Im Juli hat der EuGH in dem Rechtsstreit Fashion ID gegen Verbraucherzentrale, besser bekannt als der Facebook „Gefällt mir“-Button-Fall, eine Entscheidung getroffen. Es wurde darüber entschieden, wer für die Erhebung und Übermittelung personenbezogener Daten verantwortlich ist, wenn ein Social Plugin in eine Website eingebaut wurde.
Das Gericht stellte fest, dass der Betreiber einer Website zu gleichen Teilen mit Facebook für den Datenschutz verantwortlich ist. Das ausschlaggebende Argument war, dass das Ziel beider Parteien die Optimierung der Werbung und der dadurch entstehende wirtschaftliche Vorteil ist. Vor diesem Hintergrund betrachten wir die Auswirkungen für Awin, die ebenfalls mit seinen Publishern und Advertisern in einem Joint-Controller-Verhältnis steht.
Das Konzept des „Controllers“
„Controller“ ist die Bezeichnung für eine Entität, die alleine oder gemeinsam mit anderen den Zweck und die Mittel der Datenverarbeitung bestimmt. Als solcher ist der Controller hauptsächlich zuständig für die Delegation der Entscheidungen des Datentransfers und weniger für die tatsächliche technische Kontrolle. Der Gerichtshof legte fest, dass die Rolle des Controllers weit ausgelegt werden kann, sodass das Ziel – der wirksame und vollständige Schutz der betroffenen Personen – gewährleistet wird.
Aufgrund des Datenaustausches, der durch verfolgte, abgefragte und gemeldete Transaktionen entsteht, qualifiziert sich Awin konsequenterweise auch als „Controller“. Somit unterstützt Awin seine Kunden, die Rechte der betroffenen Personen zu schützen.
Festlegung des Zwecks und der Mittel für die Joint Control
Unter Joint Control versteht man die gemeinsame Festlegung der Zwecke und Mittel der Datenverarbeitung durch mehrere Parteien.
Im Kontext des Website-Betreibers bedeutet Joint Control, dass durch die Einbettung des Facebook-Buttons „Gefällt mir“ auf seiner Website, Facebook in der Lage ist, alle personenbezogenen Daten der Websitebesucher zu erheben. Dadurch haben Facebook und der Website-Betreiber gemeinsam die Zwecke und Mittel zum Datentransfer festgelegt.
An diesem Beispiel können wir Parallelen zur Position von Awin ziehen: Die Tracking-Daten (personenbezogene Daten) werden auf Publisher- und Advertiser-Seiten durch Integration von Trackingtechnologien erhoben und an Awin übermittelt. Nach der Rechtssprechung des Gerichts bestimmen unsere Advertiser und Publisher, sozusagen, gemeinsam mit Awin über die Mittel und Zwecke für die Verarbeitung von Daten der Besucher ihrer jeweiligen Websites.
Das Urteil entspricht dem Joint Control-Ansatz von Awin: Die Erhebung von Tracking-Daten über die Integration von Tracking-Codes in die URLs von Advertisern wird in Zusammenarbeit mit unseren Publishern und Advertisern realisiert.
Das Gericht bekräftigte, dass selbst ein Webseitenbetreiber, der keinen Zugang zu personenbezogenen Daten hat, als Verantwortlicher angesehen werden kann. Dies steht im Einklang mit der Position von Awin, die besagt, dass, obwohl unsere Publisher und Advertiser keinen Zugang zu allen gesammelten Tracking-Daten haben, jeder von ihnen dennoch als gemeinsamer Datenverantwortlicher mit Awin angesehen wird.
Auch wenn der Betreiber der Website keinen Zugriff auf die zu verarbeitenden Daten hat, kann er dennoch ein Controller sein.
Im "Gefällt mir"-Button-Fall stellt das Gericht fest, dass dadurch, dass die Datenverarbeitung allein von Facebook durchgeführt wurde, der Webseitenbetreiber nicht als Datenverantwortlicher angesehen werden kann. Er bestimmte nicht über den Zweck und die Art der Verarbeitung nach der Übermittlung der Daten an Facebook.
Im Gegensatz dazu haben unsere Advertiser und Publisher mit Awin gemeinsame wirtschaftliche Interessen an der Verarbeitung von Tracking-Daten, die nach der ersten Erhebung und Übermittlung stattfindet. Dies und die Art und Weise wie Transaktionen anschließend gemeldet und von den Advertisern und Publishern überprüft werden, führt zu einer Joint Control über die gesamte Abwicklung.
Der Fall unterscheidet sich von unserer Situation in Bezug auf die Interessen der Parteien an der nachfolgenden Datenverarbeitung und die Art und Weise, wie die Daten an die beteiligten Parteien zurückfließen.
Ein Hinweis zur Mithaftung
Ein weiterer wichtiger Punkt, den der Gerichtshof hervorhebt, ist die Höhe der Haftung jeder Partei, welche mit Joint Control im Zusammenhang mit den jeweiligen Umständen bewertet werden muss. Jede Partei kann in verschiedenen Phasen der Datenverarbeitung und in unterschiedlichem Maße beteiligt sein und daher ergibt sich nicht unbedingt die gleiche Verantwortung aus der Joint Control. Dies entspricht sowohl der bestehenden Anleitung zu diesem Thema als auch dem Ansatz, den wir als Netzwerk in der Zusammenarbeit mit Publishern und Advertisern verfolgen.
Die Joint Control bedeutet nicht unbedingt die gleiche Verantwortung.
Fazit
Dieses jüngste Urteil des Gerichtshofs befasst sich mit mehreren Fragen, die für Awin als Affiliate-Netzwerk in Bezug auf Datenverarbeitung und unsere weiteren Dienstleistungen eine wichtige Rolle spielen. Da die DSGVO bisher immer noch viele Fragen im Affiliate-Bereich über die unterschiedlichen Positionen aufwarf, begrüßt Awin das aktuelle Urteil. Dies hat für zusätzliche Klarheit gesorgt.
