Urteil gegen Facebook: Datenschutzeinwilligung ungenügend

• Onlinespiele auf Facebook dürfen nicht so präsentiert werden, dass Verbraucher beim Anklicken des Buttons „Spiel spielen“ ohne nähere Informationen in die Weitergabe ihrer Daten einwilligen.
• Die Berechtigung der Spiele-App-Betreiber zum „Posten“ eigener Inhalte über das Facebookprofil des Nutzers ist intransparent.
• Ausschlaggebend dafür, welches Datenschutzrecht gilt, ist die Tätigkeit von Facebook in Deutschland.

Facebook darf personenbezogene Daten seiner in Deutschland lebenden Nutzer nicht ohne deren wirksame Einwilligung herausgeben. In Facebooks App-Zentrum, in dem Computerspiele von Drittanbietern angeboten werden, wurden Nutzer nicht ausreichend über Umfang und Zweck der Datenweitergabe informiert. Das hat das Kammergericht nach einer Klage des Verbraucherzentrale Bundesverbands (vzbv) entschieden.

 „Facebook muss besser darüber informieren, was Drittanbieter auf seiner Webseite mit den Daten der Nutzerinnen und Nutzer anstellen“, sagt Heiko Dünkel, Rechtsreferent beim vzbv. „Es kann nicht sein, dass Spieleanbieter ohne jegliche Einschränkung im Profil des Nutzers Beiträge posten können.“

In seinem App-Zentrum bietet Facebook seinen Kunden die Möglichkeit, kostenfreie Spiele von anderen Anbietern zu spielen. Dort war im November 2012 unter anderem das Spiel „The Ville“ verfügbar. Unter dem Button „Sofort spielen“ wurden Hinweise zur Weitergabe von personenbezogenen Daten des Nutzers angezeigt. So sollten mit Beginn des Spiels die E-Mail-Adresse, Statusmeldungen und weitere Informationen über den Nutzer an den Betreiber des Spiels übermittelt werden. Angaben über den Zweck der Datenverarbeitung fehlten. Bei drei weiteren Spielen wurden vergleichbare Informationen angezeigt. So hieß es beim Spiel „Scrabble“: „Diese Anwendung darf Statusmeldungen, Fotos und mehr in deinem Namen posten.“

„Die bereitgestellten Informationen waren in keinem Fall geeignet, eine informierte und freiwillige Einwilligung der Nutzer in die Weitergabe ihrer personenbezogenen Daten einzuholen.“, so Dünkel. Damit verstoße Facebook gegen deutsches Datenschutzrecht.

Informationen für Datenweitergabe nicht ausreichend

Das Berliner Kammergericht stellte klar, dass deutsches Datenschutzrecht trotz des irischen Unternehmenssitzes anwendbar sei. Hierzu genüge, dass Facebook sein Angebot auch an deutsche Nutzer richte und in Hamburg eine für die Förderung des Anzeigengeschäfts zuständige Schwestergesellschaft der Beklagten unterhalte.

Die erforderliche Einwilligung in die durch Facebook angekündigte Weitergabe der Daten lag nach Auffassung des Gerichts nicht vor, denn die bereitgestellten Informationen reichten nicht aus, um eine freie und informierte Entscheidung der Nutzer über die begehrte Generaleinwilligung herbeizuführen. Die ebenfalls beanstandete Berechtigung zum Posten im Namen des Verbrauchers hielten die Richter für zu unbestimmt, denn die nach der Klausel möglichen Posts seien für Verbraucher in Zahl und Inhalt nicht absehbar. Selbst Werbung für sexuell anzügliche Produkte sei von der Formulierung abgedeckt. Die Vertragsbestimmung verstoße daher gegen das AGB-rechtliche Transparenzgebot sowie gegen Datenschutzvorschriften.

Mit seinem Urteil bestätigte das Kammergericht die Rechtsauffassung der Vorinstanz. Gegen die Entscheidung des Landgerichts Berlin hatte Facebook 2014 Berufung eingelegt. Wegen der grundsätzlichen Bedeutung des Falls hat das Kammergericht die Revision zum Bundesgerichtshof zugelassen.

Update: Der Bundesgerichtshof hat das Verfahren gegen Facebook am 11.04.2019 bis zu einer Entscheidung des Europäischen Gerichtshofs (Rechtssache C-40/17) ausgesetzt. Dort soll unter anderem die Frage geklärt werden, ob Verbraucherverbände befugt sind, mit kollektivrechtlichen Unterlassungsverfahren gegen Datenschutzverstöße von Unternehmen vorzugehen. Die Beantwortung dieser Frage hält auch der Bundesgerichtshof für entscheidungserheblich.

Pressemitteilung des Bundesgerichtshofs vom 11.04.2019
Meldung der Verbraucherzentrale NRW zur Rechtssache C-40/17