Europäischer Gerichtshof: Facebook darf nicht heimlich Daten sammeln

Seitenbetreiber, die den "Like"-Button eingebaut haben, müssen Nutzer grundsätzlich über die Datenweitergabe informieren.

Der Europäische Gerichtshof (EuGH) bemüht sich, die allgegenwärtigen Versuche von Facebook zur Datensammlung auch außerhalb des eigenen sozialen Netzwerks einzudämmen. Nach einem diesen Montag verkündeten Urteil sind künftig die Betreiber von Webseiten teilweise mitverantwortlich für den Datenschutz, wenn sie den "Gefällt mir"-Button von Facebook ins eigene Angebot einbinden - und zwar so, dass die Daten schon beim bloßen Aufruf der Seite automatisch an Facebook nach Irland fließen.

Im konkreten Fall geht es um Fashion ID, einen deutschen Online-Händler für Modeartikel, der zu Peek & Cloppenburg gehört. Die Verbraucherzentrale NRW warf dem Unternehmen einen Verstoß gegen Informationspflichten vor, weil die Daten der Besucher ohne Einwilligung an Facebook übermittelt wurden. Nach dem Urteil des EuGH ist Fashion ID gemeinsam mit Facebook dafür verantwortlich, dass bei der Erhebung und Übermittlung der Daten die Regeln des Datenschutzes eingehalten werden. Grund für diese Mitverantwortung solcher Seitenbetreiber ist ihr ökonomisches Interesse an der Kooperation mit Facebook. Der "Gefällt mir"-Button ermögliche es Fashion ID, die Werbung für ihre Produkte zu verbessern, indem sie auf Facebook sichtbar gemacht werde, befand der EuGH. Damit billige das Unternehmen "zumindest stillschweigend" den Datenabfluss und sei daher mitverantwortlich.

Zu den neuen Pflichten gehört insbesondere die Information der Nutzer darüber, dass ihre Daten übermittelt werden, und zwar im Voraus. Wer solche Seiten aufruft, muss künftig möglicherweise mit zwei neuen Pop-ups rechnen: mit einer Information über den geplanten Transfer und mit einem OK-Button, um das Einverständnis einzuholen. Anders wäre dies nur, wenn die Unternehmen ein "berechtigtes Interesse" an einer Datenweitergabe ohne ausdrückliche Zustimmung hätten, was vor allem bei Nutzern in Betracht kommt, die ohnehin ein Facebook-Konto haben.

Nach den Worten des EU-Gerichts sind die Seitenbetreiber aber nur für die Übermittlung verantwortlich - nicht dafür, was Facebook mit den Daten in Irland macht. Der baden-württembergische Datenschutzbeauftragte Stefan Brink hält eine solche geteilte Verantwortlichkeit zwar für nachvollziehbar; sie nehme aber "uns die Möglichkeit, auf Facebook einzuwirken". Wenn die deutschen Betreiber von Webseiten nur für den Abfluss der Daten mitverantwortlich seien, könnten die Datenschutzbehörden auf diesem Weg keinen Einfluss auf Facebook in Irland ausüben; für den dortigen Datenschutz bleibe die irische Behörde zuständig. "Der Druck auf Facebook wird nachlassen", sagte Brink der Süddeutschen Zeitung.

Wolfgang Schuldzinski von der Verbraucherzentrale NRW sprach gegenüber der dpa von einem Urteil mit Signalwirkung: "Der Praxis von Facebook, mittels des Like-Buttons Daten ohne Wissen der Nutzer abzugreifen, um sie für weitere Zwecke - etwa für passgenaue Werbung - zu verwenden, wird nun ein Riegel vorgeschoben".