Facebook

Verarbeitung von Nutzerdaten für KI-Training: OLG Köln weist Verfügungsantrag gegen Meta-Tochter ab

Wolfgang Riegger

Nachdem Meta im April 2025 ankündigte, öffentlich zugängliche Inhalte von Facebook- und Instagram-Nutzern für das Training eines KI-Modells verwenden zu wollen, wurde dies bereits breit diskutiert. Nun liegt die vollständige Entscheidung des OLG Köln vor.

Ein Verbraucherschutzverband beantragte im Eilverfahren:

  1. Untersagung des KI-Trainings mit öffentlich zugänglichen personenbezogenen Daten aus Facebook und Instagram – gestützt auf berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).
  2. Hilfsweise Verbot der Zusammenführung solcher Daten aus beiden Diensten ohne Einwilligung – gemäß Art. 5 Abs. 2 DMA.

Der „Digital Markets Act“ (DMA) ist eine EU-Verordnung, die faire Wettbewerbsbedingungen auf digitalen Plattformmärkten schaffen soll. Sie richtet sich an besonders mächtige Internetunternehmen (sog. „Torwächter“) und legt ihnen spezifische Verhaltenspflichten auf. Unter anderem verbietet der DMA das Zusammenführen personenbezogener Daten aus verschiedenen Plattformdiensten, wenn keine wirksame Einwilligung der Nutzer vorliegt.

OLG Köln: Gesamtabweisung der Anträge

Das Gericht lehnte beide Anträge ab:

  • Kein DMA-Verstoß: Eine rein unspezifische Einbindung in einen KI-Datensatz stellt keine „gezielte Zusammenführung“ im Sinne des DMA dar.
  • DSGVO – berechtigtes Interesse bejaht: Meta verfolge legitime Zwecke beim KI-Training; die Mittel seien angemessen und keine mildere Alternative gegeben.
  • Transparenz & Opt-out: Ab 26. Juni 2024 sei die Nutzung öffentlich bewusst erfolgt und Nutzer konnten per Widerspruch oder Profiländerung aktiv intervenieren.

Gerichtliche Schwerpunktsetzung

  • Sensible Daten: Selbst sensible Infos aus öffentlichen Beiträgen könne nach Art. 9 Abs. 2 lit. e DSGVO zulässig sein – sofern solche Daten aktiv veröffentlicht wurden.
  • Rolle der Aufsichtsbehörden: Im Verfahren wurden die irische Datenschutzaufsicht, der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit sowie der Europäische Datenschutzausschuss angehört. Keine dieser Behörden hatte Einwände gegen das aktualisierte Konzept von Meta.

Bewertung für Unternehmer & Plattformbetreiber

  • Leitlinie für KI-Projekte: Öffentlich zugängliche Inhalte dürfen – unter Bedingungen – auch ohne Einwilligung genutzt werden.
  • Erforderliche Voraussetzungen: Vollständige Transparenz, leicht umsetzbares Opt-out, technische Maßnahmen zur De-Identifikation.
  • Rechtliche Grenzen: Das Urteil ist einstweilig; im Hauptsacheverfahren könnten strengere Anforderungen folgen, besonders bei sensiblen Informationen oder Profilbildung.
  • DMA bleibt im Fokus: Höhere instanzliche Klärung nötig, wenn Gerätearten aus verschiedenen Plattformen individuell personalisiert zusammengeführt werden.

Fazit

Das OLG Köln stärkt temporär die Position von KI-Anbietern, indem es öffentlich verwendete Nutzer-Daten unter klaren Bedingungen erlaubt. Dennoch bleibt Wachsamkeit geboten: Hauptsacheverfahren, künftige Gesetzgebung (s. AI-VO) und mögliche Entwicklungen in Bezug auf sensible Daten oder Profiling können die Rechtslage erneut verschärfen. Dieses Urteil liefert einen plausiblen Rahmen – aber keine umfassende Legalisierung.

Es ist zudem wichtig zu beachten, dass sich das Gericht in dieser Entscheidung ausschließlich mit datenschutzrechtlichen und DMA-rechtlichen Fragen befasst hat. Urheberrechtliche Aspekte – etwa ob die Verwendung von Fotos, Texten oder Videos für KI-Training zulässig ist – waren nicht Gegenstand der Entscheidung und bleiben daher unbeantwortet. Das OLG Köln stärkt temporär die Position von KI-Anbietern, indem es öffentlich verwendete Nutzer-Daten unter klaren Bedingungen erlaubt. Dennoch bleibt Wachsamkeit geboten: Hauptsacheverfahren, künftige Gesetzgebung (s. AI-VO) und mögliche Entwicklungen in Bezug auf sensible Daten oder Profiling können die Rechtslage erneut verschärfen. Dieses Urteil liefert einen plausiblen Rahmen – aber keine umfassende Legalisierung.

OLG Frankfurt: Plattformen müssen sinngleiche Deepfake-Inhalte eigenständig entfernen

Wolfgang Riegger

Der bekannte Arzt und Fernsehmoderator Eckart von Hirschhausen sah sich durch Deepfake-Videos auf der Social-Media-Plattform Facebook in seinem Persönlichkeitsrecht verletzt. In den Videos wurde unter Verwendung seines Namens, Bildnisses und einer nachgeahmten Stimme der Eindruck erweckt, er bewerbe Produkte zur Gewichtsabnahme. Nachdem Meta, der Betreiber von Facebook, ein erstes Video nach Hinweis entfernte, blieb ein weiteres, nahezu identisches Video zunächst online. Von Hirschhausen beantragte daraufhin im Wege der einstweiligen Verfügung die Unterlassung der Verbreitung solcher Inhalte.

Die Anträge und die Entscheidung des Gerichts

Der Antragsteller begehrte die Unterlassung der Verbreitung sämtlicher Inhalte, in denen unter Verwendung seines Namens, Bildnisses und seiner Stimme der Eindruck erweckt werde, er bewerbe Mittel zur Gewichtsabnahme.

Das OLG Frankfurt, Beschluss vom 4. März 2025, Az. 16 W 10/25, gab dem Antrag teilweise statt:

Untersagt wurde die Verbreitung eines konkreten Videos (Video 2), das rechtswidrig den Eindruck vermittelte, der Antragsteller werbe für Diätprodukte – unter Verwendung seines Namens, Bildnisses und seiner Stimme.

Nicht untersagt wurde die Verbreitung eines weiteren Videos (Video 1), da es sich nicht um einen sinngleichen Inhalt im Verhältnis zu früher beanstandeten Beiträgen handelte.

Abgewiesen wurde der Antrag insoweit, als der Eindruck nur durch einzelne der genannten Merkmale (etwa nur Bild oder Stimme) erweckt wurde. Das Gericht argumentierte, dass solche Fälle für den durchschnittlichen Nutzer als Deepfake erkennbar sein könnten.

Wesentliche rechtliche Erwägungen

Das OLG Frankfurt stellte klar, dass Hostprovider wie Meta nach einem konkreten Hinweis auf einen rechtsverletzenden Inhalt verpflichtet sind, nicht nur diesen zu entfernen, sondern auch eigenständig nach sinngleichen Inhalten zu suchen und diese zu sperren. Sinngleiche Inhalte sind solche, die trotz abweichender äußerlicher Gestaltung (z. B. andere Auflösung, Farbfilter, Zuschnitt, typografische Anpassungen oder zusätzliche Bildunterschriften) im Aussagegehalt identisch bleiben.

Das Gericht betonte, dass es Meta technisch möglich und zumutbar sei, solche Inhalte zu identifizieren, insbesondere unter Einsatz von KI. Die Prüfpflicht besteht auch in Bezug auf sinngleiche Inhalte, sobald ein rechtswidriger Ausgangsinhalt mitgeteilt wurde – eine Weiterentwicklung der sogenannten „Kerntheorie“.

Bedeutung der Entscheidung

Mit diesem Beschluss führt das OLG Frankfurt seine Linie aus der „Künast-Meme“-Entscheidung konsequent fort. Die Entscheidung zeigt: Plattformen müssen nicht nur auf konkrete Hinweise reagieren, sondern auch eigenständig tätig werden, wenn Inhalte in Wort und Bild nahezu identisch sind und denselben rechtsverletzenden Eindruck vermitteln.

Marktmissbrauch durch grundlose Seitensperre: OLG Düsseldorf stärkt Rechte von Kulturverein gegenüber Social-Media-Plattform

Wolfgang Riegger

Das Oberlandesgericht (OLG) Düsseldorf hat in einem bemerkenswerten Urteil entschieden, dass die Sperrung der Facebook-Seite der Filmwerkstatt Düsseldorf durch Meta ohne vorherige Anhörung und ohne nachvollziehbare Begründung einen Missbrauch einer marktbeherrschenden Stellung darstellt und somit gegen das deutsche Kartellrecht verstößt.

Hintergrund des Falls:

Im Dezember 2021 wurde die Facebook-Seite der Filmwerkstatt Düsseldorf, eines gemeinnützigen Kulturvereins, von Meta ohne Vorwarnung und ohne Angabe konkreter Gründe gesperrt. Die Sperrung erfolgte mutmaßlich aufgrund eines Bildes aus dem Film „Der Schamane und die Schlange“, das indigene Personen im Lendenschurz zeigt. Dieses Bild könnte von automatisierten Systemen fälschlicherweise als Verstoß gegen die Gemeinschaftsstandards von Facebook bewertet worden sein.

Trotz mehrfacher Versuche des Vereins, eine Begründung für die Sperrung zu erhalten oder eine Überprüfung zu veranlassen, blieb Meta untätig. Erst im Mai 2023 wurde die Seite ohne weitere Erläuterung wieder freigeschaltet.

Entscheidung des Gerichts:

Das OLG Düsseldorf bestätigte die Entscheidung des Landgerichts Düsseldorf und verurteilte Meta zur Unterlassung solcher Sperren in der beanstandeten Form.

Die Richter stellten fest, dass Meta mit der Sperrung ohne vorherige Information und Anhörung gegen § 19 Abs. 2 Nr. 1 GWB verstoßen hat. Meta habe damit seine marktbeherrschende Stellung auf dem Markt missbraucht und den Verein unzulässig behindert.

Zudem erkannte das Gericht einen Eingriff in die Grundrechte des Vereins, insbesondere in die Kunstfreiheit gemäß Art. 5 GG.

Besondere Aspekte der Entscheidung:

  • Marktbeherrschende Stellung von Meta: Das Gericht bestätigte, dass Meta auf dem relevanten Markt eine marktbeherrschende Stellung innehat und daher besonderen kartellrechtlichen Verpflichtungen unterliegt.
  • Unzulässigkeit der Gerichtsstandklausel: Meta berief sich auf eine Klausel in den Nutzungsbedingungen, wonach Rechtsstreitigkeiten in Irland auszutragen seien. Das OLG Düsseldorf wies dieses Argument zurück und erklärte, dass kartellrechtliche Ansprüche nicht durch solche Klauseln ausgeschlossen werden können.
  • Verweis auf BGH-Rechtsprechung: Das OLG bezog sich auf die Rechtsprechung des Bundesgerichtshofs zur Sperrung von Nutzerkonten auf Plattformen und betonte, dass auch private Plattformen Grundrechte beachten müssen.

Fazit:

Diese Entscheidung ist besonders relevant für Unternehmen, Vereine und Organisationen, die soziale Netzwerke geschäftlich nutzen. Sie zeigt, dass Plattformbetreiber nicht nach Belieben Seiten sperren dürfen, insbesondere wenn sie auf dem relevanten Markt keine echte Konkurrenz haben. Wer geschäftlich auf Social Media angewiesen ist, hat unter bestimmten Voraussetzungen einen kartellrechtlichen Anspruch auf fairen Zugang – und kann sich gegen willkürliche Sperrungen wehren.

Empfehlung für Unternehmer:

Unternehmen und Organisationen, die auf soziale Netzwerke angewiesen sind, sollten:

  • Sicherstellen, dass sie über alternative Kommunikationskanäle verfügen, um im Falle einer Sperrung handlungsfähig zu bleiben.
  • Dokumentieren, wenn ihnen der Zugang zu sozialen Netzwerken grundlos oder ohne Anhörung verwehrt wird.
  • Frühzeitig rechtlichen Rat einholen, um mögliche kartellrechtliche Ansprüche zu prüfen und durchzusetzen.

Das Urteil des OLG Düsseldorf setzt ein klares Zeichen gegen die willkürliche Sperrung von Nutzerkonten durch marktbeherrschende Plattformen und stärkt die Rechte der Nutzer im digitalen Raum.

Gericht: Oberlandesgericht Düsseldorf
Datum: 2. April 2025
Aktenzeichen: VI-U (Kart) 5/24
Zitierung: REWIS RS 2025, 2746

„Gekaufte Likes“ auf Facebook sind irreführend

Wolfgang Riegger

Das Landgericht Bonn musste in einem Verfahren darüber entscheiden, ob eine Werbeaktion einer Apotheke wettbewerbswidrig ist, weil diese u.a. einen (wenn auch nur geringen) wirtschaftlichen Vorteil dafür versprach, dass ein Kunde die Facebook-Seite der Apotheke „liked“ (LG Bonn, Urteil vom 04.12.2020, Az.: 14 O 82/19). Das Landgericht war der Meinung, dass es sich bei dieser Aktion um eine Werbung mit „bezahlten Empfehlungen Dritter“ handelt, die dann irreführend und damit unlauter sei, wenn dieser Umstand – also das „Bezahlen für den Like – nicht offengelegt werde. Einem „Like“ auf Facebook wohne nämlich eine positive Bewertung inne, auch wenn diese nicht mit einem Text verbunden sei, so dass sich die Zahl der „Likes“ positiv bei den Usern widerspiegle und daher mittelbar auch auf eine Kundenzufriedenheit schließen lasse. Selbst wenn der gewährte Vorteil nur sehr geringwertig sei, sei dies eine Gegenleistung, weshalb die Werbeaktion als irreführend und unlauter eingestuft wurde.

Vorgaben für die Gestaltung von Cookie-Einwilligungen

Wolfgang Riegger

Soweit ersichtlich, hat das Landgericht Rostock mit Urteil vom 15.09.2020, Az.: 3 O 762/19, erstmals detailliert dazu Stellung genommen, wie eine Einwilligung für das Setzen von Tracking-/Marketing-Cookies zu gestalten ist.

Liest man sich die Entscheidungsgründe des Urteils durch, so zeigt sich, dass danach zahlreiche derzeit verwendete Cookie-Einwilligungserklärungen unwirksam sein dürften.

Zunächst geht das Landgericht auf die häufig zu sehende Gestaltung ein, wonach im Rahmen der Einwilligungserklärung das Häkchen für den Nutzer mit dem Text „Alle Cookies ausgewählt“ bereits gesetzt ist und der Nutzer, wenn er nicht in alle Cookies einwilligen will, aktiv das Häkchen wegklicken muss. Hier zieht das Landgericht eine Parallele zur Rechtsprechung des BGH zur rechtswirksamen Einwilligung in den Erhalt von E-Mail-Werbung wie z.B. Newsletter. Danach sind sog. Opt-Out-Lösungen unzulässig. Eine wirksame Einwilligung setzt also grundsätzlich voraus, dass der Nutzer aktiv das Häkchen selbst setzen muss.

Im Folgenden ist das Landgericht der Auffassung, dass die Gestaltung der Einwilligung mittels einer grünen Schaltfläche „Alle Cookies zulassen“ dann problematisch ist, wenn zugleich keine Schaltfläche z.B. mit dem Hinweis „Nur notwendige Cookies zulassen“ existiert. Auch hier bezieht sich das Landgericht auf die Grundsätze des BGH zur rechtswirksamen Einwilligungserklärung in den Erhalt von Werbung per E-Mail.

Sofern sich diese strenge Auffassung des Landgerichts durchsetzt – dafür spricht durchaus Einiges – müssten Cookie-Banner künftig vermutlich so gestaltet werden, dass der Nutzer selbst anklicken muss, ob er nur technisch notwendige Cookies oder auch Marketing/Tracking-Cookies akzeptieren möchte, wobei die Gestaltung der beiden Erklärungen neutral gehalten sein müsste. Bereits die unterschiedlich farbliche Gestaltung in z.B. „grün“ für alle Cookies und „rot“ für die notwendigen Cookies wäre damit problematisch.

Auch in einem weiteren, im Gerichtsverfahren streitigen Punkt vertrat das Landgericht eine strenge Auffassung.

Es ging noch um die Frage, ob derjenige, der auf seiner Webseite Social-Media- und Analyse-Tools einsetzt, hier im speziellen Google Analytics, jedenfalls in seiner Datenschutzerklärung darüber belehren muss, dass zwischen dem Webseitenbetreiber und z.B. Google eine sog. gemeinsame Verantwortlichkeit nach Art. 26 DSGVO vorliegt. In dem beim Landgericht Rostock anhängigen Fall stellte sich der beklagte Webseitenbetreiber auf den Standpunkt, dass Google lediglich als Auftragsverarbeiter tätig sei.

Ähnlich wie bereits der Europäische Gerichtshof (EuGH), der entschieden hatte, dass derjenige, der auf Facebook eine Seite betreibt, gemeinsam mit Facebook datenschutzrechtlich verantwortlich ist, soll dies nach Auffassung des Landgerichts Rostock auch bei Einsatz von Google Analytics so sein. Denn beim Einsatz von Google Analytics bestimme der Webseitenbetreiber nicht allein über die Zwecke und Mittel der Datenverarbeitung. Demzufolge sei es auch nicht ausreichend, dass der Webseitenbetreiber mit Google Analytics den von Google selbst angebotenen Auftragsverarbeitungsvertrag abschließe. Vielmehr handelt es sich eben bei Google nicht um einen Auftragsverarbeiter, weil eine gemeinsame Verantwortlichkeit bestehe. Diese gemeinsame Verantwortlichkeit müsse auch vertraglich geregelt werden.

Das bedeutet:

Ähnlich wie das Betreiben einer Facebook-Seite dürfte nun sowohl der Einsatz von Tracking- und Marketing-Cookies, insbesondere der Einsatz von Google Analytics, datenschutzrechtlich problematisch werden. Dabei bleibt zu hoffen, dass Google in nicht allzu ferner Zukunft ein Vertragsmuster für die gemeinsame Verantwortlichkeit zur Verfügung stellt.

Vorübergehende Sperrung eines Facebook-Accounts wegen „Hassrede“ rechtmäßig

Wolfgang Riegger

Das OLG Dresden musste über die Rechtsmäßigkeit einer zwischenzeitlichen Sperrung eines Facebook-Accounts durch Facebook entscheiden. Facebook sperrte den Account des Klägers für 30 Tage, weil dieser lt. Facebook gegen die „Gemeinschaftsstandards“ von Facebook verstoßen habe, weil der Tatbestand der „Hassrede“ erfüllt sei.

Der Kläger hatte über seinen Facebook-Account Folgendes gepostet:

„Wo lebst denn Du, von den 1.300 Kinderehen, Morden, Ehrenmorden, Vergewaltigungen von Goldstücken, Kinderarmut und Altersarmut hast Du noch nichts mitbekommen?“

Facebook entfernte das Posting und sperrte den Kläger für 30 Tage.

Dagegen wehrte sich der Kläger zunächst vor dem Landgericht Chemnitz. Das Landgericht war der Meinung, dass die Sperrung des Facebook-Accounts rechtmäßig sei, weil in den sog. Gemeinschaftsstandards von Facebook festgelegt sei, dass eine Sperrung erfolgen könne, wenn eine sog. Hassrede vorläge und dieser Tatbestand hier erfüllt sei. Der Kläger wollte dies nicht akzeptieren und wehrte sich mit der Berufung gegen das Urteil zum OLG Dresden.  

In einem Hinweisbeschluss vom 19.11.2019, Az.: 4 U 1471/19, ist das Oberlandesgericht der Auffassung, dass die Berufung des Klägers offensichtlich unbegründet ist, also die Sperrung des Accounts rechtmäßig erfolgte.

Zunächst ging es um die Frage, ob die sog. Gemeinschaftsstandards von Facebook überhaupt wirksam in den Vertrag einbezogen worden sind. Da der Kläger die Nutzungsbedingungen und auch eine spätere Änderung der Nutzungsbedingungen durch Anklicken eines sog. Pop-Up-Fensters zustimmte, sah das Oberlandesgericht die Einbeziehung der Nutzungsbedingungen als wirksam an.

Das Gericht ist dann der Auffassung, dass die Klausel in den Nutzungsbedingungen, wonach ein Facebook-Account zeitweise gesperrt werden kann, wenn gegen die Gemeinschaftsstandards verstoßen wird, insbesondere eine sog. Hassrede vorliegt, wirksam ist.

Eine solche Klausel sei weder überraschend noch benachteilige sie den Nutzer unangemessen. Zudem sei die Definition der „Hassrede“ in den Gemeinschaftsstandards von Facebook hinreichend bestimmt.

So falle unter den Begriff der „Hassrede“ jede Art von „entmenschlichender Sprache“ in Bezug auf eine konkrete Personengruppe. Und dieser Tatbestand sei durch das Posting des Klägers auch erfüllt worden. Indem er Asylsuchenden pauschal unterstelle, dass diese Straftaten von beträchtlicher Bedeutung begehen, bediene sich der Kläger einer solchen entmenschlichender Sprache, weswegen Facebook berechtigt gewesen sei, das Posting zu entfernen und den Kläger vorübergehend zu sperren. Die in den Nutzungsbedingungen vorgesehene 30-tägige Sperrung sei verhältnismäßig und benachteilige den Kläger nicht unangemessen.

Mithaftung bei Datenschutzverstößen von Facebook

Wolfgang Riegger

Der Europäische Gerichtshof hat am 05.06.2018 entschieden, dass Betreiber von Facebook-Seiten für mögliche Datenschutzverstöße von Facebook mithaften (EuGH, Urteil vom 05.06.2018, Az.: C-210/16).

Der EuGH musste über eine Vorlagefrage in einem derzeit beim Bundesverwaltungsgericht anhängigen Rechtsstreit entscheiden. In dieser Vorlagefrage ging es um die grundsätzliche (Mit-)Verantwortlichkeit des Betreibers einer Facebook-Seite (im Urteil des EuGH wird eine Facebook-Seite als „Fanpage“ bezeichnet) für mögliche Datenschutzverstöße, die von Facebook selbst begangen werden.

Das Verfahren, mit dem sich das Bundesverwaltungsgericht beschäftigt hatte, ist schon seit etlichen Jahren anhängig und betrifft (eigentlich) Rechtsvorschriften, die nicht mehr in Kraft sind und durch die seit kurzem geltende DSGVO ersetzt worden sind.

Um es kurz zu machen:

Der EuGH hat entschieden, dass der Betreiber einer Facebook-Seite oder „Fanpage“ auf Facebook für Datenschutzverstöße mithaftet, die von Facebook begangen werden.

Der EuGH hat seine Entscheidung ausführlich begründet. Und unter juristischen – in diesem Fall vor allem theoretischen – datenschutzrechtlichen Aspekten lässt sich eine solche Mithaftung sicherlich begründen.

Unter praktischen Aspekten ist diese Entscheidung natürlich – man muss es so sagen – katastrophal. Das aus meiner Sicht Schlimme daran ist, dass die deutschen Datenschutzbehörden, die das Verfahren vor dem Bundesverwaltungsgericht in Gang gesetzt haben, mit ihrem Vorgehen eigentlich Facebook dazu zwingen wollten, sich an die deutschen bzw. jetzt europäischen Datenschutzvorschriften zu halten und ihr Geschäftsmodell entsprechend anzupassen. Weil es seinerzeit, als das Verfahren in Gang gesetzt wurde, keine oder nur wenige Möglichkeiten gab, gegen Facebook direkt vorzugehen, hat sich die Datenschutzbehörde des Bundeslandes Schleswig-Holstein, die das Verfahren in Gang gesetzt hatte, entschieden, ein Unternehmen wegen des Betriebs seiner Facebook-Seite anzugehen und hatte eine entsprechende Verfügung erlassen, gegen die das betroffene Unternehmen dann vor einem Verwaltungsgericht geklagt hatte. Der Instanzenzug hat beide Seiten vor das Bundesverwaltungsgericht geführt, welches die grundlegende Frage der Mithaftung des Betreibers einer Facebook-Seite dem Europäischen Gerichtshof zur Entscheidung vorgelegt hatte.

Der schon seit Jahren bestehende Streit zwischen den deutschen und europäischen Datenschutzbehörden sowie Facebook wurde und wird also damit nun auf dem Rücken von Unternehmen, Vereinen und sonstigen Personen, die Facebook-Seiten nicht nur ausschließlich zu privaten Zwecken betreiben, ausgetragen.

Egal, ob man nun die Schuld dafür bei den Datenschutzbehörden oder bei Facebook oder bei beiden sucht: Es stellt sich die Frage, welche Auswirkungen diese Entscheidung hat.

Auch wenn derzeit die konkreten Folgen noch nicht vollkommen absehbar sind, können diese Auswirkungen immens sein.

Zunächst stellt sich natürlich die Frage, ob sich die Rechtslage zur Frage der Mithaftung durch das Inkrafttreten der neuen DSGVO geändert hat. Diese Frage ist aus meiner Sicht mit einem klaren „Nein“ zu beantworten. Wie das „alte“ Bundesdatenschutzgesetz sieht auch die DSGVO jedenfalls die generelle Möglichkeit einer solchen Mithaftung vor. Insoweit hat sich die Rechtslage nicht geändert.

Des Weiteren stellt sich jetzt die Frage, ob diese Entscheidung ausschließlich ein „Facebook-Problem“ ist oder ob man die Entscheidungsgründe auch auf andere soziale Netzwerke ausdehnen kann. Diese Frage wird man auch meiner Meinung nach mit einem „wahrscheinlich“ beantworten müssen. Man kann es letztendlich so zusammenfassen: Derjenige, der in einem sozialen Netzwerk eine Seite betreibt – egal ob auf Facebook, Instagram, YouTube, XING, Linkedin etc. -, haftet für mögliche Datenschutzverstöße, die vom Plattformbetreiber selbst begangen werden, jedenfalls mit.

Das einzig Gute an der Entscheidung des EuGH ist, dass es sich hier nur um eine Vorabentscheidung handelt, die noch keine allgemein bindende Wirkung dergestalt hat, dass damit die Betreiber einer Facebook-Seite quasi automatisch sofort haften. Denn das Verfahren geht nun zurück ans Bundesverwaltungsgericht und das Bundesverwaltungsgericht muss noch über zwei Fragen entscheiden: Zum einen, ob Facebook überhaupt Datenschutzverstöße begeht (dafür spricht aber Einiges). Zum anderen, ob jedenfalls eine Datenschutzbehörde aufgrund eines von einer Behörde auszuübenden Ermessens gehalten ist, sich nicht sofort an den Betreiber einer Facebook-Seite zu wenden, sondern quasi gezwungen ist, diese Verstöße direkt bei Facebook geltend zu machen. Die Antwort auf diese Frage dürfte offen sein.

Trotz der gerade eben beschriebenen noch offenen Punkte treffen bereits jetzt jeden Betreiber einer Facebook-Seite Unsicherheiten.

Aus meiner Sicht ist dabei noch nicht einmal die größte Gefahr, dass jetzt die Datenschutzbehörden der Bundesländer quasi alle Unternehmen, die Facebook-Seiten betreiben, anschreiben oder sogar mit Bußgeldbescheiden überziehen. Sofern es den Datenschutzbehörden, wie von mir oben vermutet, vor allem darum geht, dass sie Facebook zwingen wollen, sich an die europäischen Datenschutznormen zu halten, setzen die Datenschutzbehörden vermutlich eher darauf, dass Unternehmen nun ihre Facebook-Seiten freiwillig deaktivieren. Und dass Facebook deswegen handeln muss, damit Facebook nicht die Nutzer verliert.

Der aus meiner Sich größere Unsicherheitsfaktor ist der, ob nicht durch das EuGH-Urteil nun wieder versucht wird, über Abmahnungen Geld zu verdienen.

Die größte Gefahr wäre dann gegeben, wenn ein möglicher Mitbewerber oder ein Wettbewerbsverband einen entsprechenden Datenschutzverstoß, der von Facebook begangen wird, abmahnt, und zwar beim Betreiber der Facebook-Seite selbst, der z.B. Mitbewerber des Abmahners  ist. Auch wenn noch nicht entschieden ist, ob bei einem Verstoß gegen Vorschriften aus der DSGVO auch zugleich ein wettbewerbsrechtlich relevanter sog. Rechtsbruch vorliegt, so ist dies ein durchaus realistisches Szenario: Denn auch bereits vor Inkrafttreten der DSGVO gab es Gerichte, die bei Verstößen gegen Datenschutzrecht zugleich Wettbewerbsverstöße angenommen haben. Da die DSGVO vor allem auch den Verbraucherschutz im Auge hat, dürfte es aus meiner Sicht wahrscheinlicher sein, dass Gerichte künftig bei Verstößen gegen die DSGVO auch gleichzeitig einen Wettbewerbsverstoß annehmen. Zudem stellt sich bei einem Vorgehen eines Wettbewerbers oder eines Verbandes auch nicht die noch offene Frage, ob eine Behörde gezwungen ist, direkt gegen Facebook vorzugehen; denn ein Wettbewerber oder ein Verband muss ein solches Ermessen nicht ausüben oder gar eine Ermessensentscheidung begründen. Das Szenario einer neuen  „Abmahnwelle“ ist also nicht unrealistisch.

Zudem gibt es natürlich ebenfalls die zumindest theoretische Möglichkeit, dass ein einzelner Verbraucher auf ein Unternehmen „losgeht“, welches eine Facebook-Seite betreibt, etwa mit der Argumentation, dass der Verbraucher die Facebook-Seite des Unternehmens besucht hat und dadurch von einem Datenschutzverstoß von Facebook betroffen ist, weswegen nun der Verbraucher Unterlassungs- und Schadenersatzansprüche direkt beim Unternehmen geltend macht. Auch dies erscheint nicht ausgeschlossen, wenngleich das Risiko in einem solchen Fall aus meiner Sicht deutlich geringer ist, als bei Abmahnungen von Wettbewerbern oder von Wettbewerbsverbänden.

Es stellt sich natürlich nun die Frage, was ein Unternehmen tun kann.

Wer auf „Nummer Sicher“ gehen will, der deaktiviert seine Unternehmens-Facebook-Seite und beschränkt sich bei der Nutzung von Facebook auf eine rein private Nutzung. Oder er nutzt Facebook künftig gar nicht mehr.

Die zweite Alternative ist, dass ein Unternehmen die Ruhe bewahrt und abwartet, wie sich die Sache künftig weiterentwickelt und letztlich auch darauf hofft, dass weder Behörden, noch Wettbewerber, noch Verbände oder gar irgendwelche Verbraucher gerade gegen ihn Ansprüche geltend machen.

Betreibt man weiter seine Facebook-Seite ist das Einzige, was man in einem solchen Fall vielleicht tun könnte, Folgendes:

Zum einen könnte man in der Datenschutzerklärung seiner eigenen Webseite unter dem Punkt „Onlinepräsenz auf sozialen Netzwerken“ (oder ähnlichen Überschriften) darauf hinweisen, dass man eine Seite bei Facebook betreibt und dass man selbst nicht so genau weiß, was Facebook mit den personenbezogenen Daten von Nutzern macht, die die Facebook-Seite besuchen, quasi nach dem Motto „Betreten auf eigene Gefahr“. Ob das in einem möglichen Rechtsstreit wirklich hilft, ist allerdings stark zu bezweifeln. Aber möglicherweise gilt hier das Motto „Besser als nichts“.

Zum anderen könnte man in Fällen, in denen man von der eigenen Webseite zur eigenen Facebook-Seite mithilfe einer Verlinkung arbeitet, bei Anklicken des „Facebook-Symbols“ auf der eigenen Webseite eine Art „Disclaimer“ öffnen lassen, in dem der Nutzer (wie oben beschrieben) darauf hingewiesen wird, dass das Unternehmen eine Facebook-Seite betreibt, allerdings dem Nutzer nicht mitteilen kann, welche konkreten personenbezogenen Daten Facebook erhebt, verarbeitet und in welcher Weise Facebook diese personenbezogenen Daten eventuell selbst zu eigenen Werbezwecken oder zu Werbezwecken Dritter nutzt. Zugleich könnte man den Nutzer im Disclaimer  darauf hinweisen, dass er in Fällen, in denen er das nicht möchte, nicht die Facebook-Seite des Unternehmens besuchen soll, sondern alle Informationen von der eigenen Webseite des Unternehmens holen sollte.

Es stellt sich natürlich die Frage, ob ein solcher Disclaimer tatsächlich rechtliche Relevanz haben wird. Auch dies ist nicht klar und es bestehen gewisse Zweifel, insbesondere dann, wenn man nicht nachweisen kann, dass der Nutzer über die Verlinkung auf der eigenen Webseite zur Facebook-Seite des Unternehmens gelangt und damit den Disclaimer zur Kenntnis nehmen konnte.

Fazit:

Leider eine Entscheidung des EuGH mit möglicherweise sehr weitreichenden Folgen für Unternehmen mit Facebook-Seiten.

Es muss nun jedes Unternehmen die Entscheidung treffen, ob es die eigene Facebook-Seite Wert ist, das oben beschriebene mögliche Risiko einzugehen oder ob man auf „Nummer Sicher“ gehen möchte und die Facebook-Seite deaktiviert.

Update am 07.06.2018:

Es liegt nun eine Stellungnahme der der Konferenz der unabhängigen Datenschutzbehörden
des Bundes und der Länder vor:

https://www.bfdi.bund.de/SharedDocs/Publikationen/Entschliessungssammlung/DSBundLaender/20180605_EntschliessungFanpagesEuGHUrteil.html;jsessionid=A7CEEE7FAF4CB3DA90C78D6EE16DD6B1.1_cid319?nn=5217016

Zum Abschluss heißt es:

„Die deutschen Aufsichtsbehörden weisen darauf hin, dass nach dem Urteil des EuGH dringender Handlungsbedarf für die Betreiber von Fanpages besteht. Dabei ist nicht zu verkennen, dass die Fanpage-Betreiber ihre datenschutzrechtlichen Verantwortung nur erfüllen können, wenn Facebook selbst an der Lösung mitwirkt und ein datenschutzkonformes Produkt anbietet, das die Rechte der Betroffenen wahrt und einen ordnungsgemäßen Betrieb in Europa ermöglicht.“

Was folgt daraus?

Leider nichts, was einem wriklich weiterhilft. Außer das es die Datenschützer tatsächlich auf Facebook abgesehen haben. Aber auch kein eindeutiger Hinweis darauf, dass die Behörden die Facebookseitenbetreiber nicht angehen werden.

Das neue Netzwerkdurchsetzungsgesetz

Wolfgang Riegger

Am Freitag, den 30.06.2017, wurde vom Bundestag nicht nur die in der Öffentlichkeit diskutierte „Ehe für alle“ beschlossen.

Im „Windschatten“ der „Ehe für alle“ wurden auch zwei medienrechtlich relevante Entscheidungen getroffen:

Wie in meiner Newsmeldung vom 29.06.2017 mitgeteilt, wurde die sog. Störerhaftung für offene WLANs abgeschafft.

Und darüber hinaus gibt es ein neues Gesetz, das sog. Netzwerkdurchsetzungsgesetz.

Das Ziel des Gesetzes ist die „Bekämpfung von Hasskommentaren“ in Sozialen Netzwerken; das neue Gesetz wurde daher auch schon als „Facebookgesetz“ betitelt.

Folgende Eckpunkte beinhaltet das Gesetz:

Zunächst sollen die Betreiber von Sozialen Netzwerken, die ihren Sitz im Ausland haben, verpflichtet werden, für Bußgeld- und Strafverfahren einen inländischen Verantwortlichen zu benennen.

Das ist sicherlich sinnvoll. Man hätte die Gelegenheit aber auch nutzen können, um die Betreiber auch für zivilrechtliche Verfahren zu verpflichten, einen entsprechenden Zustellungsbevollmächtigten zu benennen. Wer schon einmal ein Verfahren gegen Facebook oder Google geführt hat, versteht, was ich meine: Betreiber der Seiten ist bei Facebook und Google immer der in den USA ansässige Konzern. Will man gegen diese klagen, so ist man (zumindest bei einigen Gerichten) gezwungen, die Klage von einem öffentlich bestellten und vereidigten Übersetzer gegen Zahlung eines entsprechenden Vorschusses übersetzen zu lassen – und dann muss über den formellen Weg die Klage in die USA zugestellt werden, was Monate dauert.

Das neue Gesetz sieht vor, dass „offensichtlich rechtswidrige Inhalte“ innerhalb von 24 Stunden gelöscht werden müssen. Und rechtswidrige Inhalte, die nicht offensichtlich rechtswidrig sind, innerhalb einer Frist von 7 Tagen.

Die Entscheidung darüber, was offensichtlich rechtswidrig, „nur“ rechtswidrig oder rechtmäßig ist und was nicht, soll und muss der Betreiber des Sozialen Netzwerks selbst treffen.

Und genau hier beginnt das Problem:

Da Verstöße gegen das neue Gesetz mit Bußgeldern von bis zu 5,0 Mio. Euro geahndet werden können, wird von den zahlreichen Kritikern des neuen Gesetzes befürchtet, dass der Betreiber im Zweifel das beanstandete Posting löschen wird. Und damit besteht die Gefahr, dass über diesen Weg einer Zensur Tür und Tor geöffnet wird: passt jemanden eine Meinung oder eine bestimmte Kritik nicht, so beschwert man sich beim Betreiber des Sozialen Netzwerks, der schon aus Eigeninteresse das Posting löschen wird. Kritiker befürchten daher eine „Löschorgie“.

Ein weiterer Kritikpunkt ist die „Privatisierung der Rechtsdurchsetzung“: indem man die Prüfung, ob eine Meinung rechtswidrig oder rechtmäßig ist, nicht von einem Gericht prüfen und entscheiden lässt, sondern dies auf den privaten Betreiber der Plattform verlagert, wird eine eigentlich staatliche Aufgabe auf die Privatwirtschaft übertragen.

Ein mehr als beachtliches Argument: Gerade wenn man bedenkt, dass die Frage, ob eine Äußerung rechtswidrig ist und damit Persönlichkeitsrechte verletzt oder noch rechtmäßig und damit von der Meinungsfreiheit gedeckt ist, selbst unter Presserechtlern oftmals unterschiedlich eingeschätzt wird.

Eine aktuelle Pressemitteilung des Bundesverfassungsgerichts verdeutlicht dies:

Das OLG Hamburg hat den Herausgeber des bekannten Nachrichtenmagazins „Der Spiegel“ verurteilt, zu einem kritischen Berichts über die Zustände bei der HSH Nordbank einen „Nachtrag“ abzudrucken, den der damalige Kläger vorformuliert hatte. Der BGH hat die Nichtzulassungsbeschwerde zurück gewiesen. Der „Spiegel“ erhob Verfassungsbeschwerde und wollte im Rahmen einer einstweiligen Anordnung die Vollstreckung aus dem Urteil des OLG Hamburg einstellen lassen. Das BVerfG gab der einstweiligen Anordnung statt, u.a. mit der Begründung, dass nicht ausgeschlossen werden könne, dass die Verfassungsbeschwerde Erfolg haben wird.

Bei dieser Entscheidung geht es mir nun nicht um den Inhalt, ob also das Verlangen auf Abdruck eines Nachtrags rechtlich zutreffend ist oder nicht.

Sondern diese Pressemitteilung verdeutlicht die Schwierigkeiten bei der Abwägung der beiden grundrechtlich geschützten Rechtspositionen:

Der Pressesenat des OLG Hamburg besteht immerhin aus drei, im Presserecht sehr erfahrenen Richtern. Aber wenn noch nicht einmal dann ausgeschlossen ist, dass diese drei „Presserechts-Profis“ sich bei der Abwägung irren können und nachher das Bundesverfassungsgericht zu einem anderen Ergebnis kommt, wie soll eine solche Abwägung dann von einem Mitarbeiter von Facebook zuverlässig und rechtssicher vorgenommen werden?

Neben anderen praktischen Problemen aus meiner Sicht ein Punkt, weshalb das neue Gesetz misslungen ist.