Bislang nutzen zahlreiche Onlineshops das Tool Facebook Custom Audience für gezielte Werbung. Nun urteilte der Bayerische Verwaltungsgerichtshof, dass der Einsatz der Anwendung gegen das Datenschutzrecht verstößt, wenn keine Einwilligung des Nutzers vorliegt. Wir informieren an dieser Stelle über das Urteil, die Begründung und erste Reaktionen.
Facebook Custom Audience: Anordnung aus Bayern
Schon 2017 untersagte das Bayerische Landesamt für Datenschutzaufsicht einem Onlineshop, das Marketingwerkzeug Facebook Custom Audience zu verwenden. Unternehmen nutzen dieses Tool eigentlich, um Facebook-Nutzer gezielt zu umwerben. Zu diesem Zweck erstellen Onlineshops eine Liste der Kunden, wobei sie vorliegende Daten wie Name, Wohnort, E-Mail und Telefonnummern verwenden. Diese Liste der Kunden übergibt der Händler an Facebook. Zuvor erfolgt eine Verschlüsselung der Daten, wobei das sogenannte Hash-Verfahren zum Einsatz kommt.
Eingereichte Informationen gleicht Facebook mit sämtlichen Nutzerdaten ab. So kann das Soziale Netzwerk feststellen, welcher Onlineshop-Kunde bei Facebook registriert ist. Diese Profile können Onlineshops im Anschluss gezielt umwerben. Das Bayerische Landesamt für Datenschutzaufsicht untersagte einem Onlineshop aus dem Freistaat, die „Facebook Custom Audience zu verwenden. Die Ursache: Der Shop holte keine Einwilligung seiner Nutzer ein. Das war nach Angaben des Landesamtes aber erforderlich, weil Kundendaten direkt an Facebook gelangten.
Urteil des Verwaltungsgerichtshofes
Gegen die Anordnung klagte ein Onlineshop aus Bayern. Den Fall verhandelte zunächst das Verwaltungsgericht Bayreuth. Es entschied, dass es sich um eine rechtmäßige Anordnung handelt. Gegen das Urteil legte der Onlineshop seinen Widerspruch ein, sodass der Fall vor das bayerische Oberverwaltungsgericht gelangte. Die Richter entschieden nun ebenfalls, dass die Anordnung der Datenschutzbehörde rechtens sei. Das Gericht begründete seine Entscheidung, wobei es auf die tatsächlichen Abläufe der Datenverarbeitung abzielte. Im konkreten Fall sei Facebook kein Auftragsverarbeiter, sondern eine dritte Partei.
Der Einsatz der Facebook Custom Audience sei nur rechtmäßig, wenn der Nutzer des Onlineshops in die Datenverarbeitung eingewilligt habe. Damit gewichtet das Gericht die Interessen der Betroffenen, die nicht mit der Weitergabe ihrer Daten rechnen, höher als das Ansinnen des Onlineshops, der gezielten Werbung nutzen möchte. Für den Präsidenten des Bayerischen Landesamtes für Datenschutzaufsicht ist das Urteil „keine Überraschung“. Schließlich habe seine Behörde „mehrfach über die Anforderungen an einen zulässigen Einsatz von Marketing-Tools“ aufgeklärt. Der Datenschützer möchte nun das Gerichtsurteil nutzen, um weitere Verstöße zu ahnden.
