Einsatz von Facebook Custom Audiences ist datenschutzwidrig

Der Verwaltungsgerichtshof München (VGH München) hat mit Beschluss vom 26. September 2018 (Az.: 5 CS 18.1157) eine erstinstanzliche Entscheidung des VG Bayreuth bestätigt, nach der der Einsatz von Facebook Custom Audiences mittels Kundenlisten datenschutzwidrig ist.

Ebenso wie das VG Bayreuth ist der VGH München der Ansicht, dass die Übermittlung von E-Mail-Adressen von Kunden an Facebook zum Zwecke der Schaltung zielgerichteter Werbung ohne eine gesonderte Einwilligung der Kunden unzulässig ist. Insbesondere liege keine Auftragsdatenverarbeitung vor, weil allein Facebook die Auswahl der zu Bewerbenden anhand der nur Facebook bekannten und verfügbaren Profildaten treffe und allein Facebook dazu in der Lage sei, die zu bewerbenden Kunden zu ermitteln und die Werbung auszuspielen. Es fehle somit an der für eine Auftragsdatenverarbeitung notwendigen vollständigen Unterordnung von Facebook bei der Erhebung, Verarbeitung und Nutzung der Daten.

Ferner komme als gesetzliche Gestattung auch nicht das sog. Listenprivileg des § 28 Abs. 3 BDSG a.F. zum Tragen, weil es sich bei den E-Mail-Adressen nicht um Listendaten im Sinne der Vorschrift handele. Ebenfalls könne die Übermittlung der Daten an Facebook nicht auf berechtigte Interessen § 28 Abs. 1 S. 1 Nr. 2 BDSG a.F. gestützt werden, weil die Interessen der Betroffenen die Interessen des werbungtreibenden Unternehmens, hier eines Onlineshops, überwiegen würden. Die Betroffenen müssten insbesondere nicht damit rechnen, dass ihre im Rahmen eines Bestellvorgangs angegebenen E-Mail-Adressen an Facebook übermittelt werden. In diesem Zusammenhang wies der VGH München noch darauf hin, dass es ohne großen Aufwand möglich sei, die entsprechende Einwilligung bei den Betroffenen einzuholen. Da die Entscheidung im einstweiligen Rechtsschutz gegangen ist, ist die Entscheidung unanfechtbar.
Werbetreibenden, die Facebooks „Custom Audience“ mittels ihrer Kundenlisten nutzen, ist daher dringend anzuraten, die Einwilligung ihrer Kunden zur Weitergabe ihrer E-Mail-Adressen an Facebook einzuholen. Da dies nachträglich kaum möglich sein wird, sollte die Nutzung alter E-Mail-Adressen wohl überlegt sein. Dies gilt umso mehr als das LG Würzburg mit Beschluss vom 13.09.2018 (Az. 11 O 1741/18 UWG) – allerdings mit zweifelhafter Begründung – entschieden hat, dass Verstöße gegen die DSGVO von Mitbewerbern abgemahnt werden können.

Beitrag von Rechtsanwalt Dr. Stefan Ellenberg