Neues zum Datenschutzrecht

1.9.2025

Facebook-Fanpage: Doch keine gemeinsame Verantwortlichkeit?

Das VG Köln hat in einem Verfahren des Presse- und Informationsamts der Bundesregierung gegen die Bundesbeauftragte für Datenschutz und Informationsfreiheit (BfDI) mit Urteil vom 17.7.2025 (Az. 13 K 1419/23) entschieden, dass keine gemeinsame Verantwortlichkeit vorliegt, wenn keine Parametrisierungsmöglichkeit für die Statistikfunktion (Insight) vorhanden und darüber hinaus die Insights-Funktion deaktiviert ist, so dass dem Fanpage-Betreiber keine Statistiken ausgespielt werden. Es fehle an einer gemeinsamen Festlegung der Mittel der Verarbeitung, da das bloße Betreiber eine Fanpage hierfür nicht ausreiche.

Das ist insofern eine Meldung wert, als dass aufgrund der EuGH-Rechtsprechung bislang mehr oder weniger davon ausgegangen wird, dass der Betreiber einer Facebook-Fanpage gemeinsam Verantwortlicher mit dem Plattform-Betreiber, also Meta Platforms Inc. (vormals Facebook Inc.) ist. Das Urteil des VG Köln macht deutlich, dass es sich lohnt, bei dieser Frage genau hinzusehen und zu differenzieren.

Hintergrund

Der EuGH-Rechtsprechung zur gemeinsamen Verantwortlichkeit liegt ein relativ weiter Ansatz zugrunde. Überdies hat der EuGH bereits am 5.6.2018 in dem Verfahren ULD S-H / Wirtschaftsakademie Schleswig-Holstein GmbH (Az. C-210/16) entschieden, dass eine gemeinsame Verantwortlichkeit auch im Verhältnis zwischen dem Betreiber einer Fanpage auf der Plattform des sozialen Netzwerkes Facebook mit diesem Plattformbetreiber vorliegen kann – zumindest, wenn dabei wie im konkreten Fall eine Funktion zum Einsatz kommt, mit der Daten der Fanpage-Besucher erhoben und an Facebook übermittelt wurden (Facebook Insight).

Dabei lässt der EuGH für das Vorliegen einer gemeinsamen Entscheidung über Zwecke und Mittel der Verarbeitung einen relativ geringen Beitrag genügen. Der Fanpage-Betreiber leiste diesen Beitrag, indem er die von ihm eingerichtete Fanpage betreibt und hierzu vorab einen Nutzungsvertrag mit dem Plattformbetreiber schließt, der auch die Rahmenbedingungen der Datenverarbeitung beinhaltet – einschließlich einer nicht abdingbaren Funktion (Facebook Insight), mit der Fanpage-Betreiber anonymisierte Daten erhalten, die aus personenbezogenen Daten der Fanpage-Besucher gewonnen werden. Mit der Einrichtung und dem Betreiben der Fanpage auf Basis des Nutzungsvertrags ermögliche der Fanpage-Betreiber dem Plattformbetreiber, Cookies auf den Geräten der Besucher der Fanpage zu setzen und auf diese Weise deren personenbezogene Daten zu verarbeiten, selbst wenn es sich um nicht bei dem Plattformbetreiber registrierte Nutzer handelt. Der Fanpage-Betreiber könne bei der Einrichtung der Fanpage zudem festlegen, nach welchen Parametern die Statistiken erstellt werden, z.B. Alter, Geschlecht und geografische Daten. Damit sei der Fanpage-Betreiber in der Lage, zumindest teilweise zu beeinflussen, welche personenbezogenen Daten insoweit verarbeitet werden. Es komme nicht darauf an, ob jeder der Verantwortlichen Zugang zu den betreffenden personenbezogenen Daten hat. Dementsprechend kann es reichen, wenn eine Fanpage mit der Kenntnis eingerichtet wird, dass sie als Werkzeug zum Erheben und Übermitteln personenbezogener Daten der Website-Besucher an den Plattformbetreiber dient.

Differenzierung: Verarbeitungen im Zusammenhang mit der Insight-Funktion und andere Verarbeitungen

So wurde es auch vom OVG Schleswig abschließend in dem Rechtsstreit entschieden, der dem „Wirtschaftsakademie“-Urteil des EuGH zugrunde lag. Der Fanpage-Betreiber ermögliche mit der Einrichtung seiner Fanpage die Verarbeitung zur Erstellung einer anonymen Auswertung der Seitennutzung (der sog. Insights) und beeinflusse über die Gestaltung seiner Fanpage, wessen Daten erhoben und verarbeitet werden.

Für andere Verarbeitungen auf der Plattform als die im Zusammenhang mit der Insight-Funktion, konkret die Speicherung von Daten der Nutzer zur Erstellung von Profilen und zu Werbezwecken, hat bereits das OVG Schleswig im Nachgang zur EuGH-Entscheidung eine gemeinsame Verantwortlichkeit des Fanpage-Betreibers abgelehnt (OVG Schleswig, Urt. v. 25.11.2021 – 4 LB 20/13; vgl. auch die zugehörige Revisionsentscheidung des BVerwG, Urt. v. 11.9.2019 - 6 C 15.18).

Nach dem OVG Schleswig fehle es jedenfalls an einer gemeinsamen Entscheidung über den Zweck der Verarbeitung, da die Verarbeitung nicht im Interesse des Fanpage-Betreibers erfolge und für diesen auch keine Vorteile biete, sodass keine objektiven Anknüpfungspunkte für eine Mitentscheidung vorliegen.

Die deutschen Datenschutzaufsichtsbehörden vertreten insofern eine von dieser Rechtsprechung abweichende Position, deren Herleitung und Begründung indes nicht überzeugen können. Eine gemeinsame Verantwortlichkeit soll auch für den Einsatz von Cookies und die damit verbundene nachgelagerte Verarbeitung zur Erstellung und Anreicherung von Profilen vorliegen. Es bestehe ein gemeinsames Interesse von Fanpage- und Plattform-Betreiber, dazu beizutragen, dass die Datengrundlage des Netzwerkes weiter ausgebaut wird, um von der fortlaufenden Verbesserung der Möglichkeiten einer zielgerichteten Ansprache zu profitieren.

Unterschied in der Begründung

Das VG Köln verneint in seinem Urteil vom 17.7.2025 eine gemeinsame Verantwortlichkeit für einen Fall, wo die Insight-Funktion deaktiviert wurde und damit für andere Verarbeitungen auf der Plattform als die im Zusammenhang mit der Insight-Funktion, weil es an der gemeinsamen Festlegung der Mittel von Fanpage-Betreiber (hier Bundespresseamt) und Meta Platforms Inc. (vormals Facebook Inc.). Es genüge nicht, dass mit dem Betrieb der Fanpage das Setzen und Auslesen von Cookies und die nachgelagerten Verarbeitungen insofern ermöglicht werden, als der Besucher der Fanpage mit seinem Besuch die Interaktion vornimmt, welche die Platzierung der Cookies und mittelbar auch nachfolgende Verarbeitungen auslöst. Hierbei handele es sich um eine bloße Mitursächlichkeit bzgl. der Verarbeitung der personenbezogenen Daten der Besucher der Fanpage und eine solche Mitursächlichkeit reiche nach der EuGH-Rechtsprechung nicht aus.

Bewertung und Ausblick

Der Entscheidung des VG Köln ist im Ergebnis zuzustimmen. Die Begründung vermag indes nicht zu überzeugen. Es spricht mehr für eine gemeinsame Festlegung der Mittel, aber nicht der Zwecke. Die Frage der gemeinsamen Festlegung der Zwecke der Verarbeitung wurde vom VG Köln aber nicht (mehr) erörtert.

Das Urteil des VG Köln ist nicht rechtskräftig. Die BfDI hat angekündigt, gegen das Urteil des VG Köln Berufung einzulegen (Pressemitteilung des BfDI vom 22.8.2025).

Konkrete Handlungsmöglichkeiten und damit einhergehende Rechtsrisiken bzgl. des Betriebs von Fanpages in sozialen Netzwerken hängen vom konkreten Einzelfall einschließlich der bislang verfolgten Handlungsstrategie ab. In jedem Fall erweitert das Urteil des VG Köln im Anschluss an die Entscheidung des OVG Schleswig den Argumentationsspielraum.

Sollten Sie Fragen zum Einsatz Facebook-Fanpages oder zu sonstigen datenschutzrechtlichen Themen haben oder insoweit Unterstützung benötigen, können Sie mich gerne kontaktieren.

Zurück zur Übersicht