zusätzlichen Schritt zu mehr Transparenz. Die Möglichkeiten sind vielfältig.
Dr. iur. Stephan Gärtner
Compliance Manager
ilex Datenschutz GbR berät mittelständische Unternehmen bundesweit in Fragen des Datenschutzrechts
________________
Wir unterstützen Sie bei Ihrer Recherche.
ilex Datenschutz – Potsdam
