Wenn Webseiten Facebooks Like-Button einbinden, sind sie verantwortlich, ihre Nutzer klar darüber zu informieren, hat der Europäische Gerichtshof (EuGH) entschieden. Denn über dieses kleine Software-Werkzeug werden Daten an Facebook übertragen, auch von Seiten, die auf den ersten Blick gar nichts mit dem sozialen Netzwerk zu tun haben. Das Urteil bedeutet, dass Webseitenbetreiber ihre Besucher in Zukunft noch klarer informieren müssen, welche Drittfirmen Informationen über deren Surfverhalten erfassen.
Worum ging es in dem Verfahren?
In dem Fall ging es um die Mode-Shopping-Seite "Fashion ID", die zu Peek & Cloppenburg gehört. Neben den angebotenen Kleidungsstücken war Facebooks Like-Button sichtbar, den Besucher anklicken konnten, um anderen auf Facebook anzuzeigen, dass sie das Produkt interessant oder gut fanden.
Auch die SZ setzt Tracking-Technologie ein. SZ.de erklärt auf dieser Seite, welche Tracker auf unseren Seiten eingesetzt werden und wie sie deaktiviert werden können.
Der Like-Button überträgt beim Laden der Seite die IP-Adresse sowie die Kennung des Webbrowsers, auch ohne dass der Knopf angeklickt wurde. Sogar wenn der betreffende Kunde überhaupt kein Facebook-Profil hat, werden die Daten an Facebook übermittelt. Auf diese Art sammelt Facebook also auch Daten über Surfende, die überhaupt nichts mit dem sozialen Netzwerk zu tun haben. Deshalb hatte die Verbraucherzentrale NRW Fashion ID abgemahnt. Die Argumentation der Verbraucherschützer: Fashion ID habe "personenbezogene Daten der Besucher ihrer Website ohne deren Einwilligung" an Facebook weitergeleitet. So wurde auch Facebook Beteiligter des Verfahrens.
Betreiber wie Fashion ID könnten für die Weiterleitung der Daten verantwortlich gemacht werden, sagt der EuGH. Denn sie versuchten über den Button "Werbung für ihre Produkte zu optimieren, indem diese im sozialen Netzwerk Facebook sichtbarer gemacht werden, wenn ein Besucher ihrer Website den Button anklickt". Daraus folge, dass Fashion ID "zumindest stillschweigend" in die Erhebung personenbezogener Daten durch Facebook einwillige.
Allerdings muss der Betreiber der Webseite nur die Einwilligung für "Erheben und Übermittlung" an Unternehmen wie Facebook einholen. Der Betreiber muss den Besucher der Seite auch über "seine Identität und die Zwecke der Verarbeitung" informieren. Was Facebook danach auf seinen Servern mit den Daten anstellt, ist aber nicht Sache des Webseiten-Betreibers.
Wie kam das Verfahren vor den EuGH?
Das Oberlandesgericht Düsseldorf hatte dem EuGH sechs Fragen zur Klärung vorgelegt: Zum einen wollte das Gericht wissen, ob die Abmahnung der Verbraucherzentrale rechtlich in Ordnung war, obwohl das nach dem - bis 2018 gültigen - europäischen Datenschutzrecht gar nicht vorgesehen war. Wenn das der Fall ist, sollte aber noch eine viel grundsätzlichere Frage geklärt werden: Ist die "Verwanzung" vieler Webseiten mit unauffälligen "Social Plug-ins" erlaubt, oder müssen Nutzer besser informiert werden, dass diese Daten an Drittfirmen weiterleiten, die gar nicht die Betreiber der Webseite sind.
Was ist ein Like-Button?
Webseiten bestehen aus vielen verschiedenen Bauteilen und nicht über alle hat der Betreiber der Webseite die alleinige Herrschaft. Like-Buttons sind sogenannte "Social Plug-ins". Facebook stellt die kleine Grafik mit dem blauen "Like"-Daumen zur Verfügung, der Webseitenbetreiber bindet sie auf seiner Seite ein, neben einem Textartikel, einem Video oder einem Produkt. Der Besucher der Seite kann den Button anklicken, seine Freunde auf Facebook sehen dann, dass ihm der Artikel gefällt. Eine Variante ist der "Share"-Button, mit dem sich ein Produkt oder Text auf Facebook verbreiten lässt - also ohne Bekundung, dass der Besucher ihn "mag". Ein weiteres Beispiel für Plug-ins, die das Surfverhalten der Nutzer erfassen, sind Karten von Google Maps oder Googles Analysewerkzeugen, die Webseitenbetreiber häufig auch in Nicht-Google-Webseiten einbinden.
Die Webseiten hoffen auf Werbeeffekte. Sie versprechen sich von der Einbindung des Buttons, dass ihre Kunden ihre Produkte oder Artikel in sozialen Medien weiterverbreiten.
Facebook stellt die kleinen Codeschnipsel für den Bau von Webseiten nicht ohne Gegenleistung zur Verfügung. Die Buttons können die Besucher der Webseiten erfassen, selbst wenn die gar nicht auf den Knopf klicken. Oliver Müller von der Verbraucherzentrale NRW, die gegen Fashion ID vorging, sagt: "Auf den ersten Blick sehen Verbraucher ja unter Umständen gar nicht, dass das eine Seite ist, die mit Facebook zu tun hat." An Facebook fließen mindestens die IP-Adresse des Nutzers - anhand derer viele Anschlüsse und damit Personen identifizierbar sind - und Informationen über seinen Browser und sein Betriebssystem.
Was sagt Facebook?
Facebook kann den Verdacht bislang nicht entkräften, dass diese Daten mit anderen Informationen über die betroffenen Mitglieder kombiniert werden. Zudem gibt es immer wieder Vorwürfe, dass Facebook auch "Akten" über Personen anlegt, die gar kein Facebook-Konto haben - sogenannte Schattenprofile.
Der Konzern erklärt auf Anfrage, man verwende Daten von anderen Webseiten für "Sicherheit, Personalisierung oder Werbung". Das sei allerdings abhängig "vom spezifischen Kontext sowie den Nutzereinstellungen und -Präferenzen".
In der Datenschutzerklärung von Fashion ID heißt es: "Dabei wird an den Facebook-Server übermittelt, dass Sie unsere Website besucht haben und Facebook ordnet diese Information Ihrem persönlichen Facebook-Benutzerkonto zu."
Was folgt aus der Entscheidung?
Viele Webseiten werden ihre Datenschutzbestimmungen überarbeiten. Ob sie auch offensiv Pop-ups einsetzen müssen wie jene, die über sogenannte Cookies informieren, die Besucher überwachen, wird sich zeigen. Das Gerichtsverfahren hatte jedoch schon vor dem Urteil des EuGH Auswirkungen. Aufgrund der ungeklärten Rechtslage verwenden viele Seiten mittlerweile Lösungen, die keine Daten übertragen, wenn der Nutzer die Webseite lediglich besucht. Erst nach einem Klick auf den Like-Button selbst beginnt die Datenübertragung.
