Müssen Facebook-Seiten abgeschaltet werden?

2011 hatte das Unabhängige Landeszentrum für Datenschutz in Schleswig-Holstein (ULD) einer Wirtschaftsakademie den Betrieb einer Fanpage bei Facebook untersagt. Das Bundesverwaltungsgericht (BVerwG) legte den Rechtsstreit dem EuGH zur Entscheidung vor.

Die Richter des EuGH sahen bei Facebook selbst und dem Betreiber einer Fanpage eine gemeinsame Verantwortlichkeit in Sachen Datenschutz. Der Fanpage-Betreiber sei nicht bloßer Facebook-Nutzer, sondern gäbe Facebook durch den Betrieb der Fanpage die Möglichkeit zur Datenerhebung. Für die Verantwortlichkeit sei nicht ausschlaggebend, dass der Fanpagebetreiber auch Zugang zu diesen personenbezogenen Daten habe.

Zu dieser Entscheidung muss man aber wissen, dass sie noch zum alten Recht ergangen ist. Grundlage des Urteils war also nicht die aktuell geltende Datenschutz-Grundverordnung (DSGVO).

Dennoch hat die Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder (DSK) zunächst am 6. Juni 2018 wegen des Urteils darauf hingewiesen, dass Seitenbetreiber die Pflichten nach der DSGVO einhalten müssen. Es bestehe deshalb dringender Handlungsbedarf.

Am 18. März 2022 wurde dann ein Kurzgutachten der DSK zur datenschutzrechtlichen Konformität des Betriebs von Facebook‐Fanpages veröffentlicht, das – auch in Hinblick auf das damals geltende TTDSG (nunmehr TDDDG – Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz) – zu folgendem Ergebnis kam: “Für die bei Besuch einer Fanpage ausgelöste Speicherung von Informationen in den Endeinrichtungen der Endnutzer:innen und den Zugriff auf Informationen, die bereits in der Endeinrichtungen gespeichert sind, sowie für die Verarbeitungen personenbezogener Daten, die von Seitenbetreibern verantwortet werden, sind keine wirksamen Rechtsgrundlagen gegeben. Darüber hinaus werden die Informationspflichten aus Art. 13 DSGVO nicht erfüllt.”

Anlässlich von Änderungen der Datenschutzrichtlinie und der Nutzungsbedingungen sowie des Cookie-Banners von Facebook überarbeitete die Taskforce Facebook-Fanpages das Kurzgutachten. In der aktualisierten Fassung vom 10. November 2022 ist folgendes Ergebnis zu lesen:
“Durch die Bereitstellung einer Fanpage übernimmt der oder die Fanpage-Betreiber:in die Rolle eines Anbieters von Telemedien im Sinne des § 2 Abs. 2 Nr. 1 TTDSG (nunmehr TDDDG, Anm. der Redaktion). Dadurch ergibt sich nach § 25 Abs. 1 TTDSG (nunmehr TDDDG) die Pflicht, eine wirksame Einwilligung für das Speichern von Informationen in den Endeinrichtungen der Endnutzer:innen, sowie den Zugriff auf Informationen, die bereits in der Endeinrichtung gespeichert sind, für nicht im Sinne des § 25 Abs. 2 Nr. 2 TTDSG (nunmehr TDDDG) unbedingt erforderliche Cookies einzuholen. Eine solche Einwilligung wird beim Betreiben einer Facebook Fanpage nicht eingeholt. Darüber hinaus besteht auf Grund sich ergänzender Interessen der Fanpage-Betreiber:innen und Meta eine gemeinsame Verantwortlichkeit mindestens für die Verarbeitung der auf Basis der gesetzten Cookies erhobenen, personenbezogenen Daten. Diesbezüglich sind keine wirksamen Rechtsgrundlagen gegeben. Abschließend werden die sich aus Art. 13 DSGVO ergebenden Informationspflichten nicht hinreichend erfüllt.”

Der damals amtierende Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) wollte, dass die Bundesbehörden hier mit gutem Beispiel vorangehen. Deshalb hat er das Bundespresseamt (BPA) im Februar 2023 angewiesen, den Betrieb ihrer Facebook-Fanpage einzustellen. Das BPA hat dagegen Klage beim Verwaltungsgericht Köln erhoben. Nach Meinung der Bundesregierung sei allein Facebook datenschutzrechtlich verantwortlich. Für die Regierung stellten soziale Netzwerke einen bedeutenden Ort dar, um Informationen mit der Bevölkerung zu teilen und insbesondere Desinformation entgegenzuwirken. Anders als bei Unternehmen kann nach einer Anfechtungsklage durch eine Behörde kein sofortiger Vollzug des Verbots angeordnet werden. Die Klage hat also aufschiebende Wirkung, so dass das BPA die Fanpage vorläufig bis zum Ausgang des gerichtlichen Verfahrens weiter betreiben kann. Termin zur mündlichen Verhandlung wurde für den 17. Juli 2025 angesetzt.

Am 17. Juli 2025 hat das Verwaltungsgericht Köln entschieden, dass das Presse- und Informationsamt der Bundesregierung seine Facebook-Seite weiterhin betreiben darf. Nach Ansicht des Gerichts ist nicht das Bundespresseamt, sondern allein Meta für die Einholung einer Einwilligung der Endnutzenden für die Platzierung von Cookies verantwortlich. Es bestehe kein ausreichender Ursachen- und Wirkungszusammenhang zwischen dem Betrieb der Fanpage durch das Bundespresseamt und dem mit der Speicherung und dem Auslesen der Cookies verbundenen Fernzugriff auf die Endgeräte der Nutzer. Die Cookies könnten zwar bei Gelegenheit des Besuches einer Fanpage, jedoch auch bei dem Besuch jeder anderen Facebook-Seite platziert werden.

Auch datenschutzrechtlich seien Meta und das Bundespresseamt nicht gemeinsam für die beanstandete Datenverarbeitung verantwortlich. Der Beitrag des Bundespresseamtes zur Speicherung und zum Auslesen der Cookies erschöpfe sich in dem Betrieb der Fanpage. Insbesondere könne das Bundespresseamt keinen Einfluss auf die Platzierung der Cookies und die Auswertung der erhobenen Daten nehmen. Die bloße Ermöglichung einer Datenverarbeitung begründe nicht die notwendige gemeinsame Festlegung der Mittel dazu.

Die neue Bundesbeauftragte, Prof. Dr. Louisa Specht-Riemenschneider, hat gegen das Urteil des Verwaltungsgerichts Köln Berufung eingelegt, so dass das letzte Wort hier noch nicht gesprochen wurde. Es bleibt abzuwarten, wie die nächste Instanz den Fall bewerten wird.

Weitere Informationen rund um Fanpages und deren datenschutzrechtliche Beurteilung der Datenschutzaufsichtsbehörden finden Sie in den „FAQ zu Facebook-Fanpages“, welche die DSK in ihrer Sitzung am 22. Juni 2022 verabschiedet hat.