können, anhand derer die Nutzungsanalysen für sie erstellt werden sollen.413 Durch diese seitens des Fanpage-Betreibers vorgenommene sog. Parametrierung der Nutzungsanalyse sei er an der Entscheidung über Zwecke und Mittel der Verarbeitung (durch Facebook) beteiligt und daher auch datenschutzrechtlich (mit-)verantwortlich.414 Der EuGH stellt dabei jedoch klar, dass sich die Verantwortlichkeit des einzelnen Fanpage-Betreibers personell lediglich auf die Besucher der jeweiligen Fanpage bezieht.415
201
Als unerheblich sieht es der EuGH an, dass dem jeweiligen Fanpage-Betreiber kein Zugang bzw. Zugriff auf diese Daten in personenbezogener Form gewährt wird, sondern er lediglich anonymisierte Statistiken erhält.416
202
Neben der Parametrierung nennt der EuGH weitere Faktoren, die im Rahmen einer umfassenden Betrachtung aus Sicht des Gerichtshofs zur (Mit-)Verantwortlichkeit von Fanpage-Betreibern führen: Der Fanpage-Betreiber sei sich zunächst der Datenverarbeitung bewusst und akzeptiere diese durch den Abschluss eines entsprechenden Vertrags.417 Zudem profitiere der Fanpage-Betreiber von der Nutzungsanalyse.418 Da der Besuch der Fanpage auch Betroffenen offensteht, die über keinen Facebook-Account verfügen, ermögliche der Fanpage-Betreiber letztlich auch die Verarbeitung der Daten solcher nicht registrierter Betroffener durch Facebook.419
(ii) Zeugen Jehovas
203
In diesem Verfahren hatte der EuGH zu entscheiden, ob die Gemeinschaft der Zeugen Jehovas (Mit-)Verantwortliche für die Datenerhebung durch ihre Mitglieder während ihrer Tür-zu-Tür-Verkündigungsaktivitäten ist.420 Gegenständlicher Anknüpfungspunkt des Streits war der Umstand, dass die Mitglieder der Gemeinschaft im Rahmen ihrer Proklamationen personenbezogene Daten über die jeweiligen Anwohner erheben, damit diese Informationen im Rahmen erneuter Besuche verwendet werden können, etwa um Bezug zum letzten Besuch herzustellen.421
204
Im Rahmen seiner diesbezüglichen Entscheidung statuiert der EuGH (auf abstrakter Ebene), dass bei der der Beurteilung, ob eine (gemeinsame) Verantwortlichkeit vorliegt, zu prüfen ist, ob die jeweilige Stelle die Verarbeitung zu ihrem eigenen Nutzen beeinflusst.422 Sollte dies der Fall sein, sei es wahrscheinlich, dass eine solche Beteiligung als eine (Mit-)Bestimmung der Zwecke und Mittel dieser Verarbeitung zu werten und der jeweilige Akteur damit als (Mit-)Verantwortlicher anzusehen sei.423
205
Auf den vorliegenden Fall angewandt, kommt der EuGH daher erstens zu dem Schluss, dass die Erhebung und anschließende Verarbeitung von personenbezogenen Daten über besuchte Personen in erster Linie den Interessen der Gemeinschaft der Zeugen Jehovas, nämlich der Verbreitung ihres Glaubens, zu dienen scheint und daher von ihren predigenden Mitgliedern hauptsächlich im Interesse der Gemeinschaft durchgeführt wird.424 Zudem verarbeite die Gemeinschaft die gesammelten Informationen über besuchte Personen für eigene Zwecke weiter, wie z.B. für das Führen von Listen von Personen, die in Zukunft nicht mehr besucht werden wollen.425 Ferner ermutige, koordiniere und organisiere die Gemeinschaft die Predigtaktivitäten auf einer abstrakten, aber (offensichtlich) hinreichend bedeutsamen Ebene.426 Dies manifestiere sich durch die Zuteilung der Gebiete an die Mitglieder sowie durch die Erteilung von Anweisungen und Anleitungen, wie bei der Durchführung der Verkündigungen und den damit verbundenen Gesprächen mit besuchten Personen vorzugehen sei, etwa durch Artikel, die in der Vergangenheit in ihren Zeitschriften veröffentlicht wurden.427
(iii) Fashion ID
206
In diesem Verfahren hatte das OLG Düsseldorf den EuGH um eine Entscheidung darüber gebeten, ob die Einbindung des Facebook „Like-Buttons“ auf einer Webseite dazu führt, dass der Webseiten-Betreiber zusammen mit Facebook als (Mit-)Verantwortlicher einzustufen ist.428 Das Plugin kann auf anderen Webseiten eingebettet und angezeigt werden. Dazu wird vom Plugin-Anbieter (in diesem Fall Facebook) ein Code-Snippet zur Verfügung gestellt, welches ermöglicht, das Plugin auf anderen Webseiten einzubinden und beim Besuch anzuzeigen.
207
Der EuGH bejahte – als logische Fortsetzung der Entscheidung zur gemeinsamen Verantwortlichkeit von Fanpage-Betreibern – auch in diesem Verfahren die gemeinsame Verantwortlichkeit zwischen Plugin-Betreiber und Webseiten-Betreiber, der das Plugin auf seiner Webseite einbindet. In diesem Zuge weist der EuGH zunächst darauf hin, dass der Webseiten-Betreiber frei über die Einbettung des Plugins entscheidet.429 Durch diese Entscheidung, die in Kenntnis der Erhebung und Übermittlung von personenbezogenen Daten an Facebook erfolgt, bestimme der Webseiten-Betreiber (mit) über die Zwecke und Mittel der Verarbeitung. Diese gemeinsame Verantwortlichkeit erstrecke sich allerdings lediglich auf die initiale Erhebung und Übermittlung an Facebook.430
208
Der EuGH begründet seine Entscheidung ferner mit dem Verhältnis zwischen den von Facebook und dem Webseiten-Betreiber verfolgten Zwecken. So sei der Zweck des Webseiten-Betreibers, die Werbung für seine Produkte zu optimieren, indem er die Produkte auf Facebook sichtbarer macht. Facebook wiederum sammelt die Daten von den Besuchern (des Webseiten-Betreibers) zur Weiterverarbeitung für eigene kommerzielle Zwecke. Aufbauend auf dieser Einschätzung stellt der EuGH anschließend fest, dass diese wechselseitigen Zwecke von den Parteien akzeptiert und die von den Parteien verfolgten Interessen an der Verarbeitung identisch sind, nämlich wirtschaftlicher Natur. Der Webseiten-Betreiber drückt seine Einwilligung (in die Verarbeitung durch Facebook) zumindest implizit durch die Einbettung des Plugins aus. Umgekehrt nimmt Facebook scheinbar durch das Anbieten des Plugins und der darin enthaltenen Funktionen am Bestimmungsprozess (an der Verarbeitung des Webseiten-Betreibers) teil.431
cc) Zusammenfassung/Ableitung
209
Aus einer übergreifenden Analyse der drei Judikate lässt sich dabei ableiten, dass eine gemeinsame Verantwortlichkeit wahrscheinlich anzunehmen ist, wenn folgende Voraussetzungen kumulativ vorliegen:
– Die Zwecke und Mittel der Verarbeitung sind (i) identisch oder (ii) zumindest ähnlich oder bedingen einander (symbiotisches Verhältnis),432 wobei jedenfalls vorauszusetzen sein sollte, dass die jeweiligen Datenverarbeitungsaktivitäten der Beteiligten derart untrennbar miteinander verknüpft sind, dass das (potenziell gemeinsam verantwortete) Datenverarbeitungsverfahren bzw. die damit verfolgte Zweckerreichung ohne die Beteiligung aller (vermeintlich gemeinsam) Verantwortlichen nicht möglich wären.433
– Die Zwecke der Verarbeitung erfolgen aus demselben übergeordneten (abstrakten) Interesse, z.B. „wirtschaftliches Interesse“.434
– Jede Partei hat übergeordnete Kenntnisse über die Zwecke und Mittel der anderen Partei.435
– Jede Partei akzeptiert die Zwecke der jeweils anderen Partei zumindest konkludent durch eine aktive Handlung, etwa durch den Abschluss eines Vertrages oder durch eine positive Beeinflussung der Verarbeitung,436 wie z.B. die Einleitung oder Förderung der Verarbeitung oder die Bereitstellung eines in dieser Hinsicht konzipierten Verarbeitungswerkzeugs.
– Jede Partei profitiert direkt von der Verarbeitung des spezifischen Datensatzes,437 d.h. durch die Verarbeitung wird ein direkter Nutzen für die beteiligten Parteien generiert (der über eine bloße finanzielle Kompensation hinausgeht).
210–215
Der EuGH scheint dabei die (vorliegenden) Verarbeitungszwecke mit den (eventuell nachgelagert) verfolgten Interessen an der Verarbeitung zu vermengen, die sich eher auf sich anschließende Verarbeitungsmöglichkeiten beziehen bzw. erst im Rahmen einer Rechtfertigungsprüfung nach Art. 6 Abs. 1 lit. f DSGVO relevant werden.438 Der Gerichtshof versteht das gemeinsam verfolgte Interesse der Beteiligten dabei wohl als verbindende Klammer im Verhältnis