Mit dem Beschluss des Verwaltungsgerichts Bayreuth (VG Bayreuth) vom 08.05.2018, Az.: B 1 S 18.105 – lag vor wenigen Monaten eine erste gerichtliche Entscheidung zum Einsatz von Facebook Custom Audience vor, wir berichteten. Der Bayerische Verwaltungsgerichtshof (VGH München) hat nun mit Beschluss vom 26.09.2018 – Az. 5 CS 18.1157 die Entscheidung des VG Bayreuth bestätigt.
Sachverhalt
Die Antragstellerin setzte in ihrem Online-Shop Facebook Custom Audience über die Kundenliste zu Werbezwecken ein. Sie lud ihre gehashte Kundenliste auf Facebook hoch. Facebook glich die Hashwerte mit den ebenfalls gehashten E-Mail-Adressen aller Facebook-Mitglieder ab. Facebook konnte bei Übereinstimmung der Hashwerte anhand der übereinstimmenden E-Mail-Adresse den Kunden als Facebook-Mitglied bestimmen. Alle ermittelten Facebook-Mitglieder bildeten hierbei eine „Custom Audience“ (Kundenliste). Die Antragstellerin konnte so den auf Facebook vertretenen Kunden zielgerichtete Werbung in ihrem Facebook-Profil zuspielen. Hierbei konnten auch bestimmte Nutzergruppen angesprochen werden. Welche Mitglieder konkret beworben wurden, erfuhr die Antragstellerin nicht. Sie schloss hierbei mit Facebook einen Vertrag zu Auftragsverarbeitung ab. Das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) erließ einen Untersagungsbescheid. Es war der Ansicht, dass die Datenverarbeitung unrechtmäßig erfolge. Es sei beim Einsatz von Facebook Custom Audience über die Kundenliste vom Kunden eine Einwilligungserklärung einzuholen. Die Antragstellerin war hingegen der Ansicht, dass vielmehr eine Situation der Auftragsverarbeitung vorliege und die Datenverarbeitung ohne Einwilligung zulässig sei.
Entscheidung des VGH München
Die Antragstellerin hatte auch in zweiter Instanz keinen Erfolg. Eine Situation der Auftragsverarbeitung ist nach Ansicht der Richter nicht gegeben. Facebook entscheide selbstständig unter Auswertung des Nutzungsverhaltens seiner Mitglieder, welche Nutzer der Zielgruppenbestimmung der Antragstellerin entsprechen und folglich beworben werden. Facebook treffe die Auswahl der zu Bewerbenden anhand der nur Facebook bekannten und verfügbaren Profildaten. Nur Facebook allein sei dazu in der Lage, die zu bewerbenden Kunden zu ermitteln und auszuspielen. Bei der Durchführung des Dienstes sei Facebook völlig frei. Ein Einfluss der Antragstellerin auf die Verarbeitung sei nicht gegeben.
Ferner könne sich nach Ansicht des Gerichts die Antragstellerin vorliegend auf keine Rechtsgrundlage stützen. Es liege weder eine Einwilligungserklärung der Nutzer vor, noch sei eine sonstige Rechtsgrundlage des BDSG a. F. gegeben. Die Verarbeitung sei hierbei auch im Wege einer Interessenabwägung nicht zulässig. Die Interessenabwägung zwischen den schutzwürdigen Interessen der Betroffenen und dem Interesse der Antragstellerin an der Übermittlung der E-Mail-Adressen an Facebook zu Werbezwecken falle zulasten der Antragstellerin aus. Das Recht auf informationelle Selbstbestimmung der Betroffenen wiege schwerer. Die Beschwerdeführerin habe zwar ein berechtigtes Interesse an einer zielgerichteten Werbung. Diesem Interesse stünden jedoch die überwiegenden, schutzwürdigen Interessen der Betroffenen gegenüber. Die Betroffenen rechneten insbesondere nicht damit, dass ihre im Rahmen eines Bestellvorganges angegebenen E-Mail-Adresse an Facebook übermittelt wird.
Fazit
Für den Fall war noch die Rechtslage nach dem alten BDSG einschlägig. Die Entscheidung des VGH München schafft dennoch erste Rechtssicherheit in Sachen Facebook Custom Audience über die Kundenliste. Webseiten-Betreiber sollten sie unbedingt berücksichtigen und sorgfältig prüfen, ob ihr Einsatz von Facebook Custom Audience den datenschutzrechtlichen Vorschriften entspricht.