VGH München: Facebook Custom Audience bedarf Einwilligung und ist keine Auftragsverarbeitung

Custom Audience – Hintergrund und Historie

Der Verwaltungsgerichtshof (VGH) München hat am 26.09.2018 (5 CS 18.1157) das Urteil des Verwaltungsgerichts (VG) Bayreuth und die Anordnung der Aufsichtsbehörde – des Bayerischen Landesamts für Datenschutzaufsicht (BayLDA) – bestätigt. Der VGH wies damit die Beschwerde gegen das Urteil des VG zurück und bestätigte, dass die Löschung von Daten im Zusammenhang mit dem Dienst Custom Audience rechtens sei. Dabei handelte es sich um die Variante „Custom Audience über die Kundenliste“. Hierbei werden personenbezogene Daten wie E-Mail-Adressen in gehashter Form an das soziale Netzwerk zum Zweck der Ausspielung zielgerichteter Werbung übermittelt.

Wie bereits berichtet, hatte sich das BayLDA im Oktober 2017 mit Custom Audience beschäftigt. In einer Pressmitteilung hatte es sich dann zu den datenschutzrechtlichen Voraussetzungen der Nutzung geäußert. Das BayLDA hatte in einer bayernweiten Prüfaktion 40 Unternehmen befragt. Im vorliegenden Fall hatte das BayLDA den Betreiber eines Online-Shops zur Löschung der aus dem Facebook-Konto erstellten Kundenliste verpflichtet. Zu beachten ist, dass die Entscheidung des VGH zur alten Rechtslage nach dem BDSG erging. Dennoch dürfte sie auch nach dem Inkrafttreten der DSGVO Wirkung entfalten.

Custom Audience ist kein Fall der Auftragsverarbeitung

Der VGH stellt fest, dass der Personenbezug durch das Hashen der Daten nicht völlig aufgehoben werde. Das Datenschutzrecht findet also Anwendung. Durch den Datenabgleich seitens Facebook sei es ohne unverhältnismäßigen Aufwand möglich, die Daten einer bestimmten oder bestimmbaren Person zuzuordnen. Ferner sei Facebook im Rahmen von Custom Audience nicht als Auftragsverarbeiter tätig. Denn Facebook habe einen eigenen Entscheidungs- und Ermessensspielraum bei der Ermittlung des zu bewerbenden Kundenkreises. Facebook sei bei der Durchführung des Dienstes und der Auswertung des Verhaltens seiner Nutzer völlig frei.

Grundsätzlich Einwilligung erforderlich

Für die Datenübermittlung an Facebook hätte es nach dem VGH somit einer Rechtsgrundlage bedurft. Und daran fehle es im vorliegenden Fall, da die Interessenabwägung nach BDSG nicht zugunsten des Online-Shop-Betreibers ausginge. Nach Auffassung des VGH bedarf die Datenübermittlung an Facebook einer Einwilligung der Betroffenen. Da die E-Mail-Adressen im Zusammenhang mit Bestellvorgängen erhoben wurden, wäre es für Facebook ohne großen Aufwand möglich, eine entsprechenden Einwilligung zu Werbezwecken bei den Betroffenen einzuholen.

Praxishinweis

Die Entscheidung ergeht zwar zur alten Rechtslage, ist aber auch für die neue Rechtslage nach der DSGVO relevant. Die Frage der Notwendigkeit einer Einwilligung dürften andere Aufsichtsbehörden und Gerichte wohl ähnlich sehen. Zu beachten ist aber, dass die DSGVO werbliche Zwecke als legitimes Interesse einstuft. Daher könnte – bei transparenter Information der Betroffenen und Einhaltung sonstiger Vorgaben – ggfs. gegen eine Einwilligung und für die Rechtfertigung mittels der sog. Interessenabwägung argumentiert werden. Daneben stellt sich die Frage des Abschlusses einer Vereinbarung über die gemeinsame Verantwortlichkeit, wie dies von den Aufsichtsbehörden nach dem Urteil des EuGH zu Facebook Fanpages gefordert wurde und nunmehr wie berichtet von Facebook angeboten wird. Unternehmen sollten jedenfalls künftig vor dem Einsatz von Diensten wie Custom Audience sorgfältig prüfen, ob sie die betroffenen Personen über diese Vorgänge hinreichend informiert haben und die Verarbeitung mittels Interessenabwägung oder Einwilligung rechtfertigen können.