Am 24.10.2017 hat der Generalanwalt Bot in seinem Schlussantrag vor dem EuGH die Auffassung vertreten, eine nationale Datenschutz-Kontrollstelle könne, wenn eine Verarbeitung personenbezogener Daten zwar im Inland durch eine hier ansässige Niederlassung eines Unternehmens (hier Facebook Germany) durchgeführt werde, für die Verarbeitung Verantwortlicher aber ein Unternehmen mit Sitz in einem anderen Mitgliedstaat (hier Facebook Ireland) sei, direkt gegen den Verantwortlichen vorgehen.

Der Sachverhalt:
Die Wirtschaftsakademie Schleswig-Holstein unterhielt bei Facebook Ireland eine sog. Facebook-Fanpage. Diese Fanpage enthielt keinen Hinweis darauf, dass Facebook mittels Cookies Daten eines jeden Besuchers der Webseite erhebt, um so Besucherstatistiken erstellen und die Verbreitung zielgerichteter Werbung zu ermöglichen. Aus diesem Grund gab das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein der Wirtschaftsakademie auf, die Fanpage zu schließen.
Die Wirtschaftsakademie wehrte sich gegen die Anordnung und hatte in den ersten beiden Instanzen Erfolg. Das BVerwG hat im Rahmen der Revision dem EuGH verschiedene Fragen zur Auslegung der Richtlinie (RL) 95/46/EG vorgelegt.

Der Vorschlag des EuGH-Generalanwalts:
Generalanwalt Bot hat die vier vorgelegten Fragen wie folgt beantwortet:

Verantwortlichkeit
1. Der Betreiber einer Fanpage in einem sozialen Netzwerk (hier Facebook Ireland) sei ein für die Verarbeitung personenbezogener Daten Verantwortlicher im Sinne des Art. 2 lit. d der RL 95/46/EG, sofern es um die Erhebung von User-Daten mit dem Ziel der Erstellung von Besucherstatistiken gehe. Nach Ansicht des Generalanwalts ist hier sogar die Wirtschaftsakademie Schleswig-Holstein zusammen mit Facebook verantwortlich, da es in ihrem Ermessen stehe, die Fanpage beizubehalten oder durch eine Schließung auch die Datenerhebung und -verarbeitung zu beenden. Zudem habe sie Einfluss auf die konkrete Datenerhebung durch das Tool ‚Facebook Insights‘.

Anwendbarkeit nationalen Rechts
2. Wenn ein ein soziales Netzwerk betreibendes Unternehmen (hier Facebook Ireland) in einem Mitgliedstaat für sämtliche Marketingmaßnahmen eine Tochtergesellschaft einsetze, deren Maßnahmen auf die Einwohner des Mitgliedstaates ausgerichtet seien, sei Art. 4 lit. a der RL 95/46/EG (in der Fassung der Verordnung Nr. 1882/2003) so auszulegen, dass die Verarbeitung personenbezogener Daten im Rahmen der Tätigkeit einer Niederlassung ausgeführt werde. Dies trifft laut Generalanwalt Bot auf den vorliegenden Fall zu, da in Deutschland u.a. der Verkauf von Werbeflächen Aufgabe von Facebook Germany sei und das Webtracking daher eine Tätigkeit dieser Niederlassung darstelle. Somit sei nach der Vorschrift auch die Anwendung deutschen Datenschutzrechts möglich.

Adressat der Anordnungen einer Aufsichtsbehörde
3. Art. 28 Abs. 1, 3 und 6 der RL 95/46/EG (in der Fassung der Verordnung Nr. 1882/2003) seien so zu verstehen, dass bei Anwendbarkeit nationalen Datenschutzrechts eine nationale Kontrollstelle Maßnahmen unmittelbar gegenüber dem für die Verarbeitung Verantwortlichen ergreifen könne, auch wenn dessen Sitz in einem anderen Mitgliedstaat liege. Der Generalanwalt ist der Auffassung, etwaige die Datenverarbeitung einschränkende oder verbietende Maßnahmen seien hier direkt an Facebook Ireland zu richten, da Facebook Germany als Nicht-Verantwortlicher diese lediglich weiterleiten könne.

‚Durchgriff‘
4. Schließlich seien Art. 28 Abs. 1, 3 und 6 der RL 95/46/EG (in der Fassung der Verordnung Nr. 1882/2003) so auszulegen, dass eine mitgliedstaatliche Kontrollstelle sich ohne Anrufung der Kontrollstelle des Mitgliedstaates, in welchem der für die Datenverarbeitung Verantwortliche seinen Sitz hat, direkt an den Verantwortlichen wenden könne.

Der Generalanwalt kommt zu dem Ergebnis, dass die Tatsache, dass das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein nach den vorherigen Feststellungen unmittelbar gegen Facebook Ireland vorgehen könne, der Rechtmäßigkeit etwaiger Anordnungen gegenüber der Wirtschaftsakademie nicht entgegenstehe.

Linkhinweise:
Die juris-Pressemitteilung zu den Schlussanträgen des Generalanwalts in dieser Sache finden Sie hier.

Zum Volltext der Schlussanträge des Generalanwalts gelangen Sie hier.