DSGVO-Verstoß – Freistaat Sachsen muss seine Facebook-Seite abschalten

Die Datenschutzbeauftragte in Sachsen strebt danach, ein deutliches Zeichen zu setzen. Sie hat der Staatskanzlei untersagt, ihre Facebook-Fanpage weiterhin zu betreiben.

Facebook Fanpages nun offiziell verboten?

Die sächsische Staatskanzlei hat eine Frist von vier Wochen erhalten, um ihre „offizielle Seite“ des Freistaates auf Facebook abzuschalten. Dies wurde von der Datenschutzbeauftragten Juliane Hundert in einem kürzlich veröffentlichten Bescheid angeordnet. In dem Bescheid wird unter anderem darauf hingewiesen, dass Verstöße gegen die Datenschutz-Grundverordnung (DSGVO) festgestellt wurden. Die Staatskanzlei wird zudem wegen fahrlässiger Verletzung ihrer Rechenschaftspflicht im Rahmen des EU-Normenwerks gerügt.

DSGVO Verstoß seit 2018

Hundert betont, dass der Facebook-Auftritt seit mindestens 2018 bis heute „entgegen gebotener Sorgfalt“ betrieben wurde. Die Staatskanzlei kann die Grundsätze für die Verarbeitung personenbezogener Daten gemäß der DSGVO nicht nachweisen. Über die Fanpage wurden jahrelang Daten an das Tochterunternehmen Meta in den USA übermittelt, ohne dass eine wirksame Rechtsgrundlage vorlag.

Hintergrund der Entscheidung sind mehrere Urteile des Europäischen Gerichtshofs (EuGH), einschließlich der Feststellung, dass bei der Verarbeitung personenbezogener Daten durch eine Facebook-Seite eine gemeinsame Verantwortlichkeit mit dem Meta-Konzern besteht. Die Staatskanzlei ist daher verpflichtet, die Einhaltung der Grundsätze des Datenschutzrechts nachzuweisen, was ihr derzeit nicht gelingt.

Das „Schrems-II-Urteil“ des EuGH im Sommer 2020 erklärte zudem den transatlantischen „Privacy Shield“ und damit eine wesentliche Grundlage für den Transfer von Kundendaten in die USA für ungültig.

Auch ein Verstoß gegen das TTDSG festgestellt!

Die Datenschutzaufsicht bemängelt auch, dass die Staatskanzlei mit der Facebook-Seite gegen das Telekommunikations-Telemedien-Datenschutz-Gesetz (TTDSG) verstößt. Ohne angemessene Rechtsgrundlage werden Cookies auf den Geräten der Nutzer platziert und personenbezogene Daten erhoben, an Facebook übermittelt und zu umfangreichen personenbezogenen Werbeprofilen zusammengeführt.

„Die eigene Homepage ist besser als eine Facebook Fanpage“

Hundert betont, dass die beabsichtigte Maßnahme dem legitimen Zweck dient, einen datenschutzkonformen Zustand herzustellen. Es gibt kein milderes Mittel, das ebenso effektiv wäre, um dieses Ziel zu erreichen. Es ist auch nicht offensichtlich, dass ein Missverhältnis zwischen Ziel, Mittel und möglichen Konsequenzen besteht. Es wird auch betont, dass die Staatskanzlei zwar eine Informationspflicht gegenüber der Öffentlichkeit hat, diese jedoch nur auf rechtmäßige Weise und auf rechtskonformen Plattformen erfüllen darf. Facebook ist nur ein Kanal von vielen, und es stehen ausreichend andere rechtmäßige Informationsmedien zur Verfügung, wie beispielsweise die eigene Homepage.

Staatskanzlei Sachsen hat Vorbildfunktion – auch bei der DSGVO Einhaltung!

Die Staatskanzlei, als oberste Landesbehörde des Freistaates und Amtssitz des Sächsischen Ministerpräsidenten, hat eine Vorbildfunktion zu erfüllen, betont die Datenschutzbeauftragte. Dies bedeutet, dass sie bei ihren Handlungen an Recht und Gesetz gebunden ist und daher besonders auf die Rechtmäßigkeit ihrer Datenverarbeitungen achten muss. Hundert bezeichnet das aktuelle Verfahren als exemplarisch und ermutigt auch andere öffentliche Stellen Sachsens, die das soziale Netzwerk nutzen, dazu, aktiv und sofort die datenschutzwidrige Nutzung ihrer Facebook-Fanpages zu beenden.

Staatskanzlei Sachsen will sich mit der Begründung nun auseinandersetzen

Der Streit zwischen den Parteien zieht sich bereits eine Weile hin und es fanden mehrere Gespräche statt, die jedoch zu keiner Einigung führten. Die Staatskanzlei kündigte an, die Entscheidung sorgfältig zu prüfen und sich intensiv mit der Begründung auseinanderzusetzen. Ein Regierungssprecher wies außerdem darauf hin, dass das Bundespresseamt im März Klage gegen die Anweisung des Bundesdatenschutzbeauftragten Ulrich Kelber erhoben habe, den Betrieb von Facebook-Seiten des Bundes einzustellen.

DSGVO Musterverfahren soll Klarheit beim Betrieb von Facebook Fanpages bringen

Dieser Fall werde als Musterverfahren angesehen, um Klarheit für den Betrieb von Fanpages zu schaffen. Allerdings sieht Hundert in diesem Fall kein Musterverfahren und ein Urteil in Köln würde sich nicht direkt auf Sachsen auswirken.

Die Staatskanzlei hat die Möglichkeit, innerhalb eines Monats Klage gegen die Untersagungsverfügung der Datenschutzbeauftragten beim Verwaltungsgericht Dresden einzulegen. Dies hätte eine aufschiebende Wirkung, sodass die sächsische Regierung weiterhin Fanpages betreiben könnte, bis das Verfahren rechtskräftig abgeschlossen ist.

Die Staatskanzlei betont, dass hinter dem Vorgehen der Datenschutzbeauftragten von Bund und Ländern komplexe Sach- und Rechtsfragen zum europäischen Datenschutzrecht stehen, die nicht nur für Behörden, sondern auch für andere öffentliche Einrichtungen und die Wirtschaft von grundlegender Bedeutung sind.