In einem Rechtsstreit zwischen einem Online-Händler für Modeartikel und einer deutschen Verbraucherzentrale war der EuGH mit verschiedenen Fragen zur Auslegung der Datenschutz-RL 95/46/EG, die inzwischen durch die Datenschutz-Grundverordnung (EU) 2016/679 (DSGVO) ersetzt wurde, konfrontiert. Der EuGH hatte dabei unter anderem Gelegenheit zu erklären, dass nach der RL nationale Regelungen erlaubt seien, die es Verbänden, wie der Verbraucherzentrale, ermöglichen Klage im Interesse der Betroffenen zu erheben. Die RL würde zwar Mitgliedstaaten weder explizit ermächtigen noch verpflichten, in ihrem nationalen Recht die Möglichkeit vorzusehen, dass derartige Verbände Klagen zum Schutz der Betroffenen erheben, sie würde dem aber auch nicht entgegenstehen. Eine solche Klagsmöglichkeit sei eine geeignete Maßnahme um die Zielsetzung der RL zu erreichen.
Zu den Social Plugins sprach der EuGH aus, dass der Betreiber einer Website mit Social Plugins (wie einem Facebook "Like"-Button) für die Verarbeitung jener personenbezogener Daten verantwortlich sei, für die er tatsächlich über die Zwecke und Mittel entscheiden könne. Im konkreten Fall war das das Erheben und die Weitergabe von personenbezogenen Daten an den Anbieter des Plugins, um die Inhalte des Plugins anzufordern. Der Betreiber der Website habe den "Like"-Button in seiner Webseite eingebunden und es so ermöglicht, die personenbezogenen Daten der Besucher der Website zu erhalten und an Facebook zu übermitteln.
Der Begriff des "Verantwortlichen" nach der RL sei nämlich besonders weit definiert, um einen wirksamen und umfassenden Schutz der Betroffenen sicherzustellen. Mehrere Akteure könnten in verschiedene Phasen und in unterschiedlichen Ausmaß in die Verarbeitung von personenbezogenen Daten einbezogen sein und entsprechend könne auch ein jeder Akteur abhängig von den Umständen des Einzelfalls zu einem gewissen Grad verantwortlich sein. Es steht der Verantwortung der Website im Übrigen auch nicht entgegen, dass sie selbst keinen Zugang zu den personenbezogenen Daten hat, die sie erhebt und übermittelt.
Sowohl der Betreiber der Website als auch der Anbieter der Inhalte müssen jeweils für sich ein berechtigtes Interesse an der Verarbeitung der personenbezogenen Daten im Sinne des Art 7 lit f der RL haben, damit diese Vorgänge im Einzelnen gerechtfertigt sind. Der Betreiber der Website muss in einem solchen Fall die nach Art 7 lit a Datenschutz-RL notwendige Einwilligung des Betroffenen nur in Bezug auf die Vorgänge der Verarbeitung der personenbezogenen Daten einholen, für die er tatsächlich über die Zwecke und Mittel entscheidet (hier das Erheben und die Weitergabe von personenbezogenen Daten an den Anbieter des Plugins).
In diesen Fällen treffen entsprechend auch den Betreiber der Website die Informationspflichten nach Art 10 Datenschutz-RL. Die Informationen müssen dabei schon bei Erhebung der Daten gegeben werden. Auch die Informationspflicht gilt aber natürlich nur für jene Vorgänge zur Datenverarbeitung, für die der Website-Betreiber tatsächlich über die Zwecke und Mittel entscheidet.
EuGH 29.07.2019, C-40/17, (Fashion ID GmbH/Verbraucherzentrale)
Volltextservice
