Die Vorgeschichte

Eigentlich hatte ich bereits gestern ausführlich in einem längeren Artikel über Unwägbarkeiten der digitalen Kommunikation im Kulturbereich berichtet und dabei einige Fallbeispiele angeführt, darunter auch die umstrittene Beendigung der Social-Media-Aktivitäten des Museumsverbandes Sachsen-Anhalt. Doch nur wenige Stunden später erreichten mich Informationen, die diesen Vorgang weitaus folgenreicher erscheinen lassen, als ohnehin schon befürchtet, so dass ich an dieser Stelle einen gesonderten Artikel nachreichen möchte. Aber zunächst einmal muss die Geschichte ganz von vorne erzählt werden, um das volle Ausmaß der Problematik erfassen zu können

Wir schreiben das Jahr 2011, als sich das Kieler Unabhängige Landeszentrum für Datenschutz (ULD) mit seinem Leiter Thilo Weichert an der Spitze in den Kopf setzte, der Datenkrake Facebook den Kampf anzusagen. Dazu suchte man sich einige Firmen als Bauernopfer aus, denen man kurzerhand das Führen einer Fanpage bei Facebook untersagte. Die Wirtschaftsakademie Schleswig-Holstein GmbH akzeptiert dies nicht und zog vor Gericht. Sie bekam Recht und zwar durch mehrere Instanzen hindurch.

Herr Weichert ließ sich aber nicht beirren und so landete der Fall schließlich vor dem Bundesverwaltungsgericht. Dieser legte einige Fragen zu der Problematik dem EuGH vor und ab da wird die Geschichte zum Lehrstück für die Entrückung der Justiz und einiger Behörden von der digitalen Realität. Der EuGH entschied nämlich vor wenigen Wochen, dass Fanpage-Betreiber für die Datenschutzverstöße von Facebook mitverantwortlich sind. Was bedeutet das nun konkret?

Die Interpretation des EuGH-Urteils durch die juristische Fachwelt

Natürlich gibt es wieder diejenigen, die aus Panik, Eigennutz oder aus Halbwissen heraus sofort die Schließung aller Facebookseiten empfehlen oder fordern. Zunächst einmal ist aber festzuhalten, dass noch nicht einmal ein rechtskräftiges Urteil vorliegt, denn der Fall wird erst einmal an das Bundesverwaltungsgericht zurückverwiesen. Bis dieses eine Entscheidung trifft, werden Monate ins Land ziehen. Zum jetzigen Zeitpunkt ist noch nicht einmal geklärt, ob Facebook Datenschutzverstöße begangen hat, für die ein Fanpage-Betreiber eine Mitverantwortung tragen könnte. Auch das wird das Bundesverwaltungsgericht erst in Monaten klären.

So sieht auch der Datenschutzexperte und Rechtsanwalt Dr. Thomas Schwenke zum jetzigen Zeitpunkt keine Veranlassung, die Aktivitäten bei Facebook und anderen sozialen Medien einzustellen. Er verweist darauf, dass den Datenschützern mit dem EuGH-Urteil ein Instrumentarium an die Hand gegeben wurde, das es erlaubt, direkt gegen Facebook vorzugehen. Dies lässt es unangemessen erscheinen, zunächst den Betreiber der Fanpage in die Verantwortung zu nehmen. Wörtlich heißt es:

Das Verfahren begann damit, dass die Datenschutzbehörde nach einer Möglichkeit suchte, gegen Facebook vorgehen zu können. Daher wollte sie sich gegen die Facebook-Betreiber als „Bauernopfer“ richten. Eine Behörde muss bei der Auswahl ihrer „Gegner“ jedoch ermessensgerecht handeln. Das bedeutet, sie muss aus den ihr zu Verfügung stehenden Möglichkeiten und Adressaten ihrer Maßnahmen, die für die Beteiligten mildeste Alternative wählen. Das zumindest solange diese gleich wirksame Ergebnisse versprechen.

Nach meiner Ansicht spricht vieles dafür, dass das ULD sich zuerst gegen die Facebook Deutschland GmbH richten, beziehungsweise sich an die Hamburger Kollegen wenden müsste. Denn in Hamburg sitzt die Facebook Germany GmbH. Sie verarbeitet zwar keine Daten, betreut aber das Anzeigengeschäft in Deutschland. Sie in die Verantwortung zu nehmen, erscheint zumindest nicht abwegig.

Ähnlich sieht es Rechtsanwalt Dr. Carsten Ulbricht, der auf den explizit im Urteil genannten geringen Grad der Mitverantwortung des Fanpage-Betreibers abzielt:

Das Urteil des EuGH stellt nämlich selbst schon ausdrücklich klar, dass eine gemeinsame Verantwortung nicht zwangsläufig eine gleichwertige Verantwortlichkeit der verschiedenen Akteure zur Folge hat. Vielmehr hängt der Grad der Verantwortlichkeit der beteiligten Akteure davon ab, wie sie in die (gemeinsame) Datenverarbeitung einbezogen sind (siehe Rz. 43 des Urteils des EuGH Az. C-210/16).

Es ist also mitnichten so, dass der Fanpagebetreiber umfassend für die Datenverarbeitung von Facebook verantwortlich. Er ist eben nur im Rahmen seiner eigenen Beteiligung an der Datenverarbeitung (mit)verantwortlich.

Marcus Schween, Rechtsexperte der IHK Schleswig-Holstein führt in seinen Ausführungen als Fazit an:

Die Facebook-Fanpage kann nach wie vor online bleiben oder neu erstellt werden. Bisher hat kein Gericht das Verbot von Facebook-Fanpage bestätigt. Solange drohen auch keine rechtlichen Probleme.

Der Museumsverband Sachsen-Anhalt

Der Museumsverband Sachsen-Anhalt verkündete am 11. Juni:

Aufgrund der Empfehlungen des Landesdatenschutzbeauftragten Sachsen-Anhalt hat der Vorstand des Museumsverbands beschlossen, seinen Facebook-Account ab morgen vorerst ruhen zu lassen.

Nun ist es natürlich das gute Recht jedes Fanpage-Betreibers, auf die Datenschutzgrundverordnung (DSGVO) und ihre Auswüchse so zu reagieren, wie man es für richtig hält. Wenn dies allerdings ein Museumsverband tut und dabei auch noch Empfehlungen von Datenschutzbehörden als Grund anführt, kann das eine fatale Signalwirkung auf Museen und andere Kulturbetriebe haben. Dabei muss man auch betonen, dass die Entscheidung in letzter Konsequenz auf alle Social-Media-Kanäle zu übertragen wäre. Bei Twitter behilft man sich beim Museumsverband mit einem faulen Kompromiss, indem man den Account einem Ehrenamtlichen in die Hände legt.

Und noch gestern ging ich davon aus, dass es sich bei der Entscheidung des Museumsverbandes Sachsen-Anhalt um einen Einzelfall handelt. Mittlerweile ist mir bekannt, dass erste Museen und Kulturbetriebe gefolgt sind. Es ist genau das Feuer gelegt worden, das ich befürchtete. Wenn es sich zum Flächenbrand entwickelt, wird der Kulturlandschaft Sachsen-Anhalt irreparabler Schaden entstehen. Zu den Einrichtungen, die ihre Social-Media-Kanäle nach meinem Kenntnisstand geschlossen haben bzw. schließen werden, gehören (bundesweit, stand: 09.07.18):

• Museumsverband Sachsen-Anhalt
• Museum Schloss Moritzburg (in Zeitz)
  Update (18.10.18): Das Museum hat seit wenigen Tagen seine Facebook-Seite wieder online. Kleine, aber beachtenswerte Randnotiz: Die Stadt Zeitz als Träger des Museums besitzt bis heute weder eine an die DSGVO angepasste Datenschutzerklärung noch eine Verschlüsselung auf ihrer Website. Letztere ist aber schon vor Zeiten der DSGVO unbestritten Pflicht gewesen, wenn man – wie in Zeitz – ein Kontaktformular für die Besucher zur Verfügung stellt. Kurzum: Anstatt die eklatanten Datenschutzverstöße auf der eigenen Website zu beseitigen, stört man ich am Social-Media-Auftritt des stadteigenen Museums. Wenn die Vorgänge für die Kulturszene nicht so ernüchternd wären, könnte man über diesen Zeitzer Schildbürgerstreich nur lachen.
• Schlosspark Moritzburg und Theater Zeitz im Capitol
• 1050 Jahre Zeitz
• Museum Weißenfels im Schloss Neu-Augustusburg
• VdA – Verband deutscher Archivarinnen und Archivare

Das Museum Schloss Merseburg hat seinen geplanten Rückzug wieder ad acta gelegt. Chapeau!

Hinweis: Ich wäre dankbar, wenn man mir weitere Häuser meldete, damit ich die Liste aktuell halten kann.

Ich halte die Entscheidungen der Einrichtungen zum jetzigen Zeitpunkt für vollkommen überzogen. Die Hauptverantwortung dafür ist aber nicht bei ihnen zu suchen, sondern beim Landesdatenschutzbeauftragten von Sachsen-Anhalt. Diesem obliegt es, die Kulturbetriebe mit Augenmaß zu beraten und nicht zu überzogenen Handlungen zu animieren.

Die Rolle des Landesbeauftragten für den Datenschutz Sachsen-Anhalt

Diese beunruhigende Entwicklung hat mich dazu veranlasst, beim Landesbeauftragten für den Datenschutz Sachsen-Anhalt, Herrn Dr. Harald von Bose, konkret nachzufragen, wie er zu der rechtlichen Einschätzung gelangt und ob er sich der Folgen seiner Empfehlung bewusst ist. Nach nunmehr über zwei Wochen habe ich nicht mehr als den lapidaren Hinweis auf die Tätigkeitsberichte des Landesbeauftragten für den Datenschutz erhalten. Aus diesen ergibt sich, dass man öffentlichen Stellen in Sachsen-Anhalt bereits 2013 von der Nutzung sozialer Netzwerke abgeraten hat. Eine Maßgabe, die übrigens bis heute nicht vom Land Sachsen-Anhalt und anderen Einrichtungen des Landes eingehalten wird, denn deren Fanpages bei Facebook sind weiterhin online.

Der Landesdatenschutzbeauftragte von Sachsen-Anhalt ist es auch, der gemeinsam mit Kollegen anderer Länder Anfang Mai ein Positionspapier veröffentlicht hat, wonach Tracking-Cookies generell nur noch per Opt-in-Verfahren zulässig sein sollen. Nur selbst ist man diesem Positionspapier nicht gefolgt. Auf der eigenen Website wird noch heute fleißig getrackt und das nicht nur ohne Opt-in, sondern sogar ohne das unstrittig notwendige Opt-out. Besser kann man nicht demonstrieren, was von den Empfehlungen der Datenschutzbehörde aus Sachsen-Anhalt zu halten ist! Handelt es sich hierbei um Mutwilligkeit, Sorglosigkeit oder schlichtweg Inkompetenz?

Mehr zu dem Thema Tracking und Cookies findet man in meinem Leitfaden zur Umsetzung der DSGVO.

Ernüchterndes Fazit

Bei der Einstellung der Social-Media-Aktivitäten handelt es sich nicht um eine Randnotiz. In der Kulturbranche, in der viele Einrichtungen mit finanziellen Engpässen zu kämpfen haben und es eine stetige Herausforderung ist, neue Besuchergruppen zu erschließen, kann eine solche Beschneidung der Öffentlichkeitsarbeit existenzbedrohend wirken. Hier wird Kultur auf den Opfertisch vermeintlichen Datenschutzes gelegt. Doch helfen diese Bauernopfer weder dem Verbraucher noch der Gesellschaft, sondern lediglich dem Ego einzelner.

Mein Appell an die Kollegen in Sachsen-Anhalt: Lassen Sie sich nicht verunsichern! Warten Sie zumindest das Urteil des Bundesverwaltungsgerichts ab. Danach können Sie die Lage neu analysieren und bewerten. Und informieren Sie sich vielseitig, nicht nur anhand von Empfehlungen einer Datenschutzbehörde, die es mit dem Datenschutz selbst nicht so genau nimmt.