Ich hatte den Blogeintrag zur rechtswidrigen Nutzung von Facebook-Fanpages (nach Art 26 DSGVO, Gemeinsame Verantwortliche) schon fast fertig und wollte ihn gestern Abend veröffentlichen. Aber im Laufe des gestrigen Tages wurde dieser Eintrag durch neue Ereignisse hinfällig.
Zum Hintergrund: Die Datenschutzkonferenz (DSK), dem Gremium der unabhängigen deutschen Datenschutzaufsichtsbehörden des Bundes und der Länder, hatte am 5.9.2018 festgestellt, dass Facebook-Fanpages nicht DSGVO-konform wären.
Am 11.9.2018 hat Facebook nun die relevanten Vertragsdokumente veröffentlicht und stellt diese Seitenbetreibern zur Verfügung, wodurch die Verantwortlichkeiten und datenschutzrechtlichen Pflichten geregelt werden.
Facebook übernimmt hiermit die Verantwortung für die Facebook Insights-Daten und kommt auch den Auskunftspflichten nach Art 12 und 13 DSGVO sowie den Betroffenenrechten (Art 15 – 22 DSGVO) nach. Des Weiteren wird die Datensicherheit nach Art 32 -34 DSGVO geregelt.
Trotzdem gibt es noch einige Pflichten, die ein Facebook Fanseitenbetreiber selbst übernehmen muss. Hierbei handelt es sich z. B. um die selbständige Definition der Rechtsgrundlage (meistens Interessenabwägung nach Art. 6 Abs 1 lit. f) DSGVO), und die Weiterleitung von Benutzeranfragen an Facebook. Der Verweis auf die eigene Datenschutzerklärung wird also weiterhin empfohlen.
Eine ausführlich Schritt-für-Schritt-Anleitung zur Umsetzung gibt es auf der Seite von Dr. Thomas Schwenke: https://drschwenke.de/anleitung-facebook-datenschutz-page-controller-addendum/
Die passende Antwort auf nahezu alle DSGVO-Fragestellungen ist mal wieder die GM-Methode, also die Umsetzung mit gesundem Menschenverstand!
Dazu passend habe ich auf Twitter folgendes Zitat vom LfDI Baden-Württemberg gefunden:
„Wo immer derzeit Auslegungszweifel zur #DSGVO bestehen, sollten die Verantwortlichen weniger auf die Aufsichtsbehörden starren, sondern selbst vernünftige und praktikable Ergebnisse vorschlagen und umsetzen. Wenn diese vertretbar sind, werden sich die AB nicht einmischen.“
#DSGVO #GDPR
