Kitabı oku: «Öffentliche Stelle in den Sozialen Medien»

2.1. Funktionen und Ziele der Nutzung durch öffentliche Stellen

Die Ziele der öffentlichen Stellen bei der Nutzung der Sozialen Medien lassen sich in vier Bereiche einteilen: Die allgemeine Presse- und Öffentlichkeitsarbeit, die Personalgewinnung, die Erfüllung behördenspezifischer Ziele und (in einem gewissen Maße) die Erfüllung von partizipativen und kollaborativen Zwecken im Rahmen des E-Government-Ansatzes.

Abbildung 1 – Funktionen und Ziele staatlicher Öffentlichkeitsarbeit

2.1.1. Presse- und Öffentlichkeitsarbeit

Zum einen ist die Presse- und Öffentlichkeitsarbeit der öffentlichen Stellen zu nennen. Die Presse- und Öffentlichkeitsarbeit kann Auskünfte, Warnungen, Empfehlungen, Berichte, Gutachten oder sonstige, schlichte Informationstätigkeiten der Verwaltung umfassen.15 Die Auskünfte und sonstigen Informationstätigkeiten dürften wohl zum Kernbereich der klassischen Presse- und Öffentlichkeitsarbeit zählen. Sie finden auch nach den erheblichen Veränderungen in der Medienwelt statt und sind weiterhin von hoher Relevanz, da sie in Bezug auf die Sozialen Medien als komplementär zu betrachten sind.16 Dies lässt sich daraus ableiten, dass die Nutzung beider Wege, also die Verbreitung einer Information über die Sozialen Medien und über die Presse, als gewinnbringend erachtet wird, da ein größerer Empfängerkreis erreicht werden kann.17 Diese Komplementärfunktion ist mit dem Nutzungsverhalten einzelner Bevölkerungsgruppen zu erklären. So zeichnet sich die Tendenz ab, dass sich jüngere Personen signifikant stärker über das Internet und die Sozialen Medien informieren als über die klassischen Medien wie TV, Radio oder Printerzeugnisse.18 Daraus folgt, dass ohne den Einsatz von Sozialen Medien der Adressatenkreis „junge Erwachsene“ nicht beziehungsweise nur teilweise erreicht werden könnte.

Daneben hat die Nutzung von Sozialen Medien einen zweiten zentralen Vorteil. Hierbei handelt es sich um die direkte Kommunikationsmöglichkeit mit den Nutzerinnen und Nutzern. Das heißt, Informationen können ungefiltert an eine bestimmte Zielgruppe adressiert werden, ohne dass es zu einer Informationsfilterung, -reduzierung oder -modifikation durch die Medien kommt.19 Die öffentlichen Stellen können damit die Gatekeeperfunktion der Medien umgehen und ihre gewünschten Botschaften transportieren, wobei dies durchaus kritisch diskutiert werden kann, da die Plattformanbietenden durch Algorithmen auch eine gewisse Selektion und Einflussnahme auf die Beiträge vornehmen können.

Das Bundesministerium des Innern benennt in der Beantwortung einer Anfrage explizit das Ziel, die oben beschriebene Zielgruppe Digital Natives erreichen zu wollen, die auf den herkömmlichen Wegen tendenziell schwerer zu erreichen ist und erkennt zusätzlich den Vorteil, die Gatekeeper umgehen zu können.20 Ähnlich antworten auch weitere öffentliche Stellen wie beispielsweise die Beauftragte der Bundesregierung für Kultur und Medien (BKM)21, der Deutsche Wetterdienst (DWD)22, das Bundeskartellamt (BKartA)23 oder auch das Bundesministerium der Justiz und für Verbraucherschutz (BMJV)24.

Ziel der klassischen Informations- und Öffentlichkeitsarbeit ist es, die Bürgerinnen und Bürger über die Tätigkeiten und Aufgaben einer öffentlichen Stelle zu informieren und diese zu erläutern, Vertrauen aufzubauen, den Bekanntheitsgrad zu steigern oder allgemein eine Imagesteigerung zu erreichen.25 Wesentliches Kennzeichen ist, dass die öffentlichen Stellen über ihre Aufgabenerledigung berichten.26

Rechtlich betrachtet, konstatiert das Bundesverfassungsgericht in seiner Entscheidung Parteienfinanzierung I, dass die Öffentlichkeitsarbeit der Regierung und der gesetzgebenden Körperschaften zulässig und vielmehr für die politische Meinungs- und Willensbildung der Bevölkerung sogar erforderlich ist.27 In der Entscheidung des Bundesverfassungsgerichts zur (unzulässigen) Öffentlichkeitsarbeit der Bundesregierung vor Bundestagswahlen wird diese Feststellung bestätigt und verfestigt.28 Begründet wird dies im Kern damit, dass die Bürgerinnen und Bürger staatliches Handeln nur dann bewerten können, wenn sie Zugang zu den Informationen der entscheidenden Sachfragen und den getroffenen Entscheidungen haben.29 Die Kommunikation im demokratischen Verfassungsstaat ist demnach keine Einbahnstraße.30 Die beiden Entscheidungen betreffen dem Wortlaut nach die Regierung und die gesetzgebenden Körperschaften. Ebenso geht die Literatur davon aus, dass die Öffentlichkeitsarbeit eine staatsleitende Aufgabe ist, also eine Aufgabe, die die Regierung betrifft.31 Der Kerngedanke ist jedoch auch auf andere öffentliche Stellen zu übertragen.32 So ist davon auszugehen, dass alle öffentlichen Stellen im Rahmen ihrer zugewiesenen Tätigkeiten berechtigt und verpflichtet sind Informations- und Öffentlichkeitsarbeit zu betreiben.33

Offenheit, Transparenz und Nachvollziehbarkeit staatlichen Handelns sind elementare Grundsteine der Gesellschaft und schaffen Legitimität und Akzeptanz für staatliches Handeln. Insbesondere die mögliche Akzeptanzsteigerung für staatliche Entscheidungen und Handlungen ist unter dem Gesichtspunkt der Effektivität der Verwaltung zu würdigen.34 Die Publizität der Verwaltung ist als ein Prinzip innerhalb der Verfassungsentscheidung Demokratie anerkannt.35 Und zwar konkret in der Gestalt, dass je wichtiger eine staatliche Tätigkeit ist, desto gebotener ist die Publizität.36 Ebenso kann aus dem Rechtsstaatsprinzip eine Pflicht zur Öffentlichkeitsarbeit abgeleitet werden. Denn nur transparentes staatliches Handeln kann einer allgemeinen Kontrolle durch die Bürgerinnen und Bürger unterliegen und folglich zur Mäßigung der Staatsgewalt in ihrem originären Handeln führen.37 Demnach kann die Öffentlichkeitsarbeit als Annexaufgabe zur originären gesetzlichen Aufgabe einer öffentlichen Stelle angesehen werden.38 Da die Publizität der Regierung und der Verwaltung insbesondere für das Demokratieprinzip bedeutend sind, ist weiter festzustellen, dass die Bürgerinnen und Bürger einen Anspruch auf freien und gleichen Zugang zur staatlichen Öffentlichkeitsarbeit haben.39

2.1.2. Personalgewinnung

Ein weiteres Ziel der Nutzung von Sozialen Medien ist die Personalgewinnung und damit zusammenhängend die Imagesteigerung als Arbeitgeberin bzw. Arbeitgeber. Erkennbar ist dies an den zahlreichen gesonderten Accounts verschiedener öffentlicher Stellen wie zum Beispiel die der Bundespolizei40 oder der Bundeswehr41. Ebenso werden Serien und eigene Formate produziert, die vordergründig in den Sozialen Medien genutzt werden, um Nachwuchskräfte anzuwerben.42 Aber nicht nur das direkte Werben von Nachwuchskräften fällt in diese Kategorie, sondern vielmehr auch die allgemeine Selbstdarstellung als Organisation. Denn nur mit einem positiven Image bei potenziellen Bewerberinnen und Bewerbern kann die Personalgewinnung erfolgreich sein. Für die Personalgewinnung und das Personalmarketing dürften die Sozialen Medien bereits jetzt unerlässlich sein und zukünftig noch weiter an Relevanz gewinnen. Für den öffentlichen Dienst wird ein massiver Fachkräftemangel prognostiziert. So geht eine Studie von einem Fachkräftemangel im Jahr 2030 von über 800.000 Personen im öffentlichen Sektor aus.43 Eine Handlungsempfehlung der Autoren zielt auf die Professionalisierung der Fachkräftegewinnung.44 In Anbetracht der beständigen Relevanz von Sozialen Medien im Internet,45 scheint die verstärkte Nutzung Sozialer Medien durch öffentliche Stellen für das Personalmarketing folgerichtig und unausweichlich zu sein.

2.1.3. Behördenspezifische Ziele

Neben dem allgemeinen Informationshandeln über die Aufgaben und Tätigkeiten der öffentlichen Stellen oder zur Selbstdarstellung als Arbeitgeberin bzw. Arbeitsgeber bestehen ausdrückliche gesetzliche Zuweisungen zur Öffentlichkeitsarbeit und Informationstätigkeit. Ein wesentliches Unterscheidungsmerkmal zur allgemeinen Presse- und Öffentlichkeitsarbeit ist, dass bei der Informationstätigkeit in Bezug auf die Erfüllung behördenspezifischer Ziele und Zwecke eben nicht nur über die staatliche Aufgabenerledigung informiert wird, sondern diese vielmehr der originären Aufgabenerledigung dient.46 Die Informationstätigkeit ist demnach das Handeln im Zuge der Aufgabenerledigung der öffentlichen Stelle. Zu nennen sind hier beispielsweise behördenspezifische Normen wie § 2 Abs. 1 Nr. 12 BfRG, § 4 Abs. 1 Nr. 3 DWD-Gesetz, § 33 Abs. 1 Satz 3 BNDG oder § 4 Abs. 4 BGA-NachfG, die zur Öffentlichkeitsarbeit durch die jeweilige öffentliche Stelle verpflichten. Ein weiterer und bekannterer Normenkomplex stellen die §§ 131 ff. StPO dar. Diese ermächtigen zur Öffentlichkeitsfahndung und sehen dafür ausdrücklich die Verwendung elektronischer Medien vor. In den davor genannten Normen wird kein Medium vorgegeben. Damit sind alle möglichen Formen der Öffentlichkeitsarbeit zulässig. Vielmehr müssen die öffentlichen Stellen zur Erfüllung des gesetzlichen Auftrags ihre Kommunikationsstrategien fortlaufend kritisch überprüfen und den aktuellen Entwicklungen anpassen, damit ein möglichst großer Teil der Bevölkerung erreicht werden kann.

2.1.4. E-Government-Ansatz

Die elektronische Kommunikation erfährt neben der zunehmenden praktischen Relevanz im gesellschaftlichen Kontext auch im Verwaltungshandeln immer mehr an Bedeutung. So normiert § 3a Abs. 2 VwVfG eine grundsätzliche Gleichstellung zwischen der elektronischen und der herkömmlichen, papierbasierten Kommunikation im Verwaltungsverfahren.47 Im Bereich der Sozialen Medien dürfte allerdings das klassische Verwaltungsverfahren gegenwärtig keine wesentliche Rolle einnehmen. Maßgebliche Gründe sind hierfür die fehlende Authentizität, Integrität, Vertraulichkeit und Verbindlichkeit in den führenden Sozialen Medien. Somit sind Verwaltungsverfahren, also beispielsweise das Ausstellen einer Genehmigung, nicht über die Sozialen Medien möglich. Vielmehr dienen die Sozialen Medien als grundsätzliche Kommunikationsmöglichkeit mit den Bürgerinnen und Bürgern und als informelle Partizipations- und Kollaborationsmöglichkeit.48 So können die Sozialen Medien auf den unteren Ebenen der Bürgerbeteiligung, also auf den Ebenen von der bloßen Information bis zur Kollaboration, dienlich sein.49 Eine solche Beteiligung ist stets als informelle Beteiligung ohne rechtliche Auswirkungen einzustufen. Der Grund hierfür ist die fehlende Möglichkeit, die Sozialen Medien im Verwaltungsverfahren einzusetzen. Trotz alledem dürfen die partizipativen und kollaborativen Chancen, die die Sozialen Medien mit sich bringen, nicht unterschätzt werden.

15 Gusy, Verwaltung durch Information in: NJW 2000, 977, 978. 16 Fehringer, Solmecke, Der Social-Media-Leitfaden für Kommunen, S. 27 f. 17 Ebenda. 18 Hölig, Hasebrink, Reuters Institute Digital News Report 2019 – Ergebnisse für Deutschland, https://www.hans-bredow-institut.de/(...)_Deutschland.pdf, S. 17 ff. 19 Nähere Ausführungen zur Gatekeeping-Theorie siehe Shoemaker, Vos, Gatekeeping theory, S. 11 ff. 20 Bundesministerium des Innern, Anfrage zur Nutzung sozialer Medien, https://fragdenstaat. de/anfrage/(...)geschwaerzt.pdf. 21 BKM, Social Media Aktivitäten der BKM, https://fragdenstaat.de/anfrage/(...)social-media. pdf. 22 DWD, Social Media Aktivitäten des DWD, https://fragdenstaat.de/anfrage/(...)Media_final. pdf. 23 BKartA, Social Media Aktivitäten des BKartA, https://fragdenstaat.de/anfrage/(...)Leit faden_geschwrzt.pdf. 24 BMJV, Social Media Aktivitäten des BMJV, https://fragdenstaat.de/anfrage/(...)/scan_anlage. pdf. 25 Siehe vorgenannte Quellen und auch Bundesamt für Verbraucherschutz und Lebensmittelsicherheit (BVL), Social Media Aktivitäten des BVL, https://fragdenstaat.de/anfrage/(...) Ueberblick.pdf. 26 Drefs, Die Öffentlichkeitsarbeit des Staates und die Akzeptanz seiner Entscheidungen, S. 74. 27 BVerfGE 20, 56, 100. 28 BVerfGE 44, 125, 147 f. 29 BVerfGE 44, 125, 147 f. 30 Gusy, Verwaltung durch Information in: NJW 2000, 977, 978. 31 Epping in: Epping, Hillgruber, BeckOK Grundgesetz, Art. 65 Rn. 23 oder auch Grzeszick in: Maunz, Dürig, Grundgesetz-Kommentar, Art. 20 Rn. 26. 32 OVG Münster, Urteil vom 04.11.2016 – 15 A 2293/15, DVP 2019, 494, 496; BVerwG, Urteil vom 13.09.2017 – 10 C 6.16, NVwZ 2018, 433, 434; BVerwG, Urteil vom 18.09.2019 – 6 A 7.18, BeckRS 2019, 28381 Rn. 28; Pieroth in: Jarass, Pieroth, Grundgesetz, Art. 20 Rn. 20; Hofmann in: Schmidt-Bleibtreu, Hofmann, Henneke, Grundgesetz Kommentar, Art. 20 Rn. 47; Drefs, Die Öffentlichkeitsarbeit des Staates und die Akzeptanz seiner Entscheidungen, S. 176 ff. m.w.N.; andere Ansicht: Ossenbühl, Verbraucherschutz durch Information in: NVwZ 2011, 1357, 1360. 33 BVerwG, Urteil vom 18.09.2019 – 6 A 7.18, BeckRS 2019, 28381 Rn. 28. 34 Drefs, Die Öffentlichkeitsarbeit des Staates und die Akzeptanz seiner Entscheidungen, S. 277 f. 35 Grzeszick in: Maunz, Dürig, Grundgesetz-Kommentar, Art. 20 Rn. 27. 36 Ebenda, Rn. 31. 37 Drefs, Die Öffentlichkeitsarbeit des Staates und die Akzeptanz seiner Entscheidungen, S. 63 ff. 38 Gusy, Verwaltung durch Information in: NJW 2000, 977, 980 f. 39 Gusy in: Hoffmann-Riem, Schmidt-Aßmann, Voßkuhle, Grundlagen des Verwaltungsrechts, § 23 Rn. 111. 40 https://www.instagram.com/bundespolizeikarriere/ und https://www.facebook.com/BundespolizeiKarriere/. 41 https://www.facebook.com/bundeswehr.karriere/. 42 Zu nennen sind hier insbesondere die Serien der Bundeswehr: Die Rekruten, MALI oder KSK. 43 PwC, Fachkräftemangel im öffentlichen Dienst – Prognose und Handlungsstrategien bis 2030, https://www.pwc.de/de/offentliche-unternehmen/pwc-fachkraeftemangel-im-oeffentlichendienst.pdf, S. 8. 44 Ebenda, S. 71 ff. 45 Beisch, Koch, Schäfer, ARD/ZDF-Onlinestudie 2019: Mediale Internetnutzung und Videoon-Demand gewinnen weiter an Bedeutung in: Media Perspektiven 2019, 374, 383. 46 Drefs, Die Öffentlichkeitsarbeit des Staates und die Akzeptanz seiner Entscheidungen, S. 74. 47 Heckmann in: jurisPraxiskommentar-Internetrecht, Kapitel 5 Rn. 430. 48 Gabriel, Röhrs, Social Media, Nr. 5.3.2.4 oder auch Schulz in: Hornung, Müller-Terpitz, Rechtshandbuch Social Media, Nr. 10.2.3 oder auch Riarh, Roy in: Gascó-Hernández, Open Government, S. 86 f. 49 Gabriel, Röhrs, Social Media, Nr. 5.3.2.4.

2.2. Technische Grundlagen

Damit die rechtlichen Rahmenbedingungen für die Nutzung von Sozialen Medien herausgearbeitet werden können, müssen zunächst die technischen Grundlagen skizziert werden. Wie in Kapitel 2 festgestellt, hat Facebook einerseits grundsätzlich eine hohe Relevanz innerhalb der Sozialen Medien und anderseits erreichen die öffentlichen Stellen bei der Facebook-Nutzung hohe Reichweiten. In einem gewissen Umfang können die Erkenntnisse über Facebook auf andere Social-Media-Dienste übertragen werden, da diese in ihrer technisch-funktionalen Struktur ähnlich aufgebaut sind. So existiert häufig eine Hauptfunktion oder ein Hauptdienst wie die Facebook-Fanpage, eine Twitter- oder Instagram-Seite, daneben dazugehörige Social Plugins wie beispielsweise die Teilen- oder Gefällt-mir-Funktionen, die auf den originären Internetseiten eingebunden werden können und zuletzt weitere Cookies oder ähnliche Trackingmöglichkeiten, die zur Analyse auf die originäre Interseite eingebettet werden wie beispielsweise Facebook-Pixel. Auch bei den Analyse-Tools ähneln sich die unterschiedlichen Plattformen. So hält der Facebook-Konzern mit Facebook-Insights und Instagram-Insights sowie Twitter mit Twitter-Analytics Applikationen zur Analyse bereit, die sich in ihrer Funktionsweise und technischen Infrastruktur ähneln.

Daher werden nachfolgend exemplarisch lediglich die verschiedenen Facebook-Anwendungen näher betrachtet. Hierbei besteht die Problematik, dass es zwar Untersuchungen zur Funktionsweise verschiedener Anwendungen gibt,50 im Übrigen jedoch auf die Angaben von Facebook zurückgegriffen und vertraut werden muss. Allerdings gibt es immer wieder Abweichungen zwischen den Angaben des Konzerns und der tatsächlichen Datenverarbeitung. Beispielsweise warb Facebook bei seinen Nutzerinnen und Nutzern für eine Zwei-Faktor-Authentifizierung mit dem Argument, das Facebook-Konto besser schützen zu wollen. Die gewonnenen zusätzlichen Daten der Nutzerinnen und Nutzer wurden sodann für Werbezwecke verwendet und in der Facebook-Öffentlichkeit, beispielsweise bei der Personensuche, sichtbar.51 Ein weiteres Beispiel ist das nicht rechtmäßige Erheben, Speichern und Verarbeiten von bis zu 1,5 Millionen E-Mail-Adressen. In diesem Fall verarbeitete Facebook seit 2016 E-Mail-Adressen aus einigen Kontaktlisten der Nutzerinnen und Nutzer ohne Rechtsgrundlage und informierte die Betroffenen zu diesem Zeitpunkt nicht.52 Daher sollten die von Facebook gegebenen Informationen stets kritisch betrachtet werden.

2.2.1. Facebook-Fanpage

Facebook hat zwei Möglichkeiten zur Einrichtung eines Accounts. Zum einen können Privatpersonen ein Profil erstellen, mit dem sie mit ihrem Facebook-Freundeskreis kommunizieren und interagieren können. Zum anderen haben Unternehmen, Organisationen, Personen des öffentlichen Lebens oder öffentliche Stellen die Möglichkeit eine Facebook-Seite, die sogenannte Fanpage, zu erstellen. Für die Erstellung und Verwaltung ist allerdings ein persönlicher Facebook-Account erforderlich. Die Fanpage ist für die Betreiberinnen und Betreiber kostenfrei und soll dazu dienen, dem eigenen Unternehmen ein Gesicht zu geben, die eigene Zielgruppe besser analysieren und erreichen zu können und über Analyse-Funktionen mehr Informationen über Wettbewerberinnen und Wettbewerber zu erhalten.53

Wesentlicher Bestandteil einer Fanpage sind demnach die Analyse-Funktionen. Die Analyse-Funktionen werden durch die direkt verknüpfte und nicht abschaltbare Anwendung Facebook-Insights ermöglicht. Insights erfasst für die Fanpage-Betreibenden anonymisierte Grunddaten wie Seitenaktivitäten, Seitenaufrufe, Gefällt-Mir-Angaben, Reichweiten, Interaktionen, Abonnentenanzahl sowie Geschlechter-, Alters-, Herkunfts- und Sprachenanteile auf der eigenen Fanpage. Diese Daten werden über Tracking-Cookies gesammelt, durch die die Nutzerin bzw. der Nutzer einen Code in Form einer Textdatei zugewiesen bekommt, sodass alle Aktivitäten nachverfolgt werden können. Die Fanpage-Betreibenden erhalten keinen Rückschluss auf die Identität der Cookie-Besitzerinnen und -Besitzer. Für Facebook dürfte die Verknüpfung zu einem Facebook-Profil allerdings möglich sein. Die Cookies werden bei der Nutzung eines Facebook-Kontos, bei der Nutzung von anderen Facebook-Produkten oder auch bei der Nutzung von Angeboten Dritter, bei denen die Cookies eingebunden sind, übertragen.54

Abbildung 2 – Datenverarbeitung durch Facebook-Insights

Über die Zusatzfunktion Facebook-Zielgruppen-Analyse können Fanpage-Betreiberinnen und -Betreiber zudem Informationen zu Bildungsstand, Beruf, Beziehungsstatus, Hobbys, Einkommen, Familiengröße und Standort erhalten.55 Hieraus lässt sich schließen, dass ein Profiling bei Facebook stattfindet, das auch den Fanpage-Betreiberinnen und -Betreibern zur Verfügung gestellt wird.

Abbildung 3 – Datenverarbeitung durch Facebook-Zielgruppen-Analyse

Darüber hinaus verarbeitet Facebook weitere Daten und Metadaten, die über die Nutzerinnen und Nutzer erfasst werden können und verbindet diese Daten unternehmensübergreifend innerhalb des Konzerns.56 Laut Facebook sind dies beispielsweise Aufnahmestandort und -daten von Fotos, alle Informationen über die Art der Nutzung, Interaktionen, Handlungen, Zeit, Häufigkeit und Dauer von Aktivitäten, Inhalte, Kommunikationen und Informationen, die von anderen Facebook-Nutzerinnen und Nutzer bereitgestellt werden sowie Geräteinformationen wie zum Beispiel Geräteattribute57, Vorgänge auf dem Gerät58, Identifikationen59, Gerätesignale60, Daten aus Geräteeinstellungen61, Netzwerk und Verbindungen62.63

Abbildung 4 – Interne Datenverarbeitung durch Facebook

Genutzt werden die Cookie-Daten laut Facebook für die Authentifizierung, Sicherheit, Webseiten- und Produktintegrität, Werbung, Empfehlungen, Einblicke, Messungen, das Ermöglichen von Webseitenfunktionen, die Steigerung der Performance sowie für Analysen und Forschung.64 Ausgelöst wird die Datenverarbeitung durch den Aufruf einer Fanpage.

Zusammenfassend kann konstatiert werden, dass nahezu alle möglichen Daten erfasst und für nahezu alle möglichen Bereiche verwendet werden. Eine Eingrenzung ist nahezu nicht gegeben.

2.2.2. Social Plugins

Facebook bietet für Fanpage-Betreiberinnen und -Betreiber zudem Social Plugins an. Social Plugins sind Facebook-Funktionen, die über Inlineframes (iFrame) oder über Javascript-Software Development Kits (Javascript-SDK) auf die originäre Internetseite eingebunden werden. Mit der Einbindung auf der eigenen Internetseite werden Interaktionen mit der dazugehörigen Facebook-Fanpage ermöglicht. Facebook stellt für verschiedene Funktionen die Programmierelemente zur Verfügung. Sind die Elemente auf der Internetseite eingebunden, können diese wie oben beschrieben Informationen über die Nutzerinnen und Nutzer der Internetseite erheben, Nutzerkennungen vergeben, bestehende Cookies auslesen und diese Daten an Facebook senden.65 Für die Nutzerinnen und Nutzer ist dies nicht unmittelbar erkennbar.66 Facebook bietet für die Einbindung auf die originäre Internetseite folgende Elemente an:

 • eingebettete Kommentare,

 • eingebettete Beiträge,

 • eingebettete Videos,

 • Gruppen-Plugin,

 • Gefällt-mir-Button,

 • Seiten-Plugin,

 • Zitat-Plugin,

 • die Felder Speichern und Teilen sowie

 • oEmbed-Endpunkte.67

Das bekannteste Element dürfte der Gefällt-mir-Button sein. Neben den Originalangeboten von Facebook hat das Magazin heise die Zwei-Klick-Lösung sowie dessen Nachfolge die SHARIFF-Lösung geschaffen. Bei der Zwei-Klick-Lösung werden die Elemente so modifiziert, dass sie erst nach einer Betätigung durch die Nutzerin bzw. den Nutzer aktiviert werden und damit die Datenerhebung und -übertragung auslösen. Die Zwei-Klick-Lösung unterbindet demnach die sofortige Aktivierung des eingebundenen Elementes beim bloßen Laden der Internetseite und verzögert diese auf den Zeitpunkt, wenn das Element angeklickt wird. Bei der SHARIFF-Lösung werden benötigte Daten, wie zum Beispiel die Anzahl der Gefällt-mir-Klicks, über ein Skript der Internetseite abgefragt und darüber in die Internetseite eingebettet. Möchte der Nutzer oder die Nutzerin sodann das Element verwenden, wirkt es im Kern wie eine bloße Verlinkung auf die Facebookseite und löst erst nach dem Klick die Datenerhebung aus, nämlich bei Öffnung der Zielseite/-funktion.68

2.2.3. Facebook-Pixel

Facebook-Pixel ist eine Unterstützung für die Werbe-Funktionen auf Facebook innerhalb der Kategorie Custom Audience69. Mit diesem Analysewerkzeug können zusätzliche Daten und Informationen von den Nutzerinnen und Nutzern erhoben werden. Ziel ist es, alle Handlungen, die auf der originären Internetseite erfolgen, zu erfassen und an Facebook zu übertragen. Facebook bereitet diese Daten auf und stellt sie wiederum dem Fanpage-Betreiber bzw. der -Betreiberin zur Verfügung.70 Damit können Werbemaßnahmen oder Kampagnen zielgerichtet gesteuert werden. Denkbar ist dieser Ansatz auch für öffentliche Stellen, die unter Umständen nur eine bestimmte Zielgruppe ansprechen wollen. Das direkte Ansprechen einer bestimmten Zielgruppe könnte für eine öffentliche Stelle bei der Erfüllung ihrer Aufgabe einen wesentlichen Mehrwert für die Kommunikationsarbeit bedeuten und ist daher nicht grundsätzlich auszuschließen. Denkbar wäre zum Beispiel, dass das Bundesinstitut für Risikobewertung seine Risikokommunikation nicht mehr an die breite Öffentlichkeit ohne Einschränkungen im Adressatenkreis richtet, sondern nur an die maßgebliche Zielgruppe. Konkret könnte eine Meldung zu Hygieneregeln in Großküchen mit dazugehörigem Informationsmaterial nur an Personen, die vermutlich in Großküchen oder allgemein der Gastronomie arbeiten, gerichtet werden.71 Von der technischen Seite betrachtet wird ein nicht sichtbares Pixel, das sogenannte Zählpixel, auf der Internetseite eingebunden. Dieses ist für die Datenerhebung und -übertragung verantwortlich. Erfasst werden IP-Adressen, Informationen zum verwendeten Browser, Seitenstandort, Dokument, Referrer und Gerät, Pixel-ID, Facebook-Cookie-Kennung, wesentliche Handlungen auf der Interseite72 und Metadaten der Internetseite.73

Abbildung 5 – Datenverarbeitung durch Facebook-Pixel

50 Siehe hierzu beispielsweise Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein, Datenschutzrechtliche Bewertung der Reichweitenanalyse durch Facebook, https://www.datenschutzzentrum.de/uploads/facebook/facebook-ap-20110819.pdf. 51 Hegemann, Facebook missachtet mal wieder Ihre Privatsphäre, Zeit Online vom 04.03.19, https://www.zeit.de/digital/(...)privatsphaere. 52 Price, Facebook says it ‚unintentionally uploaded‘ 1.5 million people’s email contacts without their consent, https://www.businessinsider.de/(...). 53 Facebook, Seiten erstellen und verwalten, https://de-de.facebook.com/business/help/683232231880431. 54 Facebook, Cookies und andere Speichertechnologien, https://www.facebook.com/policies/cookies/. 55 Facebook, Zielgruppen-Insights, https://de-de.facebook.com/business/learn/facebookaudience-insights. 56 Facebook, Datenrichtlinie, https://de-de.facebook.com/privacy/explanation. 57 Informationen wie das Betriebssystem, Hardware- und Software-Versionen, Batteriestand, Signalstärke, verfügbarer Speicherplatz, Browsertyp, App- und Dateinamen und -arten sowie Plugins. 58 Informationen über die auf dem Gerät durchgeführten Vorgänge und Tätigkeiten, beispielsweise ob sich ein Fenster im Vordergrund oder Hintergrund befindet oder Mausbewegungen. 59 Geräte-IDs und sonstige Identifikatoren wie solche von Spielen, Apps oder Konten und Familiengeräte-ID. 60 Bluetooth-Signale und Informationen über WLAN-Zugangspunkte, Beacons und Funkzellentürme in der Nähe. 61 GPS-Standort, Kamera oder Fotos. 62 Informationen wie der Name des Mobilfunk- oder Internetanbieters, die Sprache, Zeitzone, Mobiltelefonnummer, IP-Adresse oder Verbindungsgeschwindigkeit und Informationen über andere in der Nähe oder im Netzwerk befindliche Geräte. 63 Facebook, Datenrichtlinie, https://de-de.facebook.com/privacy/explanation. 64 Facebook, Cookies und andere Speichertechnologien, https://www.facebook.com/policies/cookies/. 65 Facebook, FAQ zu sozialen Plug-ins, https://developers.facebook.com/docs/plugins/faqs. 66 Decker, Der Social-Media-Zyklus, Kapitel 10, S. 334 f. 67 Facebook, Soziale Plug-ins, https://developers.facebook.com/docs/plugins. 68 Berger, Schützen und teilen. Social-Media-Buttons datenschutzkonform nutzen in: c’t-Magazin 2014, Heft 26, S. 148 ff. 69 Custom Audience kann mit „benutzerdefinierte Zielgruppe“ übersetzt werden. 70 Facebook, Facebook-Pixel, https://de-de.facebook.com/business/help/553691765029382. 71 Bundesinstitut für Risikobewertung, Kochen für Viele, https://www.bfr.bund.de/de/(...)240187.html. 72 Hierzu zählen Standardhandlungen und Handlungen, die auf die jeweilige Internetseite angepasst werden können, siehe Facebook, Conversing Tracking, https://developers.facebook. com/docs/(...)#advanced_match. 73 Facebook, Facebook-Pixel, https://de-de.facebook.com/business/help/553691765029382.

3. Datenschutzrechtliche Rahmenbedingungen und Implikationen

Bei der Nutzung von Sozialen Medien durch öffentliche Stellen sind insbesondere die datenschutzrechtlichen Rahmenbedingungen und Implikationen zu klären. Diese sind dafür entscheidend, ob Soziale Medien beziehungsweise einzelne Anwendungen überhaupt als Mittel zur Öffentlichkeitsarbeit und Informationstätigkeit öffentlicher Stellen eingesetzt werden dürfen und wenn dies bejaht wird, welche datenschutzrechtlichen Rahmenbedingungen für die Nutzung gelten. Für die Praxis ist die Klärung dieser Fragen von Bedeutung, da das Datenschutzrecht omnipräsent zu sein scheint, aber gleichzeitig Unsicherheiten bei den Anwenderinnen und Anwendern damit verbunden sind.74

74 Siehe Befragung von Bitkom, bei der die Rechtsunsicherheit als größte Herausforderung im Zusammenhang mit der DSGVO genannt wird: Bitkom, Welches sind die größten Herausforderungen bei der Umsetzung der DS-GVO?, https://de.statista.com(...)deutschland/.

3.1. Datenschutzrechtliche Vorüberlegungen

Damit eine umfassende Betrachtung der datenschutzrechtlichen Rahmenbedingungen erfolgen kann, sind Vorüberlegungen anzustellen, wie sich das gegenwärtige Datenschutzrecht entwickelt hat und welche Aspekte bei der Entwicklung maßgeblich waren. Daneben ist zu klären, was unter personenbezogene Daten im Sinne des Datenschutzrechts zu verstehen ist.

3.1.1. Entstehung und Entwicklung des Datenschutzrechts

Im nationalen Recht ist der Ursprung des Datenschutzrechts in Hessen zu finden. Hier wurde am 30. September 1970 weltweit das erste Datenschutzgesetz verabschiedet. 1977 zog der Bund mit dem ersten Bundesdatenschutzgesetz nach. In beiden Fällen ist die Entstehung demnach auf legislative Initiativen zurückzuführen.75 Die Gesetzgeber wurden maßgeblich vom Gedanken der automatisierten Prozesse und den damit einhergehenden Folgen geleitet. Sie erkannten die Gefahren für den Einzelnen hinsichtlich sozialer, politischer und wirtschaftlicher Diskriminierung, die mithilfe der Gesetze verhindert werden sollten.76 In den darauffolgenden Jahren wurde das deutsche Datenschutzrecht maßgeblich weiterentwickelt und bekam durch das Volkszählungsurteil des Bundesverfassungsgerichts vom 15. Dezember 1983 ein erhebliches Mehrgewicht.77 Das Bundesverfassungsgericht äußerte sich anschließend in weiteren Entscheidungen zum Datenschutzrecht und bildet dieses bis dato fort.78

Konkret schuf das Bundesverfassungsgericht das Recht auf informationelle Selbstbestimmung und das Recht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme.79 Beide Rechtsfortbildungen werden dem allgemeinen Persönlichkeitsrecht aus Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 GG zugeordnet.80 Sie haben damit eine wesentliche verfassungsrechtliche Bedeutung und werden als Grundrechte eingestuft, die elementar für die freiheitliche Demokratie sind.81 Im Kern geht es bei beiden Grundrechten um die freie Entfaltung der Persönlichkeit, die insbesondere durch die Verarbeitung personenbezogener Daten gefährdet werden kann. Der Schutzbereich des Rechts auf informationelle Selbstbestimmung umfasst Informationen über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren Person mittels automatisierter Daten oder jede andere Form der Erhebung, Speicherung, Verwendung, Weitergabe oder Veröffentlichung von Daten und Information einer bestimmten oder bestimmbaren Person.82

Kerngedanke des deutschen Datenschutzrechts ist zusammengefasst die Privatsphäre des Einzelnen vor der Informationsmacht des Staates aber auch vor der Informationsmacht der Privatwirtschaft zu schützen. Die ersten Landesdatenschutzgesetze richteten sich jedoch nur an staatliche Stellen. Erst mit dem Bundesdatenschutzgesetz aus dem Jahr 1977 wurde der Geltungsbereich auf die Privatwirtschaft erweitert.83 Auch die vom Bundesverfassungsgericht geschaffenen Grundrechte sind zunächst klassische Abwehrrechte gegen den Staat, wobei diese aufgrund der mittelbaren Drittwirkung auch eine Schutzwirkung gegen Private entfalten. Geleitet wurde die Entwicklung des Datenschutzrechts in Deutschland von den grundlegenden Prinzipien der Erforderlichkeit, Zweckbindung, Transparenz, Datenminimierung und Kontrolle.84

Im internationalen Bereich gibt es diverse Rechtsquellen, in denen das Datenschutzrecht entwickelt wurde. So lassen sich mit Art. 7 GRCh, das Recht auf Privatleben, Art. 8 GRCh, das Recht auf Schutz personenbezogener Daten, und Art. 8 EMRK, das Recht auf Achtung des Privat- und Familienlebens, Normen mit datenschutzrechtlichen Bezügen in völkerrechtlichen Verträgen beziehungsweise im europäischen Primärrecht finden. Maßgeblich in der internationalen Entwicklung dürfte Art. 8 EMRK sein. Aus dieser Norm leitet der Europäische Gerichtshof für Menschenrechte seit 1970 Schutzrechte in Bezug auf personenbezogene Daten ab.85 1981 beschloss sodann der Europarat die Datenschutzkonvention86, die wiederum 1985 in Deutschland ratifiziert wurde87. Wesentlicher Inhalt ist gemäß Art. 1 Datenschutzkonvention die Sicherstellung des Rechts auf einen Persönlichkeitsbereich bei der automatisierten Verarbeitung personenbezogener Daten. Konkret werden bereits 1981 in Art. 5 Datenschutzkonvention die Datenschutzgrundsätze Rechtmäßigkeit, Zweckbindung, Erforderlichkeit und Richtigkeit benannt, die das Datenschutzrecht bis dato prägen.

Mit Inkrafttreten der Grundrechtscharta im Jahr 2009 entfaltete Art. 8 GRCh Rechtswirkung, wobei der EuGH schon wesentlich früher das Grundrecht auf Datenschutz materiell in seiner Rechtsprechung verwendete.88 Art. 8 GRCh dürfte fortan für das Datenschutzrecht wesentlich gewesen sein, da es sich hier um ein ausdrückliches Datenschutzgrundrecht handelt.89 Inhaltlich korrespondierend zu Art. 8 GRCh enthält Art. 16 AEUV ebenfalls datenschutzrechtliche Bestimmungen. Zudem schafft Art. 16 Abs. 1 S. 1 AEUV eine Gesetzgebungskompetenz für die Europäische Union,90 sodass auf dieser Grundlage ausdrücklich supranationale datenschutzrechtliche Regelungen erlassen werden können, auf denen letztendlich die DSGVO beruht. Vor Inkrafttreten der DSGVO waren im europäischen Sekundärrecht insbesondere die Datenschutz-Richtlinie91 und die ePrivacy-Richtlinie92 von Bedeutung. Wichtige Neuerungen bei der Datenschutz-Richtlinie waren unter anderem das Transparenzprinzip sowie das Recht auf Löschung und Berichtigung.93 Im Mai 2018 trat dann die DSGVO in Kraft. Die DSGVO entfaltet aufgrund des Rechtsaktes Verordnung gemäß Art. 288 AEUV eine unmittelbare Wirkung in den Mitgliedsstaaten. Sie konstatiert im Wesentlichen den Kern der davor geltenden Datenschutz-Richtlinie, enthält aber auch bedeutende Neuerungen wie beispielsweise erweiterte Transparenzpflichten, Präzisierungen von Betroffenenrechten, Meldepflichten bei Datenschutzverstößen oder den Grundsatz privacy by design.94 In Art. 5 Abs. 1 DSGVO sind die Grundsätze für die Verarbeitung personenbezogener Daten verankert, die gegenwärtig das Datenschutzrecht prägen. Im Einzelnen sind dies folgende Prinzipien:

 • Rechtmäßigkeit der Verarbeitung,

 • Verarbeitung nach Treu und Glauben,

 • Transparenz,

 • Zweckbindung,

 • Datenminimierung,

 • Richtigkeit,

 • Speicherbegrenzung beziehungsweise Erforderlichkeit sowie

 • Integrität und Vertraulichkeit.

3.1.2. Personenbezogenes Datum

Elementar für die Anwendung des Datenschutzrechts ist die Definition des Begriffs personenbezogenes Datum. Denn hierüber wird sowohl der sachliche Anwendungsbereich der DSGVO gemäß Art. 2 Abs. 1 DSGVO definiert als auch die Betroffenheit des Schutzbereichs des Grundrechts auf informationelle Selbstbestimmung nach Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 GG sowie den vergleichbaren Grundrechten auf supranationaler oder völkerrechtlicher Ebene. Art. 4 Nr. 1 DSGVO enthält eine Legaldefinition. Demnach sind personenbezogene Daten alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Neben diesem Auszug wird in Art. 4 Nr. 1 DSGVO weiter konkretisiert, wann eine natürliche Person als identifizierbar angesehen wird. Diese Definition ist sehr weit gefasst und hat einen niedrigschwelligen Ansatz.95 So sind zunächst nahezu alle Informationen grundsätzlich erfasst, auch wenn sie nicht unmittelbar beziehungsweise keinen offensichtlichen Bezug zu einer Person haben.96 Demnach gibt es kein belangloses Datum.97 Einzig absolute Sachdaten wie die Einwohnerzahl einer Stadt, sind hiervon nicht erfasst.98 Im nationalen Kontext wird eine vergleichbare Definition verwendet. Hiernach umfasst das Grundrecht auf informationelle Selbstbestimmung jede Verarbeitung von persönlichen, das heißt individualisierten oder individualisierbaren Informationen.99

Vorliegend dürften insbesondere Online-Kennungen von Relevanz sein. Online-Kennungen sind beispielsweise IP- und MAC-Adressen oder auch Cookie-IDs. Dies sind zwar keine Daten, mit denen Personen stets identifiziert werden können, jedoch ermöglichen sie die Identifizierbarkeit, sobald weitere Informationen zur Verfügung stehen und diese den personenbezogenen Daten und damit natürlichen Personen zugeordnet werden.100 Diese Auffassung folgt der relativen Betrachtungsweise des Personenbezugs mit objektiven Elementen.101

KURZ UND KNAPP

Ein Großteil der Informationen, die im Internet technisch ausgetauscht oder erhoben werden, sind als personenbezogene Daten im datenschutzrechtlichen Sinne einzustufen.

3.1.3. Zwischenergebnis

Die nationale und europäische Entwicklung zeigt, dass das Datenschutzrecht erhebliche Schutzziele verfolgt. Dennoch muss festgestellt werden, dass die technischen Entwicklungen so rasant voranschreiten, dass das Recht stets unter Reflexion der technischen Neuerungen angepasst werden muss. Ungeachtet dessen sind die zentralen Aspekte des Datenschutzrechts sowohl vom Gesetzgeber als auch von der Rechtsprechung anerkannt und bilden damit seit Entstehung des Datenschutzrechts die Grundlage für die Rechtsanwendung und -fortentwicklung.

75 Simitis, Hornung, Spiecker, Datenschutzrecht, Einleitung Rn. 1 ff. 76 Simitis, Hornung, Spiecker, Datenschutzrecht, Einleitung Rn. 9 f. 77 BVerfGE 65, 1. 78 BVerfGE 100, 313; BVerfGE 115, 320; BVerfGE 120, 274; BVerfGE 125, 260. 79 Schmidt in: Taeger, Gabel, DSGVO – BDSG, Art. 1 DSGVO Rn. 25 ff. 80 Bretthauer in: Specht, Mantz, Handbuch Europäisches und deutsches Datenschutzrecht, § 2 Rn. 4 ff. 81 Simitis, Hornung, Spiecker, Datenschutzrecht, Einleitung Rn. 31. 82 Dreier in: Dreier, Bauer, Grundgesetz, Art. 2 I Rn. 79 ff. 83 Kitzinger in: Schläger, Thode, Handbuch Datenschutz und IT-Sicherheit, Teil A Nr. 1.1 Rn. 26 f. 84 Bretthauer in: Specht, Mantz, Handbuch Europäisches und deutsches Datenschutzrecht, § 2 Rn. 47. 85 Albrecht, Jotzo, Das neue Datenschutzrecht, Teil 1 Rn. 1. 86 Übereinkommen zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten (Konvention Nr. 108). 87 BGBl. 1985 II 539. 88 Schiedermair in: Simitis, Hornung, Spiecker, Datenschutzrecht, Einleitung Rn. 169. 89 Kitzinger in: Schläger, Thode, Handbuch Datenschutz und IT-Sicherheit, Teil A Nr. 1.1 Rn. 38. 90 Kingreen in: Calliess, Ruffert, EUV / AEUV, AEUV, Art. 16 Rn. 4. 91 Richtlinie 95/46/EG zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr vom 24. Oktober 1995 (EG-DSRL). 92 Richtlinie 2002/58/EG über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre in der elektronischen Kommunikation vom 12. Juli 2002 (ePrivacy-Richtlinie). 93 Kitzinger in: Schläger, Thode, Handbuch Datenschutz und IT-Sicherheit, Teil A Nr. 1.1 Rn. 49. 94 Hornung, Spiecker in: Simitis, Hornung, Spiecker, Datenschutzrecht, Einleitung Rn. 212 f. 95 Eßer in: Auernhammer, DSGVO BDSG, Art. 4 DSGVO Rn. 7. 96 Mantz, Marosi in: Specht, Mantz, Handbuch Europäisches und deutsches Datenschutzrecht, § 3 Rn. 11. 97 BVerfGE 65, 1, 45. 98 Eßer in: Auernhammer, DSGVO BDSG, Art. 4 DSGVO Rn. 9. 99 Di Fabio in: Maunz, Dürig, Grundgesetz-Kommentar, Art. 2 Rn. 176. 100 Arning, Rothkegel in: Taeger, Gabel, DSGVO – BDSG, Art. 4 DSGVO Rn. 27 oder auch Karg in: Simitis, Hornung, Spiecker, Datenschutzrecht, Art. 4 Nr. 1 Rn. 57. 101 Arning, Rothkegel in: Taeger, Gabel, DSGVO – BDSG, Art. 4 DSGVO Rn. 34 f.

3.2. Rechtsgrundlagen für die Datenverarbeitung

Wie oben skizziert bestehen im Datenschutzrecht unterschiedliche Rechtsgrundlagen. Daher ist zu klären, welche Rechtgrundlagen grundsätzlich für öffentliche Stellen im Bereich der Nutzung Sozialer Medien einschlägig sein könnten und wie diese im Verhältnis zueinanderstehen.

Um die Rechtsgrundlagen zu benennen, ist an den Kern der Sozialen Medien zu erinnern. Dieser besteht wie in Kapitel 2 beschrieben in der sozialen Interaktion und Kommunikation von Privatpersonen. Daneben gibt es für Unternehmen, öffentliche Stellen und Personen des öffentlichen Lebens ebenfalls die Möglichkeit in die Sphäre der Nutzerinnen und Nutzer zu gelangen. Unabhängig von der Art der Nutzerin bzw. des Nutzers ist die Verarbeitung von personenbezogenen Daten charakteristisch und unerlässlich für die Sozialen Medien.102 Einerseits um für die Nutzerinnen und Nutzer die Möglichkeit persönlicher Netzwerke zu schaffen, anderseits um die unternehmerischen, kommerziellen Ziele der entsprechenden Plattform zu verfolgen. Durch die Verarbeitung personenbezogener Daten und durch den Umstand, dass öffentliche Stellen beteiligt sind, kommen grundsätzlich die DSGVO, das BDSG und das TMG in Betracht.

Soziale Medien sind in der Regel als Telemedien im Sinne des § 1 Abs. 1 S. 1 TMG zu qualifizieren.103 Damit richtete sich die rechtliche Einordnung bei der Nutzung Sozialer Medien durch öffentliche Stellen vor Inkrafttreten der DSGVO maßgeblich nach dem TMG und dem BDSG alte Fassung. Das TMG stellt die nationale Umsetzung der EU-Richtlinien 2000/31/EG, 2002/58/EG und 2009/136/EG dar, wobei die vollständige Umsetzung der zuletzt genannten Richtlinie mit dem TMG umstritten ist.104 Ursprünglich war seitens der Europäischen Union vorgesehen, diese EU-Richtlinien durch die Verordnung über die Achtung des Privatlebens und den Schutz personenbezogener Daten in der elektronischen Kommunikation (ePrivacyVO), komplementär zur DSGVO und gleichzeitig mit dieser, am 25. Mai 2018 in Kraft treten zu lassen. Demnach würde die ePrivacyVO das TMG, zumindest in großen Teilen, durch den Anwendungsvorrang verdrängen. Im Gesetzgebungsverfahren zur ePrivacyVO gibt es wesentliche Verzögerungen, sodass diese bis dato weder beschlossen noch in Kraft getreten ist. Nach Inkrafttreten der ePrivacy-VO wird diese gemeinsam mit der DSGVO die datenschutzrechtliche Grundlage für die Nutzung Sozialer Medien sein.105

Durch die komplementär gestaltete DSGVO ist nun strittig, ob die DSGVO in Teilen einen Anwendungsvorrang vor dem TMG entfaltet, obwohl sie nicht für den sachlichen Anwendungsbereich des TMG gestaltet ist, da dieser vorwiegend von der ePrivacyVO erfasst werden sollte. Die Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder (DSK) haben zur Frage der Anwendbarkeit der DSGVO im Verhältnis zum TMG ein Positionspapier erarbeitet. Im Ergebnis stellt die Datenschutzkonferenz fest, dass insbesondere die §§ 12, 13 und 15 TMG dem Anwendungsvorrang der DSGVO unterfallen und damit nicht mehr anwendbar sind.106 Ebenso geht die herrschende Meinung in der Literatur von einem Anwendungsvorrang der DSGVO aus.107

Eine bedeutende Auswirkung der Harmonisierung des Datenschutzrechts mittels des Rechtsaktes Verordnung bezieht sich auf die rechtliche Bewertung. Vor Inkrafttreten der DSGVO war eine zentrale, maßgebliche Frage bei der rechtlichen Bewertung, welches nationale Datenschutzrecht einschlägig ist. Dieser Komplex war umstritten. Nach Inkrafttreten der DSGVO ist diese Problemstellung entschärft, da für Privatunternehmen in allen EU-Mitgliedsstaaten durch die unmittelbare Rechtswirkung der DSGVO in großen Teilen nun dasselbe Datenschutzrecht gilt. Für öffentliche Stellen ist die DSGVO ebenfalls einschlägig, jedoch unter der Berücksichtigung, dass es für öffentliche Stellen mehr Öffnungsklauseln für nationales Recht gibt. Zukünftig wird die Problemstellung durch die Frage abgelöst, welche Aufsichtsbehörde zuständig ist und wie diese die Anwendung der datenschutzrechtlichen Vorgaben gestaltet. Denn technische Verfahren, insbesondere Anwendungen im Social-Media-Bereich, zeichnen sich durch eine internationale Vernetzung aus. Sie sind selten nur in einem Mitgliedsstaat oder gar lediglich in der Europäischen Union präsent. Daher wird die Frage der Zuständigkeit eine zentrale sein und in der Regel nach Hauptniederlassung oder einzige Niederlassung eines Verantwortlichen oder Auftragsverarbeiters in der Europäischen Union bestimmt werden.108

Als weitere zentrale Vorschrift ist das BDSG zu nennen. Der Geltungsbereich des BDSG erstreckt sich gemäß § 1 Abs. 1 BDSG auf öffentliche Stellen. Folglich nutzt hier der nationale Gesetzgeber die diversen Öffnungsklauseln der DSGVO und setzt daneben die Datenschutzrichtlinie für Polizei und Justiz109 um.110

102 Splittgerber, Praxishandbuch Rechtsfragen Social Media, Kapitel 3 Rn. 33. 103 Hornung in: Hornung, Müller-Terpitz, Rechtshandbuch Social Media, Kapitel 4.2.2 Rn. 13. 104 Heckmann in: jurisPraxiskommentar-Internetrecht, Kapitel 9 Rn. 799 oder Rauer/ Ettig, Rechtskonformer Einsatz von Cookies in: ZD 2018, 255, 256. 105 Heckmann in: jurisPraxiskommentar-Internetrecht, Kapitel 9 Rn. 720. 106 DSK, Zur Anwendbarkeit des TMG für nicht-öffentliche Stellen ab dem 25. Mai 2018, https://www.ldi.nrw.de/(...)TMG.pdf. 107 Schmitz in: Spindler, Schmitz, Telemediengesetz, Vorbemerkung zu §§ 11 ff. Rn. 9 f. oder Taeger in: Taeger, Gabel, DSGVO – BDSG, Art. 95 Rn. 20 oder Böhm in: Gierschmann, Schlender, Stentzel, Veil, Kommentar Datenschutzgrundverordnung, Art. 95 Rn. 36; kritisch hierzu: Gierschmann, Positionsbestimmung der DSK zur Anwendbarkeit des TMG in: ZD 2018, 297 ff. 108 Born in: Specht, Mantz, Handbuch Europäisches und deutsches Datenschutzrecht, § 8 Rn. 11. 109 Richtlinie 2016/680 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates. 110 Plath in: Plath, DSGVO BDSG, § 1 BDSG Rn. 1.

3.3. Verantwortlichkeit

Bevor die Subsumtion der möglichen Rechtsgrundlagen erfolgen kann, ist zu klären, wer im datenschutzrechtlichen Sinne verantwortlich für die Verarbeitung personenbezogener Daten bei der Nutzung der Sozialen Medien ist.

Die Verantwortlichkeit ist von erheblicher Bedeutung, da nur mit einer möglichst eindeutigen Zuweisung der Verantwortlichkeit die Ziele der DSGVO, insbesondere der Schutz natürlicher Personen, erreicht werden kann. Denn elementare datenschutzrechtliche Pflichten werden entsprechend der Verantwortlichkeit zugewiesen.111 Dies wird insbesondere aus Art. 5 Abs. 2 DSGVO deutlich. Diese Norm verpflichtet den Verantwortlichen für die Datenverarbeitung zur Einhaltung der Datenschutzgrundsätze nach Art. 5 Abs. 1 DSGVO112. Da hierunter auch die Rechtmäßigkeit der Datenverarbeitung fällt, ist in einem ersten Schritt zu klären, wer verantwortlich ist, bevor in einem zweiten Schritt die Rechtgrundlage für die Datenverarbeitung und anschließend allgemein die Rechtskonformität geprüft werden kann. Weitere Folgen der Verantwortlichkeit sind beispielsweise das Ergreifen technisch-organisatorischer Maßnahmen zur Sicherstellung der Einhaltung datenschutzrechtlicher Vorgaben gemäß Art. 24 DSGVO, das Erfüllen von Rechenschaftspflichten oder die Haftung bei Datenschutzverstößen.113 Bei einer arbeitsteiligen Datenverarbeitung, die in einer vernetzten Welt stets zunimmt, ist die Verantwortlichkeit genau zu betrachten und möglichst konkret zuzuteilen, damit eindeutig ist, wer für welchen Bereich zuständig und verpflichtet ist.

Bei Social-Media-Anwendungen ist umstritten, wie das Verantwortlichkeitskonstrukt generell ausgestaltet ist.114 Eine pauschale Aussage kann hier aufgrund der Diversität der Plattformen beziehungsweise der höchst unterschiedlichen technischen Funktionsweisen Sozialer Medien nicht getroffen werden. Daher ist die Frage nach der Verantwortlichkeit stets einzelfallbezogen zu prüfen.

Bis 2018 verneinte die herrschende Meinung die Verantwortlichkeit der Fanpage-Betreibenden. Als zentrale Begründung wurde angeführt, dass Fanpage-Betreibende nicht mit der Datenverarbeitung der Konzerne in einem solchen Maße in Berührung kommen, dass sie eine Kontrolle über die Verarbeitungstechniken hätten.115 Die Mindermeinung erkannte die Argumentation nicht an, da ein solcher Verlust der technischen Kontrolle in den Informations- und Kommunikationstechnikprozessen eher den Regelfall darstellt.116 Der EuGH bestätigt letztere Ansicht mit der Entscheidung vom 05. Juni 2018.117 In dieser Entscheidung befasst sich der EuGH mit einem seit 2011 anhängigen Rechtsstreit zwischen der Wirtschaftsakademie Schleswig-Holstein (WAK) und dem Unabhängigen Landeszentrum für Datenschutz Schleswig-Holstein (ULD) über den Betrieb einer Facebook-Fanpage. Konkret hat das ULD die Deaktivierung der Facebook-Fanpage der WAK angeordnet.118 Gegen diese Anordnung ist die WAK rechtlich vorgegangen und erhielt in den ersten Verwaltungsgerichtsinstanzen Recht.119 Das Bundesverwaltungsgericht legte sodann den Sachverhalt dem EuGH zur Entscheidung vor, da es sich um Auslegung und Anwendung der europäischen Datenschutz-Richtlinie120 handelt.121 Für die Auslegung und Anwendung der DSGVO sind die Ausführungen des EuGH zur Datenschutz-Richtlinie von Bedeutung, da sich die Inhalte der Datenschutz-Richtlinie auf die der DSGVO übertragen lassen.122 Eine Unterscheidung der Rechtsnormen ist in Art. 26 DSGVO zu finden, in dem die Folgepflichten der gemeinsamen Verantwortlichkeit festgelegt werden.123

Neben der Facebook-Fanpage ist der EuGH innerhalb des Komplexes Sozialer Medien ebenso mit der Frage der Verantwortlichkeit bei Social Plugins befasst. Konkret legte das OLG Düsseldorf dem EuGH zur Vorabentscheidung die Klage der Verbraucherzentrale Nordrhein-Westfalen gegen den Onlinehändler FashionID vor.124 In dieser Streitigkeit reichte die Verbraucherzentrale Nordrhein-Westfalen eine Unterlassungsklage gegen den Onlinehändler wegen vermuteter Datenschutzverstöße ein. Der Onlinehändler sollte ein eingebundenes Social Plugin, namentlich den Gefällt-mir-Button, deaktivieren oder jedenfalls datenschutzkonform einbinden. Die Erstinstanz, das Landgericht Düsseldorf, gab der Verbraucherzentrale Recht.125 Gegen dieses Urteil ist der Onlinehändler vorgegangen, sodass vor dem OLG Düsseldorf verhandelt wurde, das die Kernfragen des Sachverhalts wiederum dem EuGH zur Vorabentscheidung vorlegte. Auch dieser Rechtsstreit fußt auf der inzwischen außer Kraft getretenen Datenschutz-Richtlinie126. Die zentrale Frage bei der Entscheidung ist ebenfalls die Verantwortlichkeit. Denn nur wenn der Onlinehändler als Verantwortlicher angesehen wird, wird dieser im datenschutzrechtlichen Sinne verpflichtet. Der EuGH stellt in seiner Entscheidung fest, dass die Betreiberinnen und Betreiber von Internetseiten, die Social Plugins einbinden und damit die Datenverarbeitung erst ermöglichen, gemeinsam mit Facebook verantwortlich sind.127

Grundsätzlich kommen bei der Nutzung Sozialer Medien drei Modelle in Bezug auf die Verantwortlichkeit in Betracht. Erstens könnte die Social-Media-Plattform alleinig verantwortlich sein. Hier müsste vertreten werden, dass die Fanpage-Betreibenden keine Berührungspunkte zur Datenverarbeitung haben. Dies ist aus verschiedenen Gründen abwegig. Durch die Einbindung von Social Plugins oder grundsätzlich dem Betreiben von Fanpages erfolgt zwangsläufig eine Verarbeitung personenbezogener Daten, die auf der Entscheidung der Fanpage-Betreibenden basiert und ausgelöst wird sowie für diese einen Nutzen darstellt. Die Frage ist demnach nicht ob, sondern wie, in welchem Maße, durch wen und auf wessen Veranlassung die Verarbeitung erfolgt.

In Annäherung daran könnte angenommen werden, dass zweitens die alleinige Verantwortung bei dem bzw. der Fanpage-Betreibenden läge. Die Social-Media-Plattform wäre demnach ein Auftragsverarbeiter gemäß Art. 28 DSGVO. Facebook würde beauftragt durch den Verantwortlichen und ohne inhaltliches Eigeninteresse die Daten für die oder den Fanpage-Betreibenden verarbeiten. Ohne die Entscheidung der oder des Verantwortlichen, die Verarbeitung an einer oder einen Dritten zu übergeben, würde der Auftragsverarbeiter, Facebook, keine Verarbeitung vornehmen.128 Wesentliche Merkmale sind demnach die Beauftragung und die Weisungsgebundenheit.129 Das Eigeninteresse der Plattformbetreibenden könnte bei der Betrachtung der Entscheidung über Zweck und Mittel der Datenverarbeitung eine bedeutende Rolle einnehmen. Wie in Kapitel 3.2 festgestellt, verfolgt die Anbieterin bzw. der Anbieter eines Sozialen Netzwerks in der Regel kommerzielle Ziele und ist demnach gewinnorientiert. Maßgeblich für den unternehmerischen Erfolg sind dabei Daten, die aus der Nutzung generiert werden können. Diese Konstellation dürfte folglich bei lebensnaher Auslegung ebenfalls nicht in Betracht kommen, da Facebook als Plattformbetreiber unzweifelhaft mit der Datenverarbeitung befasst ist und ein originäres Interesse an der Datenverarbeitung hat. Die kommerzielle Nutzungsabsicht ist bei der Bewertung, insbesondere beim Zweck der Datenverarbeitung, bei einer möglichen Auftragsverarbeitung zu beachten. Die Auftragsverarbeitung ist also von der gemeinsamen Verantwortlichkeit abzugrenzen. Daher kann eine Negativabgrenzung vorgenommen werden. Folglich liegt dann keine Auftragsverarbeitung vor, wenn eine gemeinsame Verantwortlichkeit bejaht wird.130 Der Vollständigkeit halber sei erwähnt, dass die Auftragsverarbeitung in Bezug auf die Normadressaten des Art. 28 DSGVO grundsätzlich in Frage kommt, da es hier keine Unterscheidung zwischen öffentliche und nicht-öffentliche Stellen gibt.131

Die gemeinsame Verantwortlichkeit kommt als dritte Variante in Betracht. Bei ihr werden sowohl der Anbieter oder die Anbieterin der Social-Media-Plattform als auch der oder die Fanpage-Betreibende als verantwortlich eingestuft.

Letzteres Konstrukt ist das meist diskutierte und vom EuGH in der Sache ULD gegen WAK angewandte Modell bei Fanpages. Ebenso bejaht der EuGH in der Sache Verbraucherzentrale NRW gegen FashionID eine gemeinsame Verantwortlichkeit beim Einsatz von (Facebook-)Social-Plugins.132 Daher ist die gemeinsame Verantwortlichkeit, das letztgenannte Modell, näher zu betrachten.