Der Betreiber einer im sozialen Netzwerk Facebook unterhaltenen Unternehmensauftritts (Fanpage) kann verpflichtet werden, seine Fanpage abzuschalten, falls die von Facebook zur Verfügung gestellte digitale Infrastruktur schwerwiegende datenschutzrechtliche Mängel aufweist.

Der Sachverhalt:
Die Klägerin ist eine in Kiel ansässige Bildungseinrichtung. Sie wurde von der schleswig-holsteinischen Datenschutzaufsicht unter der Geltung der Datenschutzrichtlinie verpflichtet, die von ihr bei Facebook betriebene Fanpage zu deaktivieren. Bei Aufruf der Fanpage greife Facebook auf personenbezogene Daten der Internetnutzer zu, ohne dass diese gemäß den Bestimmungen des Telemediengesetzes über Art, Umfang und Zwecke der Erhebung unterrichtet würden.

Die Klage war vor dem VG erfolgreich. Der Beklagte blieb vor dem OVG erfolglos. Das BVerwG hob auf Grundlage der Entscheidung des EuGH (5.1.2018 - C-210/16) auf und wies den Rechtsstreit an das OVG zurück.

Die Gründe:
Der Betreiber einer Fanpage ist für die durch Facebook erfolgende Datenverarbeitung mitverantwortlich, da er durch den Betrieb der Fanpage Facebook den Zugriff auf die Daten der Fanpage-Besucher ermöglicht.

Der Beklagte kann sich bei der Auswahl unter mehreren datenschutzrechtlichen Verantwortlichen vom Gedanken der Effektivität leiten lassen und ermessensfehlerfrei die Klägerin für die Herstellung datenschutzkonformer Zustände bei Nutzung ihrer Fanpage in die Pflicht nehmen. Das von der Datenschutzrichtlinie bezweckte hohe Datenschutzniveau ist möglichst zügig und wirkungsvoll durchzusetzen.

Erweisen sich die bei Aufruf der Fanpage ablaufenden Datenverarbeitungen tatsächlich als rechtswidrig, so konnte sich der Beklagte an die Klägerin wenden, da ihm keine anderweitige Möglichkeit zur Herstellung datenschutzkonformer Zustände offensteht. Ein Vorgehen gegen Facebook wäre aufgrund der fehlenden Kooperationsbereitschaft mit erheblichen tatsächlichen und rechtlichen Unsicherheiten verbunden gewesen.