Twitter-Aus für Unternehmen und Behörden?

​veröffentlicht am 7. Februar 2020 | Lesedauer: ca. 3 Minuten
 

Der Baden-Württembergische Landesdatenschutzbeauftragte hat in den vergangenen Tagen für Diskussionen im Zusammenhang mit der Nutzung sozialer Medien im Internet gesorgt. Als einzige der insgesamt 18 staatlichen deutschen Daten­schutz­aufsichts­behörden betrieb seine Behörde seit 2017 in dem Kurz­nachrichten­dienst Twitter einen eigenen Account. Ende Dezember 2019 kündigte der Landes­daten­schutz­beauftragte an, den Account zum 31. Januar 2020 zu löschen. Hierzu sah er sich durch die Recht­sprechung des Europäischen Gerichtshofes (EuGH) sowie die Anfang Dezember 2019 begründete Entscheidung des Bundes­verwaltungs­gerichts (BVerwG) zu „Facebook Fanpages“ veranlasst. Damit stellt sich die Frage, ob Twitter-Accounts von Unternehmen und Behörden datenschutz­konform betrieben werden können.
 

Der EuGH hatte bereits 2018 entschieden, dass Inhaber einer Facebook Fanpage gemeinsam mit Facebook verantwortlich für die Verarbeitung personenbezogener Daten der Besucher dieser Fanpage sind. Gemeinsam verantwortlich für die Verarbeitung personenbezogener Daten ist, wer allein oder mit anderen über die Zwecke und Mittel dieser Verarbeitung bestimmt. Hierzu hatte der EuGH ausdrücklich festgehalten, dass die „bloße … Nutzung eines sozialen Netzwerks wie Facebook für sich genommen einen Facebook-Nutzer nicht für die von diesem Netzwerk vorgenommene Verarbeitung personenbezogener Daten mitverantwortlich macht.“ Dennoch verwies der Gerichtshof darauf, „dass der Betreiber einer auf Facebook unterhaltenen Fanpage mit der Einrichtung einer solchen Seite Facebook die Möglichkeit gibt, auf dem Computer oder jedem anderen Gerät der Person, die seine Fanpage besucht hat, Cookies zu platzieren, unabhängig davon, ob diese Person über ein Facebook-Konto verfügt.“ Damit leistet der Betreiber einer Fanpage jedenfalls (irgend)einer Verarbeitung der Besucherdaten durch Facebook Vorschub. Zudem – so führt der EuGH weiter aus – könne der Betreiber einer Fanpage durch eine (nicht näher beschriebene) Parametrisierung die Kriterien für die ihm von Facebook zur Verfügung gestellten Statistiken seiner Besucher beeinflussen. Jedenfalls durch die Möglichkeit zur Parametrisierung (der Analysefunktion) sei der Fanpagebetreiber nach Auffassung des EuGH an der Entscheidung über die Zwecke und Mittel der Verarbeitung der personenbezogenen Daten der Besucher seiner Fanpage beteiligt und damit zusammen mit Facebook gemeinsamer Verantwortlicher.
 

Nach Art. 26 DSGVO trifft gemeinsam Verantwortliche insbesondere die Verpflichtung, untereinander die jeweiligen Verantwortlichkeiten zur Erfüllung der datenschutzrechtlichen Pflichten transparent festzulegen und dabei die jeweiligen Funktionen und Beziehungen gegenüber den Betroffenen wiederzugeben. Die betroffene Person kann ihre Rechte beispielsweise auf Auskunft gegen jeden Einzelnen der gemeinsam Verantwortlichen geltend machen, sodass es sinnvoll ist, im Innenverhältnis der Verantwortlichen einzelne Zuständigkeiten zuzuweisen. Nach Aussagen des Landesdatenschutzbeauftragten von Baden-Württemberg waren Versuche wohl zum Abschluss entsprechender Vereinbarungen mit Twitter erfolglos, sodass die Datenschutzaufsichtsbehörde datenschutzrechtlich nur die Möglichkeit gesehen hat, den eigenen Twitter-Account stillzulegen und schließlich zu löschen.
 

Dabei ist bereits fraglich, ob Nutzer eines Twitter-Accounts überhaupt mit Twitter gemeinsam Verantwortliche sind. Jedenfalls ließ es der EuGH in der Fanpages-Entscheidung nicht alleine genügen, dass der Betreiber einer Fanpage es Facebook ermöglichte, Cookies auf den Computern oder anderen Geräten der Besucher dieser Fanpage zu setzen. Vielmehr führten erst weiterere Einstellmöglichkeiten der Account-Betreiber bei der Auswertung der Besucher des jeweiligen Accounts dazu, dass der EuGH die gemeinsame Verantwortung bejahte. Damit könnten Betreiber von Accounts bei Social-Media-Diensten wie Twitter jedenfalls eine solche fehlende (oder nicht eingestellte) Analysemöglichkeit anführen, um den Folgen einer gemeinsamen Verantwortung mit dem Social-Media-Dienst zu entgehen.
 

Ein weiteres Indiz für die Möglichkeit rechtskonformer Nutzungsmöglichkeiten bieten derzeit schließlich die europäischen Aufsichtsbehörden und Gerichte selbst, da diese Twitter ebenfalls nutzen (beispielsweise @EUCourtPress für den Gerichtshof der Europäischen Union, @CNIL und @CNIL_en für die französische Datenschutzaufsichtsbehörde sowie @EU_EDPB für den Europäischen Datenschutzausschuss).
 

Damit bleibt das Thema der datenschutzkonformen Twitter-Nutzung durch Unternehmen und Behörden und dessen Bewertung durch Aufsichtsbehörden und Gerichte jedenfalls in Deutschland weiter zu beobachten.