VG Köln: Facebook-Fanpage der Bundesregierung bleibt vorerst erlaubt

Nicht nur das Bundespresseamt, sondern auch Meta selbst klagte gegen den Untersagungsbescheid des BfDI. Der Klage des Bundespresseamtes wurde stattgegeben und der Bescheid aus dem Jahr 2023 aufgehoben. Die Klage von Meta war nur in Bezug auf die Untersagungsanordnung zulässig und in diesem Umfang begründet.

Das VG Köln ist der Ansicht, dass Meta allein verantwortlich ist, die datenschutzkonforme Ausgestaltung sicherzustellen. Das bedeutet, dass Meta – und nicht die Betreiber einer Fanpage wie das Bundespresseamt – dafür sorgen muss, dass Nutzerinnen und Nutzer wirksam in die Verwendung von Cookies einwilligen. 

Die Einleitung des Verfahrens durch die BfDI geht unter anderem auf eine Entscheidung des Europäischen Gerichtshofs (EuGH) aus dem Jahr 2018 zurück (EuGH, Urt. v. 05. Juni 2018, C-210/16 „Wirtschaftsakademie“). Der EuGH hatte entschieden, dass für die Einhaltung des Datenschutzes nicht Facebook allein zuständig ist, sondern auch die Betreiber der Fanpages für Datenschutzmängel verantwortlich gemacht werden können. Denn durch die Errichtung und den Betrieb einer Fanpage entsteht die Möglichkeit, auf dem Endgerät von Nutzern, die die Fanpage besuchen, Cookies zu platzieren – unabhängig davon, ob diese Person über ein Facebook-Konto verfügt. 

Das VG lehnt dagegen in diesem Fall die Verantwortlichkeit des Bundespresseamtes ab. Für seine rechtliche Beurteilung stützt sich die Kammer maßgeblich auf die Auslegung des § 25 Abs. 1 S. 1 Telekommunikation-Telemedien-Datenschutzgesetz (TTDSG), der die Speicherung und das Auslesen von Informationen auf Endgeräten regelt. (Mittlerweile gilt das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG). Für die Beurteilung der Rechtslage ist jedoch auf die Rechtslage bei Erlass der Untersagungsverfügung abzustellen und damit auf das TTDSG.) Der Adressatenkreis dieser Norm wird nach Ansicht der Kammer nicht durch Rückgriff auf die DSGVO, sondern durch Auslegung des TTDSG selbst bestimmt. Der Verantwortliche nach Art. 4 Nr. 7 DSGVO habe dabei nur indizielle Bedeutung. Ein Gleichlauf zwischen datenschutzrechtlicher Verantwortlichkeit nach der DSGVO und der Verpflichtung aus § 25 Abs. 1 TTDSG ist daher nach Auffassung des Gerichts nicht zwingend. Das Ziel der Vorschrift des § 25 TTDSG sei es, Nutzer davor zu schützen, dass Dritte ohne ihr Wissen Informationen auf ihren Geräten speichern oder auslesen (sog. Distanzgefahr). Verantwortlich sei deshalb die Person oder das Unternehmen, die diesen Zugriff tatsächlich steuern oder verhindern kann. Im Fall der Fanpage bedeute dies, dass das Bundespresseamt zwar die Seite betreibe, aber keinen Einfluss darauf habe, ob und welche Cookies gesetzt werden. Die Cookies werden durch Handlungen des Nutzers ausgelöst – zum Beispiel beim Besuch verschiedener Facebook-Seiten – und nicht direkt durch den Betrieb der Fanpage. Das Bundespresseamt könne technisch und rechtlich nicht steuern, welche Cookies gesetzt werden. Deshalb sei es für diese Vorgänge nicht verantwortlich im Sinne des TTDSG.

Auch eine gemeinsame Verantwortlichkeit von Meta und dem Bundespresseamt für die Verarbeitung personenbezogener Daten nach der DSGVO sieht das Gericht nicht. Eine solche gemeinsame Verantwortlichkeit setze nach Art. 26 Abs. 1 S. 1 DSGVO voraus, dass beide Seiten gemeinsam über Zweck und Mittel der Datenverarbeitung entscheiden. Das Gericht verweist in diesem Zusammenhang ausdrücklich auf die frühere Rechtsprechung des Europäischen Gerichtshofs, insbesondere auf das Urteil „Wirtschaftsakademie“ aus dem Jahr 2018. Damals habe der EuGH eine gemeinsame Verantwortlichkeit bejaht, weil Betreiber von Facebook-Fanpages mithilfe von sogenannten Parametern oder Filtern hätten festlegen können, nach welchen Kriterien Statistiken („Insights“) über die Nutzung der Fanpage erstellt werden sollten. Durch diese Möglichkeit der Parametrierung hätten Fanpage-Betreiber mitbestimmen können, welche Kategorien von Nutzern ausgewertet werden .

Der EuGH habe ausdrücklich darauf hingewiesen, dass gerade diese Mitbestimmung an den Mitteln der Verarbeitung ein zentrales Kriterium für eine gemeinsame Verantwortlichkeit sei.

Im vorliegenden Fall sei diese Situation jedoch nicht mehr gegeben gewesen. Bereits zum Zeitpunkt des Untersagungsbescheids durch den Bundesdatenschutzbeauftragten hätten Betreiber von Fanpages keine eigenen Einstellungen oder Parameter mehr vorgeben können, um die Art und Weise der Datenverarbeitung – etwa für die Erstellung von Statistiken („Insights“) – zu beeinflussen. Das Bundespresseamt habe somit keinen tatsächlichen Einfluss mehr darauf gehabt, wie Meta personenbezogene Daten verarbeite oder auswerte. Aus diesem Grund fehle es nach Ansicht des Gerichts an einer gemeinsamen Festlegung der Mittel der Datenverarbeitung zwischen dem Bundespresseamt und Meta.

Die jetzige Entscheidung stärkt die Möglichkeit, dass Behörden auch in Zukunft auf wichtigen Plattformen wie Facebook präsent bleiben. Gerade in Zeiten, in denen viele Menschen Informationen fast ausschließlich online suchen, ist das für eine moderne Öffentlichkeitsarbeit der Regierung entscheidend.

Das Urteil ist jedoch noch nicht rechtskräftig. Das VG Köln hat die Berufung zugelassen. Falls die Beteiligten Berufung einlegen, würde das Oberverwaltungsgericht (OVG) für das Land Nordrhein-Westfalen mit Sitz in Münster über diese entscheiden.

Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit Prof. Dr. Louisa Specht-Riemenschneider hat bereits angekündigt, sich die Urteilsbegründung sehr gründlich anzusehen und zu entscheiden, ob sie die Sache dem OVG Münster zur Entscheidung vorlegen wird.