Facebook: Ergänzungen an den Datenschutzbestimmungen zu Seiten-Insights per 20.12.2019 – was Seitenbetreiber beachten müssen

Betreiber von Facebook Seiten aufgepasst, Facebook ergänzt die Informationen rund um die Seiten Insights und der damit verbundenen rechtlichen Verantwortung in der gemeinsamen Datenverarbeitung. Mit der vorgenommenen Ergänzung dürfte den Anforderungen nach Art. 26 DSGVO nun auch genüge getan sein, meint Rechtsanwalt Dr. Carsten Ulbricht. Die Ergänzung tritt am 20.12.2019 in Kraft.

Informationen zu den Seiten-Insights

Die angekündigten Anpassungen von Facebook betreffen einerseits die Richtlinien zu Seiten, Gruppen und Veranstaltungen sowie gleichzeitig das Page Controller Addendum.

Facebook schreibt dazu in der Info-Mail:

Als Administrator einer Facebook-Seite möchten wir dich darüber informieren, dass wir die Seiten-Insights-Ergänzung aktualisieren. Die Seiten-Insights-Ergänzung ist Bestandteil unserer Richtlinien für Seiten, Gruppen und Veranstaltungen.

Die Ergänzung ist eine Vereinbarung der gemeinsam Datenverantwortlichen gemäß EU-Datenschutz-Grundverordnung, die für die Verarbeitung personenbezogener Daten für Seiten-Insights unter gemeinsamer Verantwortung gilt.

Die aktualisierte Seiten-Insights-Ergänzung tritt am 20. Dezember 2019 in Kraft und gilt ab dem Datum für deine weitere Nutzung von Facebook-Seiten.

Ergänzungen zu den Seiten-Insights

Seiten-Insights-Ergänzung bezüglich des Verantwortlichen

Wenn eine Interaktion von Personen mit deiner Seite und den mit ihr verbundenen Inhalten die Erstellung eines Events für Seiten-Insights auslöst, das personenbezogene Daten enthält, für deren Verarbeitung du (und/oder jeglicher Dritter, für den du die Seite erstellst oder verwaltest) die Mittel und Zwecke der Verarbeitung gemeinsam mit Facebook Ireland Limited festlegst, erkennst du in deinem eigenen Namen (und als Vertreter für jeden solchen Dritten und in dessen Namen) an und stimmst zu, dass diese Seiten-Insights-Ergänzung bezüglich des Verantwortlichen („Seiten-Insights-Ergänzung“) gilt:

• Du und Facebook Ireland Limited, 4 Grand Canal Square, Grand Canal Harbour, Dublin 2, Irland („Facebook Ireland“, „wir“ oder „uns“; zusammen die „Parteien“) erkennen an und stimmen zu, gemeinsam Verantwortliche gemäss Artikel 26 DSGVO für die Verarbeitung dieser personenbezogenen Daten in Events für Seiten-Insights („Insights-Daten“) zu sein. Die gemeinsame Verantwortlichkeit umfasst die Erstellung dieser Events und ihre Zusammenführung in Seiten-Insights, die dann den Seitenbetreibern zur Verfügung gestellt werden. Die Parteien stimmen überein, dass Facebook Ireland und ggf. du für jegliche andere Verarbeitung von personenbezogenen Daten im Zusammenhang mit einer Seite und/oder den mit ihr verbundenen Inhalten, für die keine gemeinsame Entscheidung über die Zwecke und Mittel erfolgt, eigenständige und unabhängige Verantwortliche bleiben.
• Die Verarbeitung der Insights-Daten unterliegt den Bestimmungen dieser Seiten-Insights-Ergänzung. Diese gelten für sämtliche Aktivitäten, in deren Verlauf Facebook Ireland, ihre Mitarbeiter oder ihr(e) Auftragsverarbeiter Insights-Daten verarbeiten.

• Hinsichtlich der Erfüllung der Verpflichtungen aus der DSGVO durch Facebook Ireland und dich hinsichtlich der Verarbeitung von Insights-Daten wird Folgendes festgelegt:

  • Facebook Ireland: Facebook Ireland stellt sicher, dass sie eine Rechtsgrundlage für die Verarbeitung der Insights-Daten hat, die in der Datenrichtlinie von Facebook Ireland dargelegt ist (siehe unter „Was ist unsere Rechtsgrundlage für die Verarbeitung von Daten?“). Sofern in dieser Seiten-Insights-Ergänzung nichts anderes angegeben wird, übernimmt Facebook Ireland die Erfüllung der Verpflichtungen aus der DSGVO für die Verarbeitung von Insights-Daten (u. a. Artikel 12 und 13 DSGVO, Artikel 15 bis 21 DSGVO, Artikel 33 und 34 DSGVO). Facebook Ireland trifft im Einklang mit Artikel 32 DSGVO geeignete technische und organisatorische Massnahmen, um die Sicherheit der Verarbeitung zu gewährleisten. Dies umfasst die Maßnahmen, die im Anhang unten aufgeführt sind (dieser wird von Zeit zu Zeit aktualisiert, um beispielsweise technologischen Entwicklungen Rechnung zu tragen). Alle an der Verarbeitung der Insights-Daten beteiligten Mitarbeiter von Facebook Ireland sind durch geeignete Vereinbarungen zur Wahrung der Vertraulichkeit der Insights-Daten verpflichtet.
  • Seitenbetreiber: Du solltest sicherstellen, dass du auch eine Rechtsgrundlage für die Verarbeitung der Insights-Daten hast. Zusätzlich zu den Informationen, die betroffenen Personen von Facebook Ireland über die Informationen zu Seiten-Insights bereitgestellt werden, solltest du deine eigene Rechtsgrundlage angeben, ggf. einschließlich der von dir verfolgten berechtigten Interessen, den/die zuständigen Verantwortlichen auf deiner Seite, einschließlich seiner/ihrer Kontaktdaten, sowie der Kontaktdaten des/der Datenschutzbeauftragten (Artikel 13 Abs. 1 lit. a – d DSGVO), falls einschlägig.
• Facebook Ireland stellt den betroffenen Personen das Wesentliche dieser Seiten-Insights-Ergänzung zur Verfügung (Artikel 26 Abs. 2 DSGVO). Dies erfolgt zurzeit über die Informationen zu Seiten-Insights-Daten, auf die von allen Seiten zugegriffen werden kann.
• Facebook Ireland entscheidet nach seinem alleinigen Ermessen, wie es seine Pflichten gemäß dieser Seiten-Insights-Ergänzung erfüllt. Du erkennst an und stimmst zu, dass nur Facebook Ireland befugt ist, Entscheidungen hinsichtlich der Verarbeitung von Insights-Daten umzusetzen. Zudem erkennst du an und stimmst zu, dass die irische Datenschutzkommission die federführende Aufsichtsbehörde für die gemeinsame Verarbeitung ist (unbeschadet von Artikel 55 Abs. 2 DSGVO, soweit einschlägig).
• Diese Seiten-Insights-Ergänzung gewährt dir kein Recht, die Offenlegung von im Zusammenhang mit Facebook-Produkten verarbeiteten personenbezogenen Daten von Facebook-Nutzern zu verlangen. Dies gilt insbesondere auch im Hinblick auf die Seiten-Insights, die wir dir bereitstellen.
• Die Parteien legen die in den Informationen zu Seiten-Insights-Daten bzw. einem diesen nachfolgenden Dokument angegebenen Kontaktmöglichkeiten als Anlaufstelle für betroffene Personen fest.
• Wenn betroffene Personen ihre ihnen gemäss DSGVO hinsichtlich der Verarbeitung von Insights-Daten zustehenden Rechte dir gegenüber geltend machen (Artikel 26 Abs. 3 DSGVO) oder eine Aufsichtsbehörde hinsichtlich der Verarbeitung von Insights-Daten Kontakt mit dir aufnimmt (jeweils eine „Anfrage“), bist du verpflichtet, uns unverzüglich, jedoch spätestens innerhalb von sieben Kalendertagen, sämtliche relevanten Informationen zu solchen Anfragen weiterzuleiten. Zu diesem Zweck kannst du dieses Formular einreichen. Facebook Ireland verpflichtet sich, Anfragen von betroffenen Personen im Einklang mit den uns gemäss dieser Seiten-Insights-Ergänzung obliegenden Pflichten zu beantworten. Du stimmst zu, zeitnah sämtliche angemessenen Anstrengungen zu unternehmen, um mit uns an der Beantwortung jedweder derartigen Anfrage zusammenzuarbeiten. Du bist nicht berechtigt, im Namen von Facebook Ireland zu handeln oder zu antworten.
• Wenn du eine Seite nutzt, stimmst du zu, dass jedweder Anspruch, Klagegenstand oder Streitfall, den du uns gegenüber hast und der sich aus dieser Seiten-Insights-Ergänzung ergibt oder damit in Verbindung steht, ausschließlich von den Gerichten in Irland zu klären ist, dass du dich für Prozesse hinsichtlich jedwedes derartigen Anspruchs unwiderruflich der Rechtsprechung der irischen Gerichte unterwirfst und dass diese Seiten-Insights-Ergänzung irischem Recht unterliegt, ohne Berücksichtigung kollisionsrechtlicher Bestimmungen. Wenn du ein Verbraucher mit ständigem Wohnsitz in einem Mitgliedstaat der Europäischen Union bist, gilt nur Abschnitt 4.4 unserer Nutzungsbedingungen.
• Wir können diese Seiten-Insights-Ergänzung von Zeit zu Zeit aktualisieren. Durch deine weitere Nutzung von Seiten nach irgendeiner Benachrichtigung über eine Aktualisierung dieser Seiten-Insights-Ergänzung stimmst du zu, an sie gebunden zu sein. Solltest du der aktualisierten Seiten-Insights-Ergänzung nicht zustimmen, beende bitte jegliche Nutzung von Seiten. Wenn du ein Verbraucher mit ständigem Wohnsitz in einem Mitgliedstaat der Europäischen Union bist, gilt nur Abschnitt 4.1 unserer Nutzungsbedingungen.
• Sollte irgendein Teil dieser Seiten-Insights-Ergänzung für nicht durchsetzbar erachtet werden, so bleiben die übrigen Bestimmungen in vollem Umfang wirksam und in Kraft. Ein Versäumnis unsererseits, irgendeinen Teil dieser Seiten-Insights-Ergänzung durchzusetzen, stellt keinen Rechtsverzicht dar. Jegliche/r von dir beantragte Änderung dieser Nutzungsbedingungen bzw. Verzicht auf diese muss in schriftlicher Form erfolgen und von uns unterzeichnet werden.
• Diese Seiten-Insights-Ergänzung gilt nur für die Verarbeitung von personenbezogenen Daten im Anwendungsbereich der Verordnung (EU) 2016/679 („DSGVO“). „personenbezogene Daten“, „Verarbeitung“, „Verantwortlicher“, „Auftragsverarbeiter“, „Aufsichtsbehörde“ und „betroffene Person“ haben in dieser Seiten-Insights-Ergänzung die ihnen in der DSGVO zugewiesenen Bedeutungen.

Einschätzung von Rechtsanwalt Dr. Carsten Ulbricht

Was bedeuten diese Änderungen in der Praxis? Dazu Dr. Carsten Ulbricht, Rechtsanwalt bei der Kanzlei MENOLD BEZLER und Autor des Blogs rechtzweinull.de:

Nach dem Urteil des EuGH vom 05.06.2018 ist jeder Betreiber einer Facebook Fanpage mit Facebook im Sinne des Art, 26 DSGVO mitverantwortlich. Art. 26 DSGVO setzt in diesen Fällen zwingend den Abschluss eines sogenannten Joint Controllership Agreements voraus, welches regelt, wie sich die Pflichten unter den verantwortlichen Parteien verteilen. Das Fehlen einer solchen Vereinbarung ist unter der DSGVO sogar bussgeldbewährt. Mangels der Möglichkeit ein solches Joint Controllership mit Facebook abzuschliessen, würde teilweise auch von der Datenschutzwidrigkeit des Betriebs sämtlicher Facebookseiten ausgegangen.

Deshalb hat Facebook den Seitenbetreibern mit  der sogenannten Seiten-Insights-Ergänzung im September 2018 erstmals ein solches Joint Controllership Agreement zur Verfügung gestellt. Nach Kritik der deutschen Datenschutzbehörden, dass diese Seiten-Insights-Ergänzung den inhaltlichen Anforderungen des Art. 26 DSGVO nicht genügen, hat Facebook die Vereinbarung mit dem neuen Dokument Informationen zu Seiten-Insights  überarbeitet. Mit diesen Ergänzungen dürfte den inhaltlichen Anforderungen nun genüge getan sein.

Was müssen Betreiber von Facebook Seiten nun beachten?

Dazu schreibt Dr. Carsten Ulbricht:

Um den Vorgaben des Art. 26 DSGVO zu genügen, sollten Seitenbetreiber eigene Datenschutzhinweise für die eigene Facebookseite vorhalten, die gemäss Art. 13 DSGVO über die eigene Datenverarbeitung aufklärt und mit einem Link auf das neue Joint Controllership Agreement über die gemeinsame Verantwortung informiert. Damit dürfte den Anforderungen des Art. 26 DSGVO als einem der wesentlichen Einwände gegen die Datenschutzkonformität des Betriebes von Facebookseiten aber dann auch genüge getan sein.

Schreib uns einen Kommentar