Facebook-Like-Button: OLG Düsseldorf legt Fragen dem EUGH vor

Die Einbindung des sog. „Like-Buttons“ von Facebook wird von Datenschützern überaus kritisch beäugt. In diesem Sinne hatte das LG Düsseldorf im März vergangenen Jahres entschieden, durch die Einbindung verstoße ein Webseitenbetreiber gegen Datenschutzrecht. Er sei verantwortlich für die damit verbundene Bekanntgabe der IP-Adresse und des sog. Browser-Fingerprints an Facebook (LG Düsseldorf, Urteil vom 09.03.2016, Az. 12 O 151/15).

DIE VORLAGEFRAGEN DES OLG DÜSSELDORF
Das OLG Düsseldorf hat nun in der hiergegen geführten Berufung (Az. I-20 U 40/16) das Verfahren ausgesetzt und dem Europäischen Gerichtshof diverse Fragen zur Auslegung der dem deutschen Datenschutzrecht zugrunde liegenden Richtlinie 95/46/EG vorgelegt. Im Einzelnen möchte das OLG wissen:

Steht die Regelung in Artikeln 22, 23 und 24 der Richtlinie 95/46/EG zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr vom 24. Oktober 1995 (ABl. Nr. L 281/31 vom 31.11.1995) einer nationalen Regelung entgegen, die neben den Eingriffsbefugnissen der Datenschutzbehörden und den Rechtsbehelfsmöglichkeiten des Betroffenen gemeinnützigen Verbänden zur Wahrung der Interessen der Verbraucher die Befugnis einräumt, im Falle von Verletzungen gegen den Verletzer vorzugehen?
Ist in einem Fall wie dem vorliegenden, bei dem jemand einen Programmcode in seine Webseite einbindet, der den Browser des Benutzers veranlasst, Inhalte von einem Dritten anzufordern und hierzu personenbezogene Daten an Dritte zu übermitteln, der Einbindende „für die Verarbeitung Verantwortlicher“ im Sinne von Art. 2 der Richtlinie 95/46/EG zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr vom 24. Oktober 1995 (ABl. Nr. L 281/31 vom 31.11.1995), wenn er selber diesen Datenverarbeitungsvorgang nicht beeinflussen kann?
Falls die Frage 2 zu verneinen ist: Ist Art. 2 Buchstabe d) der Richtlinie 95/46/EG zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr dahingehend auszulegen, dass er die Haftung und Verantwortlichkeit in dem Sinne abschließend regelt, dass er einer zivilrechtlichen Inanspruchnahme eines Dritten entgegen steht, der zwar nicht „für die Verarbeitung Verantwortlicher“ ist, aber die Ursache für den Verarbeitungsvorgang setzt, ohne diesen zu beeinflussen?
Auf wessen „berechtigte Interessen“ ist in einer Konstellation wie der vorliegenden bei der nach Art. 7 Buchstabe f) der Richtlinie 95/46/EG vorzunehmenden Abwägung abzustellen? Auf das Interesse an der Einbindung von Drittinhalten oder auf das Interesse des Dritten?
Wem gegenüber muss die nach Art. 7 Buchstabe a) und Art. 2 Buchstabe h) der Richtlinie 95/46/EG zu erklärende Einwilligung in einer Konstellation wie der vorliegenden erfolgen?
Trifft die Informationspflicht des Art. 10 der Richtlinie 95/46/EG in einer Situation wie der vorliegenden auch den Betreiber der Webseite, der den Inhalt des Dritten eingebunden hat und so die Ursache für die Verarbeitung personenbezogener Daten durch den Dritten setzt?
WAS STECKT HINTER DEN FRAGEN?
Hintergrund der ersten Frage ist die Klagebefugnis des im Ausgangsverfahren klagenden Verbraucherverbandes, der sich sowohl auf § 3a UWG als auch auf § 2 Abs. 2 Nr. 11 UKlaG stützt. Die Frage wird sich unter Geltung der Datenschutz-Grundverordnung erledigen, weil Art. 80 Abs. 2 DS-GVO den Mitgliedsstaaten ab de. 25.05.2018 die Möglichkeit zur Einräumung einer solchen Klagebefugnis explizit einräumt.

Fragen 2 und 3 befassen sich mit der Frage der Verantwortlichkeit eines Seitenbetreibers, der einen Drittinhalt (z. B. ein Social-Plugin wie den „Like-Button“, die Frage ist aber von grundsätzlicher Bedeutung für die Einbindung jeglicher Drittinhalte wie z. B. Stadtplänen, Börsentickern, Video-Playern, Seitencountern etc.) einbindet: Ist dieser „verantwortliche Stelle“, obwohl er durch die Einbindung nicht selbst Daten des Seitennutzers an den Dritten übermittelt, sondern lediglich eine Übermittlung vom Browser des Nutzers an den Dritten mitverursacht? Oder kann zumindest eine „Störerhaftung“ begründet werden?

Frage 4 zielt sodann – losgelöst von der Frage, wer verantwortlich ist – auf die Rechtmäßigkeit der Einbindung. Hier macht das OLG zunächst deutlich, dass es über den Wortlaut des § 15 Abs. 1 S. 1 TMG hinaus eine Legitimation auch dann annehmen würde,  wenn die Verarbeitung zur Verwirklichung eines berechtigten Interesses erforderlich ist, sofern nicht das Interesse oder die Grundrechte und Grundfreiheiten der betroffenen Person überwiegen. Dies steht im Einklang mit der jüngsten EuGH-Rechtsprechung in der Rechtssache Breyer, in der der EuGH § 15 Abs. 1 S. 1 TMG als nicht richtlinienkonform bezeichnet hat, was eine europarechtskonforme Auslegung der Norm erfordert, in die die Voraussetzungen von Art. 7 Buchstabe f) der Datenschutzrichtlinie hineinzulesen sind. In der Tat stellt sich in einer Dreieckskonstellation wie der Vorliegenden dann die Frage, auf wessen berechtigte Interessen abgestellt werden muss, wobei die Beantwortung möglicherweise von der Frage abhängt, wer als „Verantwortlicher“ im Sinne von Frage 2 anzusehen ist.

In Frage 5 möchte das OLG wissen, wem gegenüber gegebenenfalls eine Einwilligung erklärt werden muss. Dahinter steht zum einen der Umstand, dass Facebook zumindest von seinen Nutzern Einwilligungserklärungen einholt. Zum anderen stellt sich – wie auch in Frage 6 – die Frage, ob der Webseitenbetreiber, der den „Like-Button“ oder einen anderen Drittinhalt einbindet, überhaupt die Möglichkeit hat, den Nutzer – sei es im Rahmen der „Datenschutzerklärung“, sei es im Rahmen einer Einwilligung – über die Datenverarbeitung hinreichend konkret zu informieren.

DISCLAIMER
Der Autor vertritt im vorliegenden Verfahren die Beklagte und Berufungsführerin.

VORLAGEBESCHLUSS ZUM DOWNLOAD UND STELLUNGNAHMEN
Hier der vollständige Vorlagebeschluss vom 19.01.2017 zum Download (NB: Mit Klick auf den Link werden Sie auf die Internetseite des Verbraucherzentrale NRW e.V. weitergeleitet). Eine erste Besprechung findet sich bei Carlo Piltz auf seinem Blog De Lege Data.