Facebook-Fanpages: Neue Weichenstellungen durch das VG Köln

Das VG Köln hat mit Urteil vom 17.7.2025 (Az. 13 K 1419/23) die datenschutzrechtliche Verfügung gegen den Betrieb der Facebook-Fanpage der Bundesregierung aufgehoben. Die Entscheidung enthält Ausführungen zu zwei zentralen Fragen: Wer ist Verpflichteter nach dem TTDSG (heute: TDDDG)? Und besteht beim Betrieb einer Facebook-Fanpage weiterhin eine gemeinsame datenschutzrechtliche Verantwortlichkeit mit Meta? Beide Themen sind für Unternehmen und Behörden mit Social-Media-Präsenz von praktischer Bedeutung.

Der Verpflichtete nach TDDDG als eigenständige Kategorie

Das VG Köln bestimmt den Adressaten des Einwilligungserfordernisses nach § 25 Abs. 1 S. 1 TTDSG (heute: § 25 Abs. 1 S. 1 TDDDG) eigenständig und ohne Rückgriff auf den datenschutzrechtlichen Verantwortlichkeitsbegriff der DSGVO. Das Urteil ist noch zum zuvor geltenden TTDSG ergangen, ist aber auch für das TDDDG relevant, da die Norm wortgleich ins TDDDG übernommen worden ist.

§ 25 Abs. 1 S. 1 TDDDG regelt die Einholung der Einwilligung für nicht technisch notwendige Cookies. Diese Einwilligung bezieht sich allein auf den Fernzugriff auf ein Endgerät durch beispielsweise das Speichern oder Auslesen eines Cookies. Die Einwilligung in eine zusätzlich erfolgende Datenverarbeitung richtet sich nach der DSGVO. Das Gericht stellt klar: Zwar gelten die Begriffsbestimmungen der DSGVO gemäß § 2 Abs. 1 TTDSG (heute: TDDDG) grundsätzlich auch für das TTDSG, ein Rekurs sei jedoch nur geboten, soweit das TTDSG seinerseits Termini verwende, die in der DSGVO definiert werden. Da § 25 Abs. 1 S. 1 TTDSG gerade nicht an die Rolle des Verantwortlichen anknüpfe, sei ein Rückgriff auf Art. 4 Nr. 7 DSGVO nicht veranlasst.

Stattdessen bestimmt das Gericht den Adressaten anhand eines eigenständigen, gefahrenabwehrrechtlich geprägten Maßstabs: Verpflichtet ist jede natürliche oder juristische Person, die kausal die Ausführung des Quelltexts veranlasst, der die Informationen speichert oder ausliest, und der die Realisierung der sog. Distanzgefahr durch den Fernzugriff zuzurechnen ist. Reine Kausalität für das Setzen oder Auslesen des Cookies reicht nicht aus. Das Gericht verlangt eine Beherrschung des Fernzugriffs auf die Cookies.

Betreiber einer Facebook-Fanpage haben danach keinen ausreichenden Einfluss auf das Setzen der Cookies. Die Cookies werden gesetzt oder ausgelesen, sobald der Nutzer mit der Facebookseite oder einer externen Internetseite agiert. Hierzu braucht es keine Interaktion mit einer konkreten Facebookseite und damit auch nicht der des Fanpage-Betreibers. Dem Betreiber einer Fanpage ist die Speicherung oder Auslesung eines Cookies nicht zuzurechnen.

Gemeinsame Verantwortlichkeit bei Facebook-Fanpages: Neue Zweifel nach dem Urteil

Bei der Prüfung der gemeinsamen Verantwortlichkeit hinsichtlich der Datenverarbeitung gemäß Art. 4 Nr. 7, Art. 26 Abs. 1 S. 1 DSGVO betont das VG Köln zunächst, dass diese eine gemeinsame Festlegung von sowohl Zwecken als auch Mitteln der Datenverarbeitung voraussetzt. Zudem genüge die bloße Mitursächlichkeit des Verhaltens einer Person für eine Datenverarbeitung nicht, um eine gemeinsame Mittelfestlegung zu begründen.

Für die Beurteilung der gemeinsamen Mittelfestlegung ist die Abgrenzung zum EuGH-Urteil Wirtschaftsakademie (Rs. C-210/16) entscheidend. Der EuGH hatte seinerzeit die gemeinsame Verantwortlichkeit eines Fanpage-Betreibers bejaht und maßgeblich darauf abgestellt, dass der Betreiber „durch die von ihm vorgenommene Parametrierung“ an der Entscheidung über die Mittel der Verarbeitung beteiligt sei.

Genau diese Parametrierungsmöglichkeiten existieren bei Facebook-Fanpages jedoch nicht mehr: Die Funktion „Bevorzugte Seitenzielgruppe“ wurde bereits 2017 eingestellt, und Insights werden den Fanpage-Betreibern nur noch statisch zur Verfügung gestellt. Der Betreiber kann die Statistiken nicht mehr an seine Interessen anpassen.

Im konkreten Fall lag zudem der Sonderfall vor, dass Meta auf Wunsch des Bundespresseamts die Seiten-Insights-Funktion vollständig deaktiviert hatte. Das Gericht musste daher nicht abschließend entscheiden, ob durch die statischen Statistiken eine ausreichende Mitbestimmung hinsichtlich der Mittel der Verarbeitung begründet werden kann, äußerte hieran jedoch erhebliche Zweifel.

Praktische Konsequenzen

Das Urteil zeigt, dass die Einflussmöglichkeiten des Seitenbetreibers auf die Datenverarbeitung der Plattform je nach Social-Media-Plattform individuell geprüft werden müssen. Sofern eine gemeinsame Verantwortlichkeit mangels Parametrierungsmöglichkeiten oder vergleichbarer Einflussmöglichkeiten zu verneinen ist, entfällt auch die Pflicht zum Abschluss einer Vereinbarung nach Art. 26 Abs. 1 S. 2 DSGVO, mit der Folge, dass sich der erforderliche Informationsumfang in Datenschutzerklärungen zu Social-Media-Seiten und Pflichten der Betreiber der Seiten entsprechend reduzieren kann.

Höhere Instanzen könnten allerdings eine andere Einschätzung vertreten, sodass die Rechtsprechung weiterhin zu beobachten ist.