EuGH-Urteil zum Like-Button – Was nun?

Der Facebook Like-Button stand schon des Öfteren in Kritik. Vor allem weil Facebook durch die Implementierung des Plugins einfach Informationen über den Nutzer einer Website oder eines Shops, wie z.B. die IP-Adresse und Suchverläufe, abgreifen konnte. Dabei stellte sich für die Shop- oder Website-Besitzer immer die Frage, ob sie dafür eine Einwilligung beim Nutzer einholen müssen. Allerdings wurde nie klar kommuniziert, was Facebook mit den Daten veranstaltet. Das neuste Urteil des Europäischen Gerichtshof (EuGH) soll Klarheit schaffen – oder auch nicht. Denn es existieren viele Interpretationen zu diesem Urteil. Aus diesem Grund schauen wir uns die Sache einmal genauer an.

Folgende Entscheidungen traf das EuGH in seinem Urteil:

• Verbraucherschutzverbände sind zur Geltendmachung von Datenschutzverletzungen, jedenfalls nach der alten Datenschutzrichtlinie, befugt Klage einzureichen.
• Wer das Plugin eines Dritten (z.B. Facebook als Plugin-Anbieter) mit der Absicht von wirtschaftlichen Vorteilen, in seine Website einbindet sowie mit dem Tool personenbezogene Daten erhebt und diese dann an den Plugin-Anbieter übermittelt, geht eine gemeinsame Verantwortlichkeit zusammen mit dem Plugin-Anbieter ein (gemäß Art. 26 DSGVO).
• Wird von einem Plugin ein Cookie auf dem Endgerät des Nutzers abgelegt oder werden vom Plugin Cookies oder andere Informationen auf dem Endgerät ausgelesen, wird hierfür eine ausdrückliche Einwilligung des Nutzers benötigt. Ein sogenanntes Opt-in. Ein späterer Widerspruch, auch Opt-out genannt, reicht hierbei nicht aus. Folglich kann Paragraph § 15 Abs. 3 Telemediengesetz (TMG) ab sofort nicht mehr als Rechtsgrundlage herangezogen werden.
• Bei Aufruf der Website oder des Shops muss eine Einwilligung eingeholt und eine gesetzeskonforme Datenschutzinformationen (gemäß Art. 13, 14, 21 DSGVO) erteilt werden. Zugleich müssen auch die besonderen Informationen über das, in gemeinsamer Verantwortlichkeit erfolgende, Erheben und Übermitteln der Daten durch den Website- oder Shopbetreiber an den Plugin-Anbieter zur Verfügung gestellt werden  (gemäß Art. 26 Abs. 2 S. 2 DSGVO).

Im Klartext bedeutet das?

Eine Einwilligung für „Social Plugins“ und Tracking ist erforderlich. D.h. Sie benötigen eine vorherige, ausdrückliche Einwilligung Ihrer Nutzer. Sie sind außerdem gemeinsam mit Facebook für die Datenverarbeitung verantwortlich.

Auch wenn sich das Urteil primär auf die Einbindung des Facebook Like-Buttons bezog, gilt das Urteil für alle Plugins und Tools, bei denen die Voraussetzungen aus dem Urteil vorliegen. Wie zum Beispiel:  Facebook-Pixel, das LinkedIn Insight-Tag, Analyse-Tools wie Google Analytics oder Heatmap Tools wie Hotjar.

Was ist nun zu tun?

1. Prüfen Sie, welche Plugins oder Tools Sie auf Ihre Website oder App nutzen? Fragen Sie hier auch mal Ihre Agentur.
2. Prüfen Sie, ob die Plugins oder Tools, die Sie verwenden, Informationen auf den Endgeräten Ihrer User, insbesondere in Cookies, speichert und an den Plugin-Anbieter übermittelt.
3. Welche Zwecke verfolgen Sie mit der Nutzung der Plugins oder Tools?  Profitieren Sie von der Distribution der Informationen, die mit Hilfe des Plugins oder Tools erhobenen wurden oder sonst verarbeiteten Informationen?

Für alle Tools und Plugins, auf die dies zutrifft, müssen Sie folgendes tun:

• Schließen Sie mit dem Anbieter des Plugins bzw. Tools eine Vereinbarung über die gemeinsame Verantwortlichkeit ab (gemäß Art. 26 Abs. 1 S. 2 DSGVO). Stellt der Anbieter keine solche Vereinbarung zur Verfügung und ist auch nicht bereit, eine von Ihnen vorgeschlagene Vereinbarung zu akzeptieren, ist die Nutzung des Plugins bzw. Tools immer datenschutzrechtswidrig.
• Informieren Sie die Nutzer Ihres Shops oder Ihrer App über das Plugin bzw. Tool und stellen Sie dafür alle Datenschutzinformationen gemäß Art. 13, 14, 21 DSGVO sowie ergänzende Informationen zur gemeinsamen Verantwortlichkeit  zur Verfügung (gemäß Art. 26 Abs. 2 S. 2 DSGVO). Dies muss geschehen, bevor es zur Speicherung von den Daten auf dem Endgerät des Nutzers kommt. Das Fehlen dieser Informationen ist ein klarer Datenschutzverstoß.
• Besorgen Sie sich vor der Aktivierung des Plugins bzw. Tools eine ausdrückliche Einwilligung (Opt-in) Ihrer Nutzer. Diese muss den Vorgaben, insbesondere nach Art. 4 Nr. 11, Art. 6 Abs. 1 lit. a und Art. 7 DSGVO, entsprechen.
• Dokumentieren Sie den Prozess sowie die technischen Vorgänge im Zusammenhang mit der Einholung der Einwilligung.
• Beachten Sie, dass nur dann Informationen auf dem Endgerät gespeichert oder von dort abgerufen werden dürfen, wenn die Einwilligung des Nutzers vorliegt. Das ist nur möglich, wenn beim ersten Aufruf der Website mit einem Cookie-Overlay oder einer speziellen Landingpage zunächst die Einwilligung abgefragt wird, bevor die Datenverarbeitung beginnt.

Was passiert, wenn Sie das nicht tun?

Setzen Sie ein solches Plugin oder Tool ein, ohne die vorherigen Maßnahmen umgesetzt zu haben, laufen Sie Gefahr, dass die Datenschutzaufsicht die weitere Nutzung des Plugins verwehrt und möglicherweise eine Geldstrafe gegen Sie verhängt wird. Außerdem können Besucher Ihres Shops rechtlich gegen Sie vorgehen. Wir mahnen also zur Vorsicht.

(Quelle: Shopware)

Folgen Sie uns: