Der Einsatz von Facebook Custom Audience verstößt gegen das Datenschutzrecht. Das hat das Verwaltungsgericht Bayreuth am 08.05.2018 in einem von einem Online-Shopbetreiber geführten Eilverfahren gegen das das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) entschieden.
Was war geschehen?
Ein Online-Shopbetreiber hatte das Werbetool „Custom Audience“ zur Erstellung einer Kundenliste zu Werbezwecken auf seiner Seite im Einsatz. Dabei nutzte der Händler insbesondere E-Mail Adressen seiner Kunden, die im Rahmen des Bestellvorgangs erhoben wurden. Eine Einwilligung der Kunden in die Nutzung ihrer E-Mail Adresse für Custom Audience lag nicht vor.
Das BayLDA ordnete daher in einem Bescheid die Löschung der erstellten Kundenlisten an.
Der Shopbetreiber war der Auffassung, dass sein Vorgehen rechtmäßig war, da er mit Facebook einen Vertrag zur Auftragsdatenverarbeitung geschlossen habe.
Die Entscheidung
Das VG Bayreuth urteilte, dass der Einsatz von Custom Audience ohne vorherige Einwilligung rechtswidrig ist. Der Shop-Betreiber kann sich bei der Übermittlung der E-Mail Adressen nicht auf die Auftragsdatenverarbeitung als Rechtsgrundlage stützen. Voraussetzung hierfür ist, dass der Auftragnehmer weisungsgebunden ist. Es liege aber alleine im Ermessen von Facebook welcher der Kunden Werbung erhalten und welche nicht. Eine weitere Rechtgrundlage wie das sog. „Listenprivileg“ auf die die Übermittlung der personenbezogenen Daten gestützt werden kann, gebe es nicht, denn bei E-Mail Adressen handelt es sich nicht um sog. Listendaten, da sie in der abschließenden Aufzählung des § 28 Abs.2 S. 3 BDSG (a.F.) nicht enthalten sind.
Fazit
Der Beschluss des VG Bayreuth ist nach alter Rechtslage ergangen und nicht rechtkräftig. Nach der seit kurzem geltenden DSGVO dürfte die Entscheidung aber nicht anders ausfallen, da die „Auftragsverarbeitung“ ebenfalls auf eine Rechtsgrundlage gestützt werden muss und es kein „Listenprivileg“ mehr gibt.
Neben der der Entscheidung des VG Bayreuth sollten Shop-Betreiber auch das kürzlich ergangene Urteil des EuGH zu Facebook Fanpages beachten (wir berichteten). Der EuGH entschied, dass Betreiber einer Facebook-Fanpage die datenschutzrechtliche Verantwortung gemeinsam mit Facebook für die Verarbeitung personenbezogener Daten der Fanpage-Besucher trägt. Die Urteilsgründe könnten sich dabei auch auf Facebook-Tools wie Facebook Custom Audience übertragen lassen.
Angesichts der hohen Bußgelder, die durch die DSGVO drohen, sollten Shop-Betreiber den Einsatz von Facebook Custom Audience überprüfen und nur dann nutzen, wenn alle auf der Liste enthaltenen Kunden vorher eine ausdrückliche und informierte Einwilligung erteilt haben.
