DSGVO - BDSG - TTDSG

197

Die zuvor dargestellten grundsätzlichen Erwägungen müssen dabei im Lichte der bisher zur gemeinsamen Verantwortlichkeit ergangenen EuGH-Rechtsprechungbewertet und angewandt werden. Insofern verfolgt der EuGH bei der Bejahung einer gemeinsamen Verantwortlichkeit einen sehr niedrigschwelligen Ansatz. Zusammengefasst genügt es nach Ansicht des Gerichtshofs bereits, dass ein Beteiligter – auch ohne die relevanten Daten selbst zu verarbeiten – von der Datenverarbeitung eines anderen profitiert und diese (in welcher Form auch immer) veranlasst oder ermutigt hat oder sich mit dieser (konkludent) einverstanden erklärt, und beide dabei gleiche Interessen verfolgen (wobei der EuGH dieses Interesse im konkreten Fall denkbar abstrakt als „wirtschaftlich“ bestimmt).411

198

Der EuGH hat bislang für folgende Verarbeitungsszenarien eine gemeinsame Verantwortlichkeit bejaht:

199

Die erste diesbezüglich ergangen Entscheidung des EuGH betraf sog. Facebook-Fanpages, mithin Unterseiten auf der Facebook Plattform, die von Nutzern erstellt und administriert werden.412 Nach Ansicht des Gerichtshofs ist der Betreiber einer Fanpage zusammen mit dem Plattform-Betreiber (im konkreten Fall also Facebook) gemeinsamer Verantwortlicher; dies jedenfalls in Bezug auf die seitens Facebook durchgeführte Analyse des Nutzerverhaltens auf der jeweiligen Fanpage.

200

Der EuGH begründet seine Ansicht in erster Linie damit, dass die Betreiber der Fanpages zu der Verarbeitung von personenbezogenen Daten beitragen, indem sie (entsprechend den von Facebook ermöglichten Funktionen) die Kriterien festlegen und sogar die Kategorien von Personen bezeichnen können, anhand derer die Nutzungsanalysen für sie erstellt werden sollen.413 Durch diese seitens des Fanpage-Betreibers vorgenommene sog. Parametrierung der Nutzungsanalysesei er an der Entscheidung über Zwecke und Mittel der Verarbeitung (durch Facebook) beteiligt und daher auch datenschutzrechtlich (mit-)verantwortlich.414 Der EuGH stellt dabei jedoch klar, dass sich die Verantwortlichkeit des einzelnen Fanpage-Betreibers personell lediglich auf die Besucher der jeweiligen Fanpage bezieht.415

201

Als unerheblich sieht es der EuGH an, dass dem jeweiligen Fanpage-Betreiber kein Zugang bzw. Zugriff auf diese Datenin personenbezogener Form gewährt wird, sondern er lediglich anonymisierte Statistiken erhält.416

202

Neben der Parametrierung nennt der EuGH weitere Faktoren, die im Rahmen einer umfassenden Betrachtungaus Sicht des Gerichtshofs zur (Mit-)Verantwortlichkeit von Fanpage-Betreibern führen: Der Fanpage-Betreiber sei sich zunächst der Datenverarbeitung bewusst und akzeptiere diese durch den Abschluss eines entsprechenden Vertrags.417 Zudem profitiere der Fanpage-Betreiber von der Nutzungsanalyse.418 Da der Besuch der Fanpage auch Betroffenen offensteht, die über keinen Facebook-Account verfügen, ermögliche der Fanpage-Betreiber letztlich auch die Verarbeitung der Daten solcher nicht registrierter Betroffener durch Facebook.419

203

In diesem Verfahren hatte der EuGH zu entscheiden, ob die Gemeinschaft der Zeugen Jehovas (Mit-)Verantwortliche für die Datenerhebung durch ihre Mitglieder während ihrer Tür-zu-Tür-Verkündigungsaktivitätenist.420 Gegenständlicher Anknüpfungspunkt des Streits war der Umstand, dass die Mitglieder der Gemeinschaft im Rahmen ihrer Proklamationen personenbezogene Daten über die jeweiligen Anwohner erheben, damit diese Informationen im Rahmen erneuter Besuche verwendet werden können, etwa um Bezug zum letzten Besuch herzustellen.421

204

Im Rahmen seiner diesbezüglichen Entscheidung statuiert der EuGH (auf abstrakter Ebene), dass bei der der Beurteilung, ob eine (gemeinsame) Verantwortlichkeit vorliegt, zu prüfen ist, ob die jeweilige Stelle die Verarbeitung zu ihrem eigenen Nutzen beeinflusst.422 Sollte dies der Fall sein, sei es wahrscheinlich, dass eine solche Beteiligung als eine (Mit-)Bestimmung der Zwecke und Mittel dieser Verarbeitung zu werten und der jeweilige Akteur damit als (Mit-)Verantwortlicher anzusehen sei.423

205

Auf den vorliegenden Fall angewandt, kommt der EuGH daher erstens zu dem Schluss, dass die Erhebung und anschließende Verarbeitung von personenbezogenen Daten über besuchte Personen in erster Linie den Interessen der Gemeinschaft der Zeugen Jehovas, nämlich der Verbreitung ihres Glaubens, zu dienen scheint und daher von ihren predigenden Mitgliedern hauptsächlich im Interesse der Gemeinschaft durchgeführtwird.424 Zudem verarbeite die Gemeinschaft die gesammelten Informationen über besuchte Personen für eigene Zwecke weiter, wie z.B. für das Führen von Listen von Personen, die in Zukunft nicht mehr besucht werden wollen.425 Ferner ermutige, koordiniere und organisieredie Gemeinschaft die Predigtaktivitäten auf einer abstrakten, aber (offensichtlich) hinreichend bedeutsamen Ebene.426 Dies manifestiere sich durch die Zuteilung der Gebiete an die Mitglieder sowie durch die Erteilung von Anweisungen und Anleitungen, wie bei der Durchführung der Verkündigungen und den damit verbundenen Gesprächen mit besuchten Personen vorzugehen sei, etwa durch Artikel, die in der Vergangenheit in ihren Zeitschriften veröffentlicht wurden.427

206

In diesem Verfahren hatte das OLG Düsseldorf den EuGH um eine Entscheidung darüber gebeten, ob die Einbindung des Facebook „Like-Buttons“auf einer Webseite dazu führt, dass der Webseiten-Betreiber zusammen mit Facebook als (Mit-)Verantwortlicher einzustufen ist.428 Das Plugin kann auf anderen Webseiten eingebettet und angezeigt werden. Dazu wird vom Plugin-Anbieter (in diesem Fall Facebook) ein Code-Snippet zur Verfügung gestellt, welches ermöglicht, das Plugin auf anderen Webseiten einzubinden und beim Besuch anzuzeigen.

207

Der EuGH bejahte – als logische Fortsetzung der Entscheidung zur gemeinsamen Verantwortlichkeit von Fanpage-Betreibern – auch in diesem Verfahren die gemeinsame Verantwortlichkeit zwischen Plugin-Betreiber und Webseiten-Betreiber, der das Plugin auf seiner Webseite einbindet. In diesem Zuge weist der EuGH zunächst darauf hin, dass der Webseiten-Betreiber frei über die Einbettung des Plugins entscheidet.429 Durch diese Entscheidung, die in Kenntnis der Erhebung und Übermittlung von personenbezogenen Daten an Facebook erfolgt, bestimme der Webseiten-Betreiber (mit) über die Zwecke und Mittel der Verarbeitung. Diese gemeinsame Verantwortlichkeit erstrecke sich allerdings lediglich auf die initiale Erhebung und Übermittlung an Facebook.430

208

Der EuGH begründet seine Entscheidung ferner mit dem Verhältnis zwischen den von Facebook und dem Webseiten-Betreiber verfolgten Zwecken. So sei der Zweck des Webseiten-Betreibers, die Werbung für seine Produkte zu optimieren, indem er die Produkte auf Facebook sichtbarer macht. Facebook wiederum sammelt die Daten von den Besuchern (des Webseiten-Betreibers) zur Weiterverarbeitung für eigene kommerzielle Zwecke. Aufbauend auf dieser Einschätzung stellt der EuGH anschließend fest, dass diese wechselseitigen Zwecke von den Parteien akzeptiert und die von den Parteien verfolgten Interessen an der Verarbeitung identisch sind, nämlich wirtschaftlicher Natur. Der Webseiten-Betreiber drückt seine Einwilligung (in die Verarbeitung durch Facebook) zumindest implizit durch die Einbettung des Pluginsaus. Umgekehrt nimmt Facebook scheinbar durch das Anbieten des Plugins und der darin enthaltenen Funktionen am Bestimmungsprozess (an der Verarbeitung des Webseiten-Betreibers) teil.431