MKB Juristen entwirft individuelle Rechtsdokumente
Es empfiehlt sich, wichtige Verträge, Geschäftsbedingungen und andere juristische Dokumente nicht selbst zusammenzustellen oder zu kopieren. Wir unterstützen Unternehmer mit begrenztem Budget mit maßgeschneiderten Rechtslösungen, transparenten Kosten im Voraus und verständlichen Erklärungen.
- Kundenspezifische Verträge, Geschäftsbedingungen und Rechtsdokumente
- Budgetfreundlich und transparent hinsichtlich der Kosten im Voraus
- Fordern Sie eine kostenlose Beratung oder ein unverbindliches Angebot an
Ja, als Website-Administrator sind Sie mitverantwortlich für die personenbezogenen Daten, die über einen Facebook-Like-Button erfasst und übermittelt werden. Der Europäische Gerichtshof hat im Fall Fashion ID (29. Juli 2019, Rechtssache C-40/17) entschieden, dass Sie gemeinsam mit Facebook als gemeinsam Verantwortliche für die Erfassung und Übermittlung von Besucherdaten gelten. Wenn Sie einen solchen Button einbinden, ergeben sich für Sie bestimmte Pflichten: Sie müssen Besucher im Voraus informieren und in vielen Fällen deren Einwilligung einholen. Andernfalls riskieren Sie einen Verstoß gegen die Datenschutzbestimmungen der DSGVO.
Was genau bewirkt ein „Gefällt mir“-Button?
Ein „Gefällt mir“-Button von Facebook sieht harmlos aus, ist aber technisch gesehen ein Codeabschnitt (ein sogenanntes Social Plugin) von Facebook. Sobald ein Besucher Ihre Seite öffnet, lädt der Browser diesen Code direkt von Facebook. Dabei werden bereits Daten ausgetauscht – wie die IP-Adresse und Informationen über den Browser –, noch bevor der Besucher etwas anklickt.
Darüber hinaus geschieht dies unabhängig davon, ob der Besucher ein Facebook-Konto besitzt, angemeldet ist oder seine Einwilligung erteilt hat. Die Datenerfassung beginnt somit bereits beim Laden der Seite, nicht erst beim Klicken. Genau diese automatische Funktionsweise macht den Button rechtlich heikel.
Warum tragen Sie als Website-Administrator eine Mitverantwortung?
Der Kern liegt in der freien Wahl: Sie entscheiden selbst, ob Sie den Button auf Ihrer Website einbinden. Dadurch ermöglichen Sie Facebook, Besucherdaten zu erhalten. Sie bestimmen somit mit, warum und wie diese Daten erhoben und weitergeleitet werden.
Der Europäische Gerichtshof bestätigte dies im Fashion ID(Rechtssache C-40/17, Urteil vom 29. Juli 2019). Die Kernaussagen dieses Urteils:
- Der Websitebetreiber ist gemeinsam mit Facebook für die Erhebung und Übermittlung der Daten verantwortlich
- Diese gemeinsame Verantwortung bedeutet nicht, dass beide Parteien für alles gleichermaßen verantwortlich sind. Ihre Verantwortung beschränkt sich auf den Teil der Datenverarbeitung, auf den Sie tatsächlich Einfluss haben: die Datenerhebung auf Ihrer Website und die Übermittlung an Facebook.
- Was Facebook anschließend mit den Daten macht, liegt nicht in Ihrer Verantwortung – das entbindet Sie jedoch nicht von Ihren eigenen Verpflichtungen.
Sie können sich also nicht hinter „Facebook kümmert sich darum“ verstecken. Was auf Ihrer Website passiert, liegt in Ihrer Verantwortung.
Verpflichtung 1: Seien Sie transparent
Als Website-Administrator müssen Sie Besucher klar und deutlich über die Erhebung, Verarbeitung und Weitergabe ihrer personenbezogenen Daten informieren. Das Gericht betonte, dass diese Informationen zum Zeitpunkt der Datenerhebung – und bei einem Social-Media-Plugin ist dies der Zeitpunkt des Seitenaufrufs – bereitgestellt werden müssen.
Diese Transparenzpflicht gilt nur für den Teil der Datenverarbeitung, für den Sie verantwortlich sind, nicht für die Weiterverarbeitung durch Facebook. Konkret bedeutet dies, dass Sie in Ihrer Datenschutz- und Cookie-Erklärung klar erläutern müssen, welche Daten über den Button erfasst und an wen diese weitergeleitet werden.
Verpflichtung 2: Vorher um Erlaubnis bitten
Neben der Information müssen Sie bitten . Das Gericht verweist erneut auf Ihre freie Entscheidung, den Button zu platzieren: Da Sie diese Entscheidung treffen, liegt die Frage der Einwilligung bei Ihnen. Wie bei der Transparenzpflicht muss sich diese Einwilligung nur auf den von Ihnen verwalteten Teil beziehen, nicht auf die anschließende Verarbeitung durch Facebook.
Wichtig: Die Einwilligung muss freiwillig, spezifisch und informiert erfolgen und idealerweise vor dem Laden des Buttons erteilt werden. Ein vorausgewähltes Kontrollkästchen oder ein Button, der sofort lädt, ist in der Regel nicht ausreichend.
Die praktische Herausforderung: Der Knopf lädt automatisch
Hier liegt das Problem. Die Information und die Einwilligung müssen ab dem Zeitpunkt der Datenerhebung vorliegen, doch ein standardmäßiger „Gefällt mir“-Button wird beim Öffnen der Seite automatisch geladen. Daher muss die Technologie angepasst werden.
Die gängige Lösung besteht darin, die Schaltfläche erst zu laden, nachdem der Besucher seine Zustimmung erteilt hat. Ein weit verbreiteter Ansatz:
- Zeigen Sie zunächst einen neutralen Platzhalter oder eine Zustimmungsschaltfläche anstelle des eigentlichen Facebook-Plugins an.
- Der Facebook-Code wird erst geladen, wenn der Besucher aktiv auf „Zustimmen“ oder „Laden“ klickt.
- Geben Sie in Ihrer Cookie- und Datenschutzerklärung an, was in diesem Fall geschieht und welche Daten weitergegeben werden.
Für einen Webshop mit ausreichendem Umsatz ist eine solche technische Anpassung problemlos machbar. Für einen Kleinunternehmer oder einen Hobby-Webshop kann sie jedoch einen relativ großen Aufwand bedeuten. Manchmal ist daher die fairste Schlussfolgerung: Wägen Sie ab, ob der Button das Datenschutzrisiko und den damit verbundenen Aufwand wert ist.
Welche Risiken bestehen, wenn man nichts unternimmt?
Wenn Sie diese Verpflichtungen missachten, verarbeiten Sie personenbezogene Daten ohne gültige Rechtsgrundlage. Dies verstößt gegen die DSGVO. Die Folgen können unter anderem sein:
- Beschwerden und Durchsetzung durch die niederländische Datenschutzbehörde, was zu möglichen Maßnahmen oder Geldstrafen führen kann.
- Reputationsschaden entsteht , wenn Besucher oder Kunden feststellen, dass ihre Daten ohne ihre Zustimmung weitergegeben werden.
- Haftung für den Teil der Verarbeitung, der in Ihre Verantwortung fällt.
Das gleiche Prinzip gilt übrigens nicht nur für den Facebook-Button. Auch andere Social-Media-Plugins, eingebettete Videos, Teilen-Buttons und Tracking-Pixel von Drittanbietern können auf dieselbe Weise Daten erfassen. Die Argumentation aus dem Urteil im Fall Fashion ID ist häufig auch auf sie anwendbar.
Schritt-für-Schritt-Anleitung: So richten Sie Ihre Website richtig ein
- Erstellen Sie eine Bestandsaufnahme der auf Ihrer Website verwendeten Drittanbieter-Buttons, -Plugins und -Pixel.
- Das Laden sollte bis zum Erhalt der Genehmigung verzögert werden, oder die Schaltfläche sollte entfernt werden, falls sie nicht unbedingt erforderlich ist.
- Aktualisieren Sie Ihre Datenschutz- und Cookie-Richtlinien , sodass sie den tatsächlichen Gegebenheiten entsprechen.
- Dokumentieren Sie die Einwilligung nachweislich, damit Sie zeigen können, dass die Besucher im Voraus zugestimmt haben.
- Lassen Sie es im Zweifelsfall rechtlich und technisch prüfen , damit Sie sicher sein können, dass es korrekt ist
Sind Sie sich unsicher, ob Ihre Erklärungen noch aktuell sind? Ein Datenschutz-Audit deckt schnell auf, wo die Risiken liegen und was Sie konkret anpassen müssen.
Häufig gestellte Fragen
Darf ich trotzdem einen Facebook-Like-Button auf meiner Website platzieren?
Ja, das ist erlaubt, aber unter bestimmten Bedingungen. Sie müssen Besucher im Voraus informieren und in der Regel um Erlaubnis bitten, bevor der Button Besucherdaten an Facebook sendet. In der Praxis erreichen Sie dies, indem Sie den Button erst laden, nachdem der Besucher zugestimmt hat.
Bin ich verantwortlich für das, was Facebook anschließend mit den Daten macht?
Nein. Laut dem Urteil im Fall Fashion ID beschränkt sich Ihre Verantwortung auf die Erfassung und Übermittlung der Daten auf Ihrer Website. Was Facebook anschließend damit macht, fällt nicht in Ihren Verantwortungsbereich – Ihre eigenen Informations- und Einwilligungspflichten bleiben jedoch bestehen.
Gilt dies nur für den Facebook-Button?
Nein. Dieselbe Argumentation gilt häufig auch für andere Social-Media-Plugins, Teilen-Buttons, eingebettete Inhalte und Tracking-Pixel von Drittanbietern. Immer wenn ein Element eines externen Anbieters automatisch Daten von Ihren Besuchern erfasst, ist es ratsam, die in diesem Urteil beschriebene Vorgehensweise anzuwenden.
Reicht ein Cookie-Banner aus, um dieser Verpflichtung nachzukommen?
Nicht automatisch. Ein Cookie-Banner funktioniert nur, wenn es das Social-Media-Plugin tatsächlich blockiert, bis der Besucher seine Zustimmung erteilt, und wenn Ihre Aussagen mit dem tatsächlichen Ablauf übereinstimmen. Ein Banner, das um Zustimmung bittet, den Button aber sofort lädt, löst das Problem nicht.
Welchen Risiken gehe ich ein, wenn ich nichts arrangiere?
In diesem Fall verarbeiten Sie personenbezogene Daten ohne gültige Rechtsgrundlage, was gegen die DSGVO verstößt. Dies kann zu Beschwerden, Maßnahmen der niederländischen Datenschutzbehörde, möglichen Bußgeldern und Reputationsschäden führen. Sie können für den Teil, der in Ihren Verantwortungsbereich fällt, haftbar gemacht werden.
Lassen Sie Ihre Website rechtlich prüfen
Möchten Sie sichergehen, dass Ihr „Gefällt mir“-Button, Ihr Cookie-Banner und Ihre Datenschutzerklärungen DSGVO-konform sind? MKB Juristen prüft Ihre Website und gibt Ihnen konkrete Empfehlungen für Ihren Webentwickler. Wir erstellen außerdem Ihre Cookie- und Datenschutzerklärung so, dass sie den tatsächlichen Vorgängen auf Ihrer Website entsprechen.
Möchten Sie mehr über unseren Ansatz zum Thema Datenschutz erfahren ? Oder möchten Sie das Thema direkt mit uns besprechen? Vereinbaren Sie ein unverbindliches Erstgespräch , und wir analysieren gemeinsam die Risiken und erarbeiten Lösungen.
