Facebook-Auftritt des Hessischen Umweltministeriums – eine Anfrage / Beschwerde an den Hessischen Datenschutzbeauftragten
Am 18.07.2019 hat die Hessische Umweltministerin Priska Hinz (Grüne) die Facebook-Fanpage @umwelthessen neu gestartet.
Einen Leser dieser Homepage (ein Bürger aus Hessen) hat dies dazu veranlasst, eine Anfrage nach § 80 ff Hessisches Datenschutz- und Informationsfreiheitsgesetz (HDSIG) an das hessische Umweltministerium zu stellen. Da die Antwort des Hessischen Umweltministeriums dem Bürger vor dem Hintergrund der Urteile des Bundesverwaltungsgerichts (BVerwG) vom 11.09.2019 (Aktenzeichen: BVerwG 6 C 15.18) und des Europäischen Gerichtshofs (EuGH) vom 05.07.2018 (Aktenzeichen: C-210/16) rechtlich fragwürdig erscheint, hat es sich mit einer datenschutzrechtlichen Anfrage / Beschwerde an den Hessischen Datenschutzbeauftragten gewandt. Er hat der Redaktion gestattet, seinen Schriftwechsel auszugsweise und anonymisiert zu veröffentlichen. Dem kommen wir gerne nach. Nachstehend ein Auszug aus seiner Anfragen an den Hessischen Datenschutzbeauftragten.
„… Der EuGH hat in seinem Urteil vom 05.07.2019 festgestellt, dass der Betreiber einer Fanpage für die durch Facebook erfolgende Datenverarbeitung mitverantwortlich ist. Denn er ermöglicht durch den Betrieb der Fanpage Facebook den Zugriff auf die Daten der Fanpage-Besucher.
Das Hessische Umweltministerium verweist in seiner Antwort an mich (siehe Anlage 3) wiederholt auf eine Veröffentlichung von Facebook (‚Seiten-Insights-Ergänzung bezüglich des Verantwortlichen‚ – ) und teilt mir in seiner Antwort auf meine Frage 2 mit: ‚Diese Seiten‐Insights‐Ergänzung legt die jeweiligen Verantwortlichkeiten von Facebook und dem jeweiligen Fanpage‐Betreiber im Hinblick auf die Verarbeitung von Insights‐Daten fest. Das sind Daten, die Facebook im Hinblick auf die Interaktion der Fanpage‐Besucher mit der Fanpage und deren demografische Daten aggregiert und den Betreibern der Fanpage in Form von Statistiken zur Verfügung stellt. Die Nutzung der Insights‐Statistiken ist nicht abdingbar und erfolgt auf Grundlage von pseudonymen Cookies. Eine darüber hinaus gehende gemeinsame Verantwortlichkeit von Facebook und dem jeweiligen Fanpage‐Betreiber besteht nach derzeitigem Kenntnisstand nicht.‘
Ich interpretiere dies als Hinweis, dass das Ministerium sich damit aus seiner datenschutzrechtlichen Verpflichtung gegenüber den Nutzer*innen seines Facebook-Auftritts @umwelthessen lösen möchte. Dies ist für mich unbefriedigend und vor dem Hintergrund der o. g. Urteile des EuGH und des BVerwG rechtlich nicht nachvollziehbar. Denn in der Veröffentlichung von Facebook („Seiten-Insights-Ergänzung…) lese ich u. a.:
‚Seiten-Insights können auf personenbezogenen Daten basieren, die im Zusammenhang mit einem Besuch oder einer Interaktion von Personen auf bzw. mit deiner Seite und ihren Inhalten erfasst wurden. Wenn du in der Europäischen Union/im Europäischen Wirtschaftsraum wohnst und sofern diese personenbezogenen Daten unter deinem Einfluss und deiner Kontrolle (bzw. dem-/derjenigen irgendeines Dritten, für den du die Seite erstellst oder verwaltest) im Rahmen der Datenschutz-Grundverordnung (Verordnung (EU) 2016/679, „DSGVO“) verarbeitet werden, (‚Insights-Daten‘), erkennst du in deinem eigenen Namen (und als Vertreter für jedweden sonstigen Dritt-Verantwortlichen, für den du die Seite erstellst oder verwaltest, und in dessen Namen) an und stimmst zu, dass diese Seiten-Insights-Ergänzung bezüglich des Verantwortlichen (‚Seiten-Insights-Ergänzung‘) gilt:
- … Du stimmst zu, dass nur Facebook Ireland Entscheidungen hinsichtlich der Verarbeitung von Insights-Daten treffen und umsetzen kann. Facebook Ireland entscheidet nach seinem alleinigen Ermessen, wie es seine Pflichten gemäß dieser Seiten-Insights-Ergänzung erfüllt…
- Facebook Ireland bleibt alleinig verantwortlich für die Verarbeitung solcher personenbezogenen Daten im Zusammenhang mit Seiten-Insights, die nicht unter diese Seiten-Insights-Ergänzung fallen. Diese Seiten-Insights-Ergänzung gewährt dir kein Recht, die Offenlegung von im Zusammenhang mit Facebook-Produkten verarbeiteten personenbezogenen Daten von Facebook-Nutzern zu verlangen, einschließlich für Seiten-Insights, welche wir dir bereitstellen.
- Wenn eine betroffene Person oder eine Aufsichtsbehörde gemäß DSGVO hinsichtlich der Verarbeitung von Insights-Daten und der von Facebook Ireland im Rahmen dieser Seiten-Insights-Ergänzung übernommenen Pflichten Kontakt mit dir aufnimmt (jeweils eine „Anfrage“), bist du verpflichtet, uns unverzüglich, jedoch spätestens innerhalb von 7 Kalendertagen sämtliche relevanten Informationen weiterzuleiten. Zu diesem Zweck kannst du dieses Formular einreichen. Facebook Ireland wird Anfragen im Einklang mit den uns gemäß dieser Seiten-Insights-Ergänzung obliegenden Pflichten beantworten. Du stimmst zu, zeitnah sämtliche angemessenen Anstrengungen zu unternehmen, um mit uns an der Beantwortung jedweder derartigen Anfrage zusammenzuarbeiten. Du bist nicht berechtigt, im Namen von Facebook Ireland zu handeln oder zu antworten…‘
Ich möchte Sie bitten zu prüfen, ob der Betrieb der Facebook-Fanpage @umwelthessen den o. g. Urteilen des EuGH und des BVerwG entspricht und mir nach Abschluss Ihrer Prüfungen eine Stellungnahme zukommen zu lassen.“