Die FAQ-Liste der Datenschutzkonferenz zu Facebook-Fanpages wurde nun von der Aufsicht Sachsen-Anhalts veröffentlicht. Bei den zehn Fragen und Antworten auf sechs Seiten muss man nicht sonderlich zwischen den Zeilen lesen, um zu bestätigen, was ohnehin keine Überraschung ist: Facebook-Fanseiten sind zur Zeit nicht rechtskonform zu betreiben.

Da wirkt es fast schon komisch, wenn die Antwort auf die vierte Frage, »Müssen Facebook-Fanpages jetzt sofort deaktiviert werden?«, kein klares Ja ist, sondern nur ein Verklausuliertes: »Kann die Verarbeitung personenbezogener Daten nicht rechtskonform durchgeführt werden, ist der Betrieb einer Facebook-Fanpage rechtswidrig. Die Aufsichtsbehörden haben seit Jahren auf die Probleme hingewiesen. Übergangsfristen kennt die DSGVO nicht.« Es scheint in dieser Versammlung einige empfindliche Ohren zu geben, die das Wort »Blut« nicht wohl vertragen können.

Trotz dieser Skrupel sind die Positionen ansonsten deutlich und klar formuliert. Frage 2 erläutert, warum der Betrieb von Fanseiten problematisch ist: Es ist unklar, welche Daten wie verarbeitet werden, Seitenbetreiber*innen sind mit Meta gemeinsam verantwortlich für die Datenverarbeitung, aber die gemeinsame Verantwortlichkeit ist nicht hinreichend geregelt durch die von Facebook angebotenen Standarddokumente. Die Antwort wiederholt, was die Konferenz zuvor schon in ihrem Kurzgutachten betont hatte und was hier auch bereits ausführlich erläutert wurde, auch mit Blick auf Äußerungen der kirchlichen Aufsichten.

In wünschenswerter Deutlichkeit sagt Antwort 3, dass Fanpage-Betreiber*innen die Rechtskonformität der gemeinsam mit Meta verantworteten Datenverarbeitung sicherstellen und nachweisen müssen: »Dies ist ihnen für den Betrieb von Facebook-Fanpages zurzeit nicht möglich. Verantwortliche können in dieser Situation nur eine Deaktivierung ihrer Fanpages vornehmen, bis sie in der Lage sind, ihre Pflichten aus der DSGVO zu erfüllen.« Es geht also doch deutlich – warum die nächste Frage dann ins schon zitierte Verklausulieren verfällt, ist daher noch unverständlicher.

Die früher in Veröffentlichungen des baden-württembergischen Landesdatenschutzbeauftragten – und auch hier – ausgegebene Empfehlung, alle auf Facebook publizierten Inhalte zusätzlich auf einer rechtskonformen Plattform zu veröffentlichen, kann die Rechtswidrigkeit des Facebook-Einsatzes natürlich nicht heilen – darauf weist die Antwort auf Frage 8 hin. Dennoch bleibt der Tipp relevant – sei es aus der grundsätzlichen Überlegung, Information nicht von Plattformen abhängig zu machen, sei es aus der (plausiblen, bislang aber nicht dem Praxistest unterworfenen) Hoffnung, dass ein derartiges Vorgehen die Reaktion der Aufsicht abmildern könnte.

Inwiefern die Aufsichten nun überhaupt reagieren, wird auch nicht klarer – weiterhin zeigen die Aufsichten (siehe Frage 9) zwar die Instrumente, hier auch mit Hinweis auf mögliche Schadensersatzansprüche, ohne dass nun der Gang in die Offensive angekündigt wird. Immerhin: In der Frage nach der Sanktionierung von Meta, für die die irische Aufsicht zuständig ist, wird es wieder ein wenig deutlicher: »Als unmittelbar zuständige Aufsichtsbehörden über die Betreiber von Fanpages gehen die deutschen Aufsichtsbehörden – im Einklang mit dem Gebot der Effektivität der Gefahrenabwehr – gegen die hiesigen Betreiber von Fanpages vor«. Zuvor hieß es bereits, dass, auch wenn die Rechtslage für öffentliche und nicht-öffentliche Stellen identisch ist, Behörden aufgrund ihrer besonderen Verpflichtung auf Rechtmäßigkeit besonders im Fokus stehen: »Daher und aufgrund ihrer Vorbildfunktion nehmen die Datenschutzaufsichtsbehörden diese nun vorrangig in die Pflicht.«

Im Fokus steht explizit Facebook. Eine Frage widmet sich aber auch anderen Social-Media-Diensten, explizit genannt werden Instagram, Twitter und TikTok. Dort dürften nach Ansicht der DSK zwar auch viele der Erkenntnisse zutreffen und die rechtliche Bewertung sinngemäß übertragbar sein, es fehlt aber an gerichtlicher Klärung.

Fazit

Die FAQ ringt sich dann doch endlich zu der Klarheit durch, die angesichts der bisherigen Rechtslage und der Positionen der DSK zu erwarten war: Facebook-Fanpages können derzeit unter keinen Umständen rechtskonform betrieben werden, Strategien zur Schadensminderung ändern daran nichts.

Die Position der DSK ist plausibel und gerade mit Blick auf das von ihr angenommene Kurzgutachten auch gut begründet. Dennoch fällt auf, dass bei aller Klarheit es immer noch an Handeln fehlt. Warten alle – inklusive der kirchlichen Aufsichten – auf den Bundesdatenschutzbeauftragten und sein erstes Ziel, das Bundespresseamt? Wird eine formale Maßnahme zum großen Jagen blasen, oder warten dann immer noch alle, bis der Verwaltungsakt durch alle Instanzen bis zum EuGH überprüft ist? Denn so einig man sich in Deutschland ist: Die ansonsten wenig zimperliche französische Aufsicht CNIL betreibt selbst eine Facebook-Fanpage, andere Ansichten scheinen also zumindest vertretbar – wenn auch die CNIL angekündigt hat, in Übereinstimmung mit der Linie der europäischen Kolleg*innen Facebook zu verlassen.

Weiterhin ist die Unsicherheit also groß. Wer weiterhin Facebook-Fanseiten betreiben will, muss jederzeit mit der Anweisung zur Abschaltung rechnen – da ist das einzige, was man außer Fatalismus empfehlen kann, eine Exit-Strategie und einen Plan B zu Facebook parat zu haben.