Das Bayerische Landesamt für Datenschutzaufsicht hat letzte Monat eine umfangreiche Prüfliste veröffentlicht, wie man als Unternehmen mit den Werbetool “Custom Audiences” von Facebook umgehen muss, um dieses DSGVO-konform einzusetzen.

In der Nutzung dieser Funktion, in der Form des Hochladens einer eigenen Kundenliste, sah das Landesamt hingegen eine Datenschutzverletzung und verpflichtete Unternehmen zu Löschung dieser eigenen Listen. Der Verwaltungsgerichtshof entschied dazu.

1. Die Übermittlung gehashter E-Mail-Adressen an ein soziales Netzwerk zur Ausspielung zielgerichteter Werbung erfolgt nicht im Rahmen einer Auftragsdatenverarbeitung, wenn der Datenempfänger einen eigenen Entscheidungs- und Ermessensspielraum bei der Ermittlung des zu bewerbenden Kundenkreises hat. (Rn. 11 ff.)

2. Sofern keine ausdrückliche Einwilligung des Betroffenen vorliegt, ist über die Rechtmäßigkeit der Weitergabe von E-Mail-Adressen zu Werbezwecken nach § 28 Abs. 1 Nr. 2 BDGS a.F. in unionsrechtskonformer Auslegung durch Interessenabwägung zu entscheiden. (Rn. 26 ff.)

Es ist daher nun anzunehmen, dass zahlreiche Unternehmen, Vermarkter, Agenturen und dergleichen ihre Art und Weise, wie diese mit Facebook-Werbung umgehen und wie diese gezielt bestimmte Werbung an bestimmte Personenkreise ausspielen, schnell überarbeiten müssen.

Relevant ist dabei vor allem folgende Passage in der Entscheidung:

Für die Einordnung als Auftragsdatenverarbeitung kommt es maßgeblich darauf an, wer die Verantwortung für die Verarbeitung der Daten hat. Nur die vollständige Unterordnung bei der Erhebung, Verarbeitung und Nutzung der Daten unter die Vorgaben des Auftraggebers hinsichtlich Mittel und Zweck der Datenverarbeitung berechtigt dazu, die Datenübertragung an einen Auftragsdatenverarbeiter von den gesetzlichen Rechtfertigungsanforderungen an die Weitergabe von personenbezogenen Daten auszunehmen. Die Einschaltung weiterer Arbeitsschritte in den Verarbeitungsvorgang schließt eine Auftragsdatenverarbeitung dann nicht aus, wenn es sich um einfache Algorithmen handelt, die vom Auftraggeber klar definiert werden (Spoerr in Wolff/Brink, a.a.O., § 11 Rn. 38). Auch der Grad der tatsächlich von einer Partei ausgeübten Kontrolle, der den betroffenen Personen vermittelte Eindruck und deren berechtigte Erwartungen aufgrund der Außenwirkung sind in die Bewertung einzubeziehen (Working Paper 169 der Art. 29-Datenschutzgruppe, a.a.O., S. 14). Generell kann von Auftragsdatenverarbeitung ausgegangen werden, wenn sich der Auftraggeber die Entscheidungsbefugnis gegebenenfalls unter Vorgabe ausdifferenzierter Kriterien vorbehält und dem Dienstleister keinerlei inhaltlichen Bewertungs- und Ermessensspielraum einräumt (Gola/Schomerus, Bundesdatenschutzgesetz, 12. Aufl. 2015, § 11 Rn. 9). Anders liegt der Fall jedoch, wenn das beauftragte Unternehmen eigenständig und ohne Vorgaben über die technischen und organisatorischen Mittel der Datenverarbeitung entscheidet (Working Paper 169 der Art. 29-Datenschutzgruppe, a.a.O. S. 19).