Facebook: Der Like-Button und die Schweizer Rechtsprechung

Durch die Einbindung des Like-Buttons in die Unternehmenswebsite kann ein zusätzlicher Marketingweg über die Empfehlung des klickenden Mitgliedes geschaffen und oft eine grosse Zielgruppe angesprochen werden. Coca-Cola bringt es beispielsweise bereits heute auf mehr als 50 Millionen Facebook-Fans. Den Mehrwert des Like-Buttons haben auch Schweizer Unternehmen erkannt.

In datenschutzrechtlicher Hinsicht führte der Like-Button schon verschiedentlich zu Kritik. So forderte beispielsweise das Unabhängige Landeszentrum für Datenschutz in Schleswig-Holstein alle öffentlichen Stellen in Schleswig-Holstein auf, die Like-Buttons von ihren Websites zu entfernen und drohte im Unterlassungsfall mit Unterlassungsverfügungen sowie Bussgeldern. Es stellte sich auf den Standpunkt, die Verwendung des Like-Buttons verstosse gegen deutsches Datenschutzrecht, unter anderem, weil durch dieses Social Plugin Daten von Webseitenbesuchern erhoben und in die USA übermittelt würden. Die Aufsichtsbehörden für Datenschutz anderer Bundesländer Deutschlands teilten diese Sichtweise. Wie ist die Rechtslage in der Schweiz?

Welche Daten werden erhoben?

Bei einem Besuch auf einer Website mit eingebundenem Like-Button werden Daten über den Besucher der Website erhoben. Dies geschieht unabhängig davon, ob der Besucher den Like-Button angeklickt hat. Ebenfalls keine Rolle spielt es, ob der Besucher Mitglied von Facebook ist. Es werden also auch Daten von Besuchern ohne jeglichen Bezug zu Facebook erhoben.

Nach eigenen Angaben von Facebook können die folgenden Daten über Besucher von Websites mit eingebundenen Social Plugins erhoben werden: Datum und Uhrzeit des Besuchs auf der betreffenden Webseite, Internetadresse, die der Besucher abgerufen hat, technische Daten betreffend die IP-Adresse des Besuchers, der benutzte Browser, das verwendete Betriebssystem sowie die Nutzerkennnummer, sofern der Besucher auf Facebook angemeldet ist. Der Umfang der Benutzung der Daten wird in den Datenverwendungsrichtlinien von Facebook recht breit umschrieben. Inwieweit davon auch durch den Like-Button erhobene Daten erfasst sind, ist nicht restlos klar.

Weshalb ist das Datenschutzgesetz anwendbar?

Die Anwendbarkeit des Schweizerischen Datenschutzgesetzes (DSG) setzt voraus, dass von einer Bearbeitung Personendaten betroffen sind. Personendaten sind gemäss dem DSG alle Angaben, die sich auf eine bestimmte oder bestimmbare Person beziehen. Seit dem Logistep-Urteil des Schweizer Bundesgerichts ist klar, dass IP-Adressen nicht generell als Personendaten im Sinne des Datenschutzgesetzes zu qualifizieren sind, sondern dies vielmehr von den konkreten Umständen des Einzelfalls abhängt. Erforderlich ist letztendlich, dass die Bestimmbarkeit der betroffenen Person aufgrund der konkreten IP-Adresse zu bejahen ist, was zumindest bei einem Teil der Besucher von Websites mit eingebundenem Like-Button der Fall sein wird. Entsprechend führt die Erhebung von Daten über dieses Social Plugin also zur Anwendbarkeit des DSG.

Besteht eine Informationspflicht?

Das Schweizer Datenschutzrecht sieht vor, dass Personendaten nur zu dem Zweck bearbeitet werden dürfen, der bei der Beschaffung angegeben wurde, aus den Umständen ersichtlich ist oder gesetzlich vorgesehen ist. Weiter müssen die Beschaffung von Personendaten und insbesondere der Zweck der Bearbeitung für die betroffene Person erkennbar sein.

Ein Besucher einer Website mit eingebundenem Like-Button wird in der Regel nicht davon ausgehen, dass über ihn Daten erhoben werden, die an Facebook gesendet und von Facebook bearbeitet werden. Derartige Kenntnisse dürften lediglich einem kleinen Teil der Besucher der Website vorbehalten sein. Entsprechend sollten die Besucher über die Erhebung der Daten und deren Verwendung informiert werden. Dies kann insbesondere im Rahmen der meist ohnehin bestehenden Datenschutzerklärung des Betreibers der Website erfolgen.

Besteht eine Pflicht zur Einholung der Einwilligung?

Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) ist der Auffassung, dass Besucher von Websites mit eingebundenen Social Plugins nicht nur informiert werden müssen, sondern zudem ihre Zustimmung zur Datenbearbeitung erforderlich ist. Er empfiehlt in diesem Zusammenhang die sogenannte Zwei-Klick-Lösung. Diese zeichnet sich dadurch aus, dass der Like-Button und die Datenübertragung an Facebook nicht bereits mit dem Aufrufen der entsprechenden Website aktiviert werden, sondern erst nach einem weiteren Klick. Der Like-Button ist also vorerst deaktiviert, und eine Verbindung zu Facebook wird erst hergestellt, nachdem der Besucher der Website dazu sein Einverständnis erteilt hat.

Es finden sich verschiedene datenschutzrechtliche Argumente für die Sichtweise des EDÖB. Sie sind für den Like-Button von Facebook jedoch nicht zwingend. Klärende Gerichtsentscheide stehen derzeit noch aus. Insbesondere aus Praktikabilitätsüberlegungen ist die Zwei-Klick-Lösung abzulehnen. In internationaler Hinsicht bleibt anzumerken, dass sich diese Lösung auch ausserhalb der Schweiz nach wie vor noch nicht durchgesetzt hat.

Welche Risiken bestehen in der Praxis?

Zusammenfassend kann also festgehalten werden, dass ein Unternehmen, das auf seiner Website den Like-Button von Facebook verwendet, die Besucher der Website über die Erhebung der Daten und deren Verwendung informieren muss. Inwieweit zusätzlich eine Einwilligung der Besucher zur Datenbearbeitung eingefordert werden müsste, ist derzeit demgegenüber noch nicht klar.

Zur Durchsetzung von datenschutzrechtlichen Ansprüchen stehen dem Betroffenen verschiedene Rechtsbehelfe zur Verfügung. Für Einzelpersonen fällt ein gerichtliches Vorgehen aufgrund des Kostenrisikos jedoch meist ausser Betracht. Erwähnenswert ist, dass unter bestimmten Voraussetzungen der EDÖB von sich aus oder auf Meldung Dritter tätig werden kann. Dies wäre in Bezug auf den Like-Button durchaus möglich und könnte für die betroffenen Unternehmen unangenehm werden. Weiter ist die Einhaltung der datenschutzrechtlichen Vorgaben insbesondere im Hinblick auf Reputationsrisiken von Unternehmen bedeutsam.

Es kann davon ausgegangen werden, dass der EDÖB seine bis anhin eher allgemein gehaltenen Aussagen zur Verwendung der Social Plugins noch präzisieren und detaillierter dazu Stellung nehmen wird. Bis zu diesem Zeitpunkt sind die Risiken für Schweizer Unternehmen, die auf ihrer Website Like-Buttons verwenden und die Einwilligung der Besucher ihrer Website bezüglich der Datenbearbeitung nicht einholen, als eher gering einzustufen. Es ist jedoch empfehlenswert, die weitere datenschutzrechtliche Entwicklung in der Schweiz rund um die Social Plugins zu verfolgen.

Über den Autor:

Dr. Oliver Staffelbach, Rechtsanwalt, LL.M.

Dr. Oliver Staffelbach, Rechstanwalt, LL.M.

Oliver Staffelbach arbeitet seit rund fünf Jahren als Rechtsanwalt bei der Anwaltskanzlei Wenger&Vieli AG in Zürich und ist spezialisiert im Technologie- und Vertragsrecht.Er befasst sich insbesondere mit Lizenzvertragsrecht, Internetrecht sowie Softwarerecht und berät neben Startup-Unternehmen unter anderem auch grosse Industrieunternehmen. Regelmässig beschäftigt er sich mit Rechtsfragen betreffend Social Media. Er hat eine Dissertation über die Dekompilierung von Computerprogrammen an der Universität Zürich verfasst und sein Nachdiplomstudium an der New York University mit den Schwerpunkten Immaterialgüterrecht und Technologierecht abgeschlossen. Oliver Staffelbach hält regelmässig Referate und ist Autor zahlreicher Fachpublikationen.

Dr. Oliver Staffelbach trifft man auch auf XING, LinkedIn, Google+ und Twitter.

Schreib uns einen Kommentar