Stein des Anstoßes war die Einbindung des Page-Plugins von Facebook, wobei das Urteil gleichermaßen für den Like-Button gilt.

Das Landgericht Düsseldorf hat mit einem aktuellen Urteil (LG Düsseldorf, Urt. v.09.03.2016, Az. 12 O 151/15, Urteil als PDF) eine schwerwiegende Entscheidung getroffen. Das Urteil betrifft eine Vielzahl von Websitebetreibern und setzt diese der Gefahr von Abmahnungen aus.

Das Gericht folgte der Ansicht der Verbraucherschutzzentralle NRW und untersagte dem Unternehmen Fashion ID, einer Tochter von Peek & Cloppenburg, die Nutzung des Page-Plugins von Facebook. Leider beschränkt sich das Urteil nicht alleine auf dieses Plug-in, sondern betrifft Like-Buttons, andere Social-Plugins und praktisch das ganze dynamische Internet.

In den nachfolgenden Fragen und Antworten habe ich das Urteil, dessen Konsequenzen sowie mögliche Abhilfen zusammengefasst.

1. Welches Plugin betrifft das Urteil?

Das Urteil betrifft das Page-Plugin, d. h. das Widget, bei dem neben dem Like-Button die Anzahl der Facebook-Fans sowie deren Profilbilder angezeigt werden.

Dieser spezielle Umstand kam insbesondere im Rahmen der Beurteilung, ob es sich um einen Wettbewerbsverstoß handelt, zur Geltung. Hierzu müsste das Page-Plugin den Werbezwecken des Unternehmens gedient haben. Das bejahte das Gericht, indem es insbesondere die Anzeige der Fanzahl und deren Profilbilder als eine Art Testimonial ansah.

Allerdings galt diese Besonderheit nur der Frage, ob auch Mitbewerber oder klagebefugte Organisationen, wie die Verbraucherzentrale das Plugin abmahnen können (s. dazu Frage Nr. 12 unten). Darüber hinaus lassen sich die Ausführungen des Gerichts aber auch auf andere Plugins übertragen.

2. Ist das deutsche Recht überhaupt anwendbar?

Im Rahmen der Frage, ob Inhaber von Facebook-Seiten für etwaige Datenschutzverstöße von Facebook verantwortlich sind, entschieden die Gerichte bisher, dass deutsche Datenschützer unzuständig sind. Vielmehr sei das irische Recht anwendbar, wo Facebook seine Europäische Niederlassung unterhält (s. dazu meine Beiträge OVG Schleswig: Betreiber von Facebook-Seiten haften nicht für Facebooks Datenschutzverstöße und Erneuter Sieg für Facebook – Datenschutzbeauftragter darf die Klarnamenpflicht nicht verbieten).

Dies begründeten die Gerichte auch damit, dass Facebook und nicht die Seiteninhaber für die Verarbeitung der Nutzerdaten verantwortlich sind. Dieser Punkt ist höchst umstritten und liegt derzeit dem Europäischen Gerichtshof zur Entscheidung vor.

Das LG Düsseldorf ging auf diese Problematik leider nicht ein. Die Richter machten es sich einfach und sagten, dass die „Ermöglichung“ der Erhebung und späteren Verwendung von Daten durch die Einbindung der Plugins durch Facebook ausreichend sei.

Eine solche „Ermöglichung“ ist jedoch nicht im Gesetz als Voraussetzung der datenschutzrechtlichen Verantwortung geregelt (§ 3 Abs. 7 BDSG). An dieser Stelle ist das Urteil daher nicht überzeugend und angreifbar (zu dieser Problematik verweise ich auf den Beitrag des RA Dr. Carlo Piltz).

3. Was hat das LG Düsseldorf beanstandet?

Die Social-Plugins werden in Websites so eingebunden, dass bei deren Aufruf Daten der Websitebesucher an Facebook direkt vom Browser der Nutzer übertragen werden. Das LG Düsseldorf sieht darin u. a. eine Datenübermittlung der Websiteinhaber an Facebook.

Das LG Düsseldorf hat die Nutzung von personenbezogenen Daten der Nutzer zu Werbezwecken ohne deren Einwilligung beanstandet. Im Konkreten ging es vor allem um die IP-Adressen der Websitebesucher. Neben der IP-Adresse wurde aber auch die Erhebung und Verwendung anderer Besucherdaten durch Facebook zu Werbezwecken beanstandet.

Das ist auch der Fall, wenn Nutzer bei Facebook ausgeloggt oder gar keine Mitglieder sind. Denn Facebook setzt bei ihnen Cookies, die nachträglich zu Werbezwecken ausgewertet werden können.

4. Reichen Hinweise in der Datenschutzerklärung aus?

Hinweise auf die Nutzung von Nutzerdaten zu Werbezwecken in der Datenschutzerklärung können gem. § 15 Abs. 3 Telemediengesetz (TMG) genügen, wenn es sich um pseudonyme Daten handelt. D. h. die Daten werden zwar einem „Nutzer XY“ zugeordnet, aber seine wahre Identität bleibt unerkannt.

Das Gericht befand jedoch, dass die IP-Adressen der Besucher von Webseiten, die ein Page-Plugin beinhalten, personenbezogene Daten sind (§ 3 Abs. 1 BDSG). Dabei vertrat das Gericht eine sehr strenge Ansicht. Es sagte sogar, dass Facebook so viele Daten über die Nutzer hat, dass die IP-Adresse der Facebook-Mitglieder schon deswegen personenbezogen ist.

Aber auch die IP-Adressen von Nichtmitgliedern seien personenbezogen, da sie letztendlich mithilfe eines Gerichtsbeschlusses über den Zugangsprovider den Websitebesuchern zugeordnet werden können (sog. „absolute Theorie“).

Aus diesen Gründen reichen Hinweise in der Datenschutzerklärung lt. LG Düsseldorf nicht aus.

5. Haben die Nutzer von Facebook sich mit den Social-Plugins einverstanden erklärt?

Eine wirksame Einwilligung setzt voraus, dass die Nutzer vor der Erhebung ihrer Daten hinreichend über deren Verwendung aufgeklärt werden und sich mit ihr eindeutig einverstanden erklären (§ 13 Abs. 2 TMG).

Bei Facebook mangelt es bereits an einer solchen Ausdrücklichkeit, da es z. B. kein Kontrollkästchen im Sinne von „Ich bin mit der Verarbeitung meiner Daten zu diesen und diesen Zwecken“ bei der Registrierung gibt.

Im Fall der Nichtnutzer ist eine Einwilligung erst Recht nicht gegeben.

6. Gilt das Urteil auch für den Like-Button?

Das Urteil bezog sich zwar nicht auf den Like-Button direkt, sondern auf das Page-Plugin von Facebook. Folgt man jedoch der Aussage des Gerichts, dass die Übermittlung von personenbezogenen Daten der Nutzer zu Werbezwecken ohne Vorabhinweis rechtswidrig ist, dann ist auch die Nutzung des Like-Buttons rechtswidrig.

7. Ist die 2-Klick-Lösung rechtlich sicher?

Wenn Sie Facebooks Social-Plugins (und auch anderer Anbieter) verwenden möchten, dann sollten Sie die 2-Klick-Lösung einsetzen. Sie wurde vom heise-Verlag entwickelt und ist mittlerweile für viele redaktionelle Systeme verfügbar.

Bei der 2-Klick-Lösung wird zuerst nur eine Grafik der Social-Plugins eingeblendet. Wenn die Nutzer die Grafik ansteuern, werden sie darauf hingewiesen, dass mit dem zweiten Klick die eigentlichen Plugins geladen werden.

Fashion ID hat im Rahmen des Verfahrens die Website auf die 2-Klick-Lösung umgestellt. Das Gericht entschied jedoch nicht darüber, ob dies zulässig ist. Ganz im Gegenteil sagte das Gericht, dass die nachträglich eingefügte 2-Klick-Lösung nicht Gegenstand der Entscheidung ist.

Dennoch entspricht die 2-Klick-Lösung zumindest insoweit den Anforderungen des Gerichts, als dass ein Vorabhinweis an die Nutzer erfolgt. Auch begegnete das Gericht dem Vorwurf einer Beschränkung der Meinungsfreiheit damit, dass diese mit der Nutzung der 2-Klick-Lösung hinreichend gewahrt ist.

Daher halte ich die 2-Klick-Lösung derzeit (noch) für hinreichend sicher.

Allerdings bleibt es unklar, ob die Information der Nutzer ausreichend ist. Ferner setzt die datenschutzrechtliche Einwilligung gem. § 13 Abs. 2 TMG deren Protokollierung voraus, die derzeit nicht erfolgt. D. h. es verbleiben Restrisiken.

8. Gilt das Urteil auch für andere Social-Plugins von Facebook?

Praktisch alle Social-Plugins von Facebook sind von der Regelung betroffen. Leider ist die 2-Klick-Lösung nicht für alle Plugins verfügbar.

Ausgehend davon, dass Facebook die Daten der Websitebesucher für Werbezwecke auswertet, sind auch alle anderen Social-Plugins lt. LG Düsseldorf als rechtswidrig zu betrachten. Nachfolgend gehe ich speziell auf das Sharing und das Embedding ein.

9. Ist der Sharing-Button oder -Link sicher?

Teilen-Funktionen, die auf Verlinkung und nicht Einbindung von Code der Plattformanbieter basieren, sind datenschutzrechtlich sicher (hier das Shariff-Plugin von heise).

Hier kommt es auf die Art der Einbindung an. Wird die Schaltfläche per Social-Plugin eingebunden, gilt das oben Gesagte. D. h. sie ist nur mittels der 2-Klick-Lösung sicher.

Handelt es sich dagegen lediglich um einen Text- oder einen Bild-Link, dann werden keine Daten an Facebook übermittelt. Derartige Links sind daher zulässig, wie z. B.:

<a href=“https://www.facebook.com/sharer/sharer.php?u=http%3A//facebook.com/raschwenke“>Auf Facebook teilen</a>

10. Dürfen Facebook-Postings oder Videos in Websites eingebettet werden?

Über derartige Embeddings wurde zwar nicht entschieden. Jedoch werden auch hierbei Daten ohne Einwilligung der Nutzer an Facebook übermittelt. Hierzu muss ein spezieller Code von Facebook in die Website eingebunden werden.

Da auch in diesem Rahmen von der Übermittlung von Informationen, die zu Werbezwecken eingesetzt werden, auszugehen ist, spricht vieles dafür, dass dieser Vorgang lt. LG Düsseldorf ebenfalls rechtswidrig ist.

Um Beiträge oder Videos von Facebook einzubetten, muss ein Code von Facebook in die Website eingebunden werden.

11. Ist auch der Conversion-Pixel von Facebook betroffen?

Ja, der Conversion-Pixel dient eindeutig den Werbezwecken und ist von dem Urteil auch betroffen. Dies habe ich bereits in dem Beitrag „Rechtliche Voraussetzungen für den Einsatz des „Besucheraktions-Pixels“ von Facebook (inkl. Einwilligungsmuster)“ erläutert.

12. Drohen Abmahnungen und welche Konsequenzen können sie haben?

Die Besonderheit des Urteils lag darin, dass ihm eine wettbewerbsrechtliche Abmahnung vorausging. D. h. Fashion ID wurde nicht direkt wegen eines Datenschutzverstoßes verurteilt, sondern, weil das Unternehmen daraus wirtschaftliche Vorteile zog.

Dies bedeutet aber umgekehrt, dass Datenschutzverstöße ohne wirtschaftlichen Bezug erst Recht abgemahnt werden können. D. h. jeder, der Facebooks Social-Plugins einsetzt, ist betroffen und kann potenziell von jedem Websitebesucher abgemahnt werden.

Als Folge müsste eine Unterlassungserklärung abgegeben werden, sodass beim erneuten Verstoß eine Vertragsstrafe bis zu ca. 5.000 Euro droht. Ferner müssen die Kosten des abmahnenden (und des eigenen) Anwalts ersetzt werden. Diese können bei Abmahnungen von Mitbewerbern ca. 2.000 Euro und von Privatpersonen ca. 1.000 Euro betragen.

13. Sagte Facebook nicht, dass dieses Problem nicht für alle gilt?

Laut bisheriger Stellungnahme soll seitens von Facebook die Äußerung erfolgt sein, dass das Urteil nur einen speziellen Fall betrifft und zudem das Problem behoben sei (lt. The Wall Street Journal):

„A Facebook spokesman said ‚this case is specific to a particular website and the way they have sought consent from their users in the past. We understand the website has since been updated.'“

Angesichts der obigen Ausführungen ist diese Aussage leider nur eine Beschwichtigung und trägt nicht zur Behebung der Problematik bei.

14. Betrifft der Fall nicht auch andere Widgets, Embeddings, Plugins oder Youtube-Videos?

Geht man von den Anforderungen des Urteils aus, müsste das dynamische und soziale Internet, wie wir es kennen, abgeschaltet werden. Denn die Einbindung fremder Inhalte setzt voraus, dass deren Anbieter die IP der Websitebesucher kennen, um die Inhalte übermitteln zu können. Alternativ müssten die Anbieter von einbindbaren Inhalten auf die wirtschaftliche Verwertung der Daten verzichten.

Dies klingt radikal, aber letztendlich ist es das, was die Datenschützer fordern.

Dass eine Annäherung möglich ist, zeigt z. B. Google. So wird bei Google-Analytics die IP-Adresse europäischer Nutzer anonymisiert (s. dazu Google Analytics rechtssicher nutzen – Anleitung und Muster für Webmaster) und Youtube-Videos lassen sich ohne Cookie-Setzung einbinden. Ob und inwieweit diese Lösungen sich durchsetzen werden bleibt abzuwarten. Facebook ist jetzt jedoch im Zugzwang.

15. Was sollen wir unternehmen, wie lauten die Hinweise für die Praxis?

Das Urteil ist nicht rechtskräftig, d. h. es ist abzuwarten, ob es angefochten oder ggf. aufgehoben wird. Allerdings ist mit einem Anstieg von datenschutzrechtlichen Abmahnungen mit Berufung auf das Urteil auszugehen. Ferner ist es sehr wahrscheinlich, dass andere Gerichte sich am LG Düsseldorf orientieren werden.

D. h., wenn Sie weder Zeit noch Geld in ein ungewisses Risiko investieren möchten, empfehle ich Ihnen zumindest die 2-Klick-Lösung für Like-Buttons zu wählen oder nur sichere Sharing-Links einzusetzen. Natürlich ist es auch möglich, das Risiko einer Abmahnung einzugehen und darauf zu setzen, dass das Urteil aufgehoben wird.

So könnte ein Page-Plugin in der 2-Klick-Lösung aussehen (hier am Beispiel meiner FB-Seite). Doch man kann sich zum einen um dessen Sinnhaftigkeit streiten und zum anderen würde Facebook sehr wahrscheinlich etwas dagegen haben, wenn es derart als Plugin angeboten würde. Denn viele Nutzer könnten denken, das Plugin sei originär von Facebook, scheine jedoch nicht einwandfrei zu funktionieren.

Für das Page-Plugin gibt es leider keine derartigen Alternativen, sodass Sie auf diese verzichten oder diese selbst erstellen müssen. Hierbei werden Sie jedoch Facebooks urheber- und markenrechtliche Interessen beachten müssen, die eigenen Nachbauten im Wege stehen könnten. Das zum Page-Plugin Gesagte gilt ebenso für das Embedding von Facebook-Postings und Videos. Auch der Conversion-Pixel ist als unsicher zu betrachten.

Zusammengefasst ist derzeit die Einbindung von Drittinhalten nur mit einer Vorschaltseite möglich, auf der Sie Nutzer über alle eingebundenen Inhalte, Datenübermittlungen aufklären und erst nach einer ausdrücklichen und protokollierten Einwilligung zur eigentlichen Website weiterleiten.

Fazit

Mit dem Urteil des LG Düsseldorf sind die Nutzer der Drittservices noch weiter in den Frontenkrieg zwischen Datenschützern und wirtschaftlichen Interessen geraten und werden so zu den Leidtragenden.

Entweder die Parteien werden aufeinander zugehen oder wir werden ein Revival eines statischen Internets oder Vorschaltseiten und Einwilligungs-Pop-Ups erleben müssen. Ich hoffe auf den ersten Weg, denn ich möchte nicht wieder in das Jahr 1990 zurückversetzt werden, als Vorschaltseiten noch Mode waren.

Falls Sie eine Einschätzung der Risiken Ihrer Website oder Beratung zum Einsatz von gefahrmindernden Alternativen wünschen, stehe ich gerne zu Ihrer Verfügung.