Soziale Netzwerke wie Facebook, Twitter, Instagram oder YouTube sind zu einem wesentlichen Bestandteil im beruflichen und privaten Informations- und Kommunikationsverhalten vieler Nutzerinnen und Nutzer geworden.

Auch für Städte, Gemeinden und Verbandsgemeinden wird die Kommunikation mittels sozialer Netzwerke immer bedeutsamer. Durch das Betreiben von Auftritten in Sozialen Netzwerken tragen öffentliche Stellen jedoch auch dazu bei, dass personenbezogene Daten der Nutzerinnen und Nutzer ihrer Angebote an die jeweiligen Plattformbetreiber gelangen, die sie häufig (auch) zu eigenen, von der Nutzung unabhängigen Zwecken weiter verarbeiten.

Insoweit stellen sich regelmäßig datenschutzrechtliche Fragen z. B. im Hinblick auf die Konzeption als Plattformlösung, auf deren Geschäftsmodell, das auf einer kommerziellen Verwertung von Nutzungsdaten basiert, aber auch auf die Tatsache, dass die technischen Anbieter/Betreiber der Plattformen ihren Sitz zumeist außerhalb der Europäischen Union haben, wo ein vergleichbares Datenschutzniveau häufig nicht gegeben ist.

In diesem Kontext hat der Europäische Gerichtshof (EuGH) in seiner Entscheidung vom 05.06.2018 (C-210/16) zum Betrieb von Facebook-Fanpages festgestellt, dass nicht nur Facebook selbst, sondern auch der jeweilige Betreiber einer Fanpage datenschutzrechtlich verantwortlich ist, soweit durch den Besuch der Fanpage personenbezogene Daten der Fanpage-Besucher verarbeitet werden. Öffentliche Stellen, die eine Facebook-Fanpage betreiben, sind daher selbst als datenschutzrechtlich Verantwortliche zu sehen. Die Fanpage-Betreiber benötigen deshalb eine Rechtsgrundlage für die Verarbeitung der Nutzungsdaten und müssen auch alle weiteren Pflichten als Verantwortliche erfüllen.

Das Bundesverwaltungsgericht (BVerwG) stellte mit Urteil vom 11.09.2019 (Az: 6 C 15.18) ergänzend klar, dass die Datenschutzaufsichtsbehörden gegen die Betreiber von Facebook-Fanpages selbst vorgehen können, wenn bei dem Betrieb von Facebook-Fanpages Datenschutzverstöße begangen werden.

Daraufhin hat der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit mit Schreiben vom 16.06.2021 die Bundesministerien und obersten Bundesbehörden aufgefordert ihre Fanpages bis Ende des Jahres abzuschalten, da seiner Rechtsauffassung nach ein ein datenschutzkonformer Betrieb einer Facebook-Fanpage gegenwärtig nicht möglich ist.

„[…] Es wäre erforderlich, dass öffentliche Stellen, die eine Fanpage betreiben, eine Vereinbarung mit Facebook zur gemeinsamen Verantwortlichkeit schließen, die den Anforderungen von Art. 26 Datenschutz-Grundverordnung (DSGVO) entspricht. […]

Leider hat Facebook auch dem BPA (Anmerkung: Bundespressamt) nur das öffentlich bekannte „Addendum“ von Oktober 2019 übersandt. Das „Addendum“ ist aus Sicht der Datenschutzbehörden von Bund und Ländern weiterhin unzureichend. Dies zeigt aus meiner Sicht, dass Facebook zu keinen Änderungen an seiner Datenverarbeitung bereit ist.

Die Ressorts und deren Geschäftsbereiche, die Fanpages betreiben, können somit ihrer Rechenschaftspflicht gern. Art. 5 Abs. 2 DSGVO weiterhin nicht nachkommen. Es ist insbesondere nicht ausreichend, die Nutzer in Bezug auf Informationen zur Verarbeitung ihrer personenbezogenen Daten im Rahmen einer Facebook-Fanpage allein pauschal auf Facebook zu verweisen.

Ein längeres Abwarten ist mir angesichts der fortdauernden Verletzung des Schutzes personenbezogener Daten der Nutzerinnen und Nutzer nicht möglich. Sofern Sie eine Fanpage betreiben, empfehle ich Ihnen daher nachdrücklich, diese bis Ende dieses Jahres abzuschalten. Ab Januar 2022 beabsichtige ich - im Interesse der betroffenen Bürgerinnen und Bürger - schrittweise von den mir nach Art. 58 DSGVO zur Verfügung stehenden Abhilfemaßnahmen Gebrauch zu machen. […]

Ergänzend weise ich noch auf das Urteil des Europäischen Gerichtshofs in der Rechtssache C-311/18 vom 20.07.2020 („Schrems II“) hin. Der EuGH hat in seinem Urteil klargestellt, dass personenbezogene Daten von EU-Bürgern nur an Drittstaaten außerhalb des Europäischen Wirtschaftsraums übermittelt werden dürfen, wenn sie in diesem Drittland einen im Wesentlichen gleichwertigen Schutz genießen wie in der EU. Für die USA hat er ein solches angemessenes Schutzniveau verneint. Dies betrifft nicht nur personenbezogene Daten, die Verantwortliche aus dem Europäischen Wirtschaftsraum direkt an Partner in Drittstaaten übermitteln, sondern auch personenbezogene Daten, die bei der Nutzung bestimmter IT-Verfahren an ein Drittland abfließen. […]“

Wir teilen die geäußerten datenschutzrechtlichen Bedenken des BfDI und empfehlen den Städten, Gemeinden, Verbandsgemeinden und Zweckverbänden aufgrund der Unvereinbarkeit mit dem Datenschutz auf das Betreiben von Facebook-Fanpages zu verzichten, da sie als kommunale öffentliche Stellen im Hinblick auf die Einhaltung des Datenschutzrechts eine Vorbildfunktion haben.

Bei der Nutzung anderer sozialer Medien ist ebenfalls eine Prüfung empfehlenswert, ob diese Nutzung im Lichte der vorgenannten Rechtsprechung datenschutzkonform erfolgt. Hierbei kann der Leitfaden „Handlungsrahmen für die Nutzung von „Social Media“ durch öffentliche Stellen“ (Stand: 06.03.2020, 11 Seiten) des Landesbeauftragten für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz zur Orientierung und Hilfestellung dienen.

Dieser Leitfaden steht zum Download bereit unter

www.kommunales-sachsen-anhalt.de
(SGSA Mitgliederservice/ Mitgliederinformationen/ Arbeitshilfen/ Allgemeine Verwaltung).