Fast auf jeder Webseite im Internet ist er mittlerweile anzutreffen: Der „Like-Button“ von Facebook oder eines anderen Social Media-Kanals wie Twitter oder Instagram. Mit einem solchen sog. „Social Plug-In“ können User den Inhalt der betreffenden Seite – bspw. einer Nachrichtenseite oder eines Webshops – über ihr Profil auf den sozialen Medien teilen und so anderen mitteilen, was sie gefreut, gewundert oder geärgert hat. Dieser Button und was der Klick darauf im Einzelnen auslöst, ist Sache der Social Media-Anbieter – könnte man meinen. Anders sah das nun der Europäische Gerichtshof (EuGH) in Luxemburg: Er hat entschieden, dass ein Webseitenbetreiber, der auf seiner Seite den Like-Button von Facebook einbindet, zumindest für einen Teil der dadurch ausgelösten Datenverarbeitungen mitverantwortlich ist (Urteil vom 29. Juli 2019, C 40/17).

Am Ursprung dieses Urteils stand eine Unterlassungsklage der Verbraucherzentrale Nordrhein-Westfalen gegen „Fashion ID“, einen Onlineshop für Modeartikel. Auf der Webseite von Fashion ID fand sich der Like-Button von Facebook. Über diesen wurden personenbezogene Daten der Webseitenbesucher an Facebook übermittelt, ohne dass die Besucher darüber informiert wurden. Die Weiterleitung war gar unabhängig davon, ob die betreffenden Besucher auf den Like-Button klickten oder auch nur über einen Facebook-Account verfügten (!). Die Verbraucherzentrale sah darin eine Verletzung von Informationspflichten und deshalb – sowie aufgrund der fehlenden Einwilligung der Betroffenen – einen Verstoss gegen die EU-Datenschutzrichtlinie, die Vorgängernorm der neuen EU-Datenschutzgrundverordnung (DSGVO). Das Oberlandesgericht Düsseldorf, vor dem die Klage in zweiter Instanz verhandelt wurde (die erste Instanz hatte die Klage teilweise gutgeheissen), setzte das Verfahren aus und legte dem EuGH die Frage zur Vorabentscheidung vor.

Der EuGH legte in diesem Zusammenhang zunächst den Begriff des „datenschutzrechtlichen Verantwortlichen“ aus und kam zum Schluss, dass Fashion ID als Webseitenbetreiber mit der Einbindung des Like-Buttons einerseits die dadurch erfolgende Erhebung personenbezogener Daten, andererseits die Weitergabe dieser Daten durch die Übermittlung an Facebook ermöglicht habe. Es sei deshalb davon auszugehen, dass Fashion ID mit Facebook (als Anbieter des Like-Buttons und Empfänger der Daten) gemeinsam über den Like-Button als Mittel der Erhebung und Übermittlung personenbezogener Daten entschieden habe. Weiter befand das Gericht, dass auch über den Zweck der Verarbeitung personenbezogener Daten eine gemeinsame Entscheidung von Fashion ID und Facebook vorliege: Denn nicht bloss Facebook habe durch die Nutzung der über die Fashion ID-Webseite erhaltenen Daten wirtschaftliche Zwecke verfolgt; auch Fashion ID selbst habe von den Klicks auf den Like-Button profitiert, indem dadurch die Produktewerbung optimiert werden konnte. Angesichts dieser durch Klicks auf den Like-Button generierten wirtschaftlichen Vorteile sah es der EuGH als erwiesen an, dass Fashion ID der Erhebung und Übermittlung der personenbezogenen Daten durch Facebook zumindest stillschweigend zugestimmt habe. Die Tatsache, dass auch das Aufrufen der Fashion ID-Webseite durch Personen, die über keinen Facebook-Account verfügten, automatisch zu einer Verarbeitung von deren Daten durch Facebook führe, lasse die Verantwortlichkeit von Fashion ID noch höher erscheinen.

Abschliessend prüfte der EuGH, ob Fashion ID (als Webseitenbetreiber) oder Facebook für die Einhaltung der Informationspflicht und die Einholung der Einwilligung der Nutzer zur Datenverarbeitung verantwortlich ist. Der Gerichtshof befand, dass sich der Umfang dieser Verantwortlichkeit auf jene Vorgänge der Datenverarbeitung beschränke, für die der jeweilige Verantwortliche tatsächlich über die Zwecke und Mittel entscheiden könne. Für die diesen Vorgängen vor- oder nachgelagerten Phasen bestehe hingegen keine Verantwortlichkeit. Fashion ID als Webseitenbetreiber sei vorliegend deshalb nur zur Information und Einholung einer Einwilligung der betroffenen Person hinsichtlich der Erhebung und Übermittlung der Daten an Facebook verpflichtet, nicht jedoch bezüglich Weiterverarbeitung durch Facebook.

Im Nachgang zu dieser Entscheidung ist Fashion ID übrigens dazu übergegangen, dass Webseitenbesucher der Verknüpfung mit Social Media neu ausdrücklich (durch Klicken eines entsprechenden Buttons) zustimmen müssen. Dieser Klick beinhaltet die Zustimmung, dass Daten an die Betreiber der sozialen Netzwerke übertragen werden.