Nach einem ähnlichen Urteil in erster Instanz hatte nun das Kammergericht in Berlin als Berufungsgericht über die Zulässigkeit der Datenweitergabe von Facebook an Games-Publisher zu entscheiden. Die Entscheidung fiel eindeutig zu Lasten von Facebook aus.
-
Urteil zur Datenverarbeitung bei Games auf Facebook
-
Facebook AGB-Klauseln wegen Intransparenz für unwirksam erklärt
-
Grundsätze auch auf App-Berechtigungen und Single-Login-Systeme anwendbar
Ein Beitrag von Rechtsanwalt Matthias Walker, BvM Berlin
Facebooks „App-Zentrum“
Facebook bietet neben den üblichen Kommunikationstools, wie etwa der Timeline und dem Messenger, auch eine Fülle anderer Nutzungsmöglichkeiten auf seiner Plattform. 2012 startete Facebook seinen – mittlerweile wieder aufgegebenen – eigenen „Appstore“, namentlich das „App Center“ oder auch „App-Zentrum“, über das Facebook-Nutzer Apps und Spiele von Drittherstellern aufrufen und nutzen konnten. Wollte ein Nutzer bestimmte Spiele spielen, kam es zu Datenweitergaben an den jeweiligen Drittanbieter des Spiels. Hinsichtlich dieser Datenweitergaben entzündete sich ein Streit zwischen dem Verbraucherzentrale Bundesverband (VZBV) und Facebook. Nachdem Facebook bereits in der ersten Instanz unterlag, verlor es nunmehr auch die seinerseits eingelegte Berufung (KG Berlin, Urteil vom 22.09.2017, Az. 5 U 155/14).
Was war passiert?
Im „App-Zentrum“ Facebooks waren mitunter kostenlose Spieletitel, wie „The Ville“ für Facebook-Nutzer spielbar. Wollte der Nutzer auf „The Ville“ über das „App-Zentrum“ zugreifen, erschienen unter dem Button „Sofort spielen“ folgende Informationen zur Verarbeitung von Daten und Posts im Namen des Nutzers:
„Durch das Anklicken von „Spiel spielen“ oben,
erhält diese Anwendung:
- Deine allgemeinen Informationen (?)
- Deine E-Mail-Adresse
- Über dich
- Deine Statusmeldungen
Diese Anwendung darf in deinem Namen posten, einschließlich dein Punktestand und mehr.“
Ähnliche Hinweise erschienen bei Spielen wie „Diamond Dash“ und „Wetpaint Entertainment“ ebenfalls unter dem Button „Sofort spielen“. Beim Spiel „Scrabble“ fand sich in der Information eine ähnliche Formulierung zu Posts im Namen des Nutzers:
„Diese Anwendung darf Statusmeldungen, Fotos und mehr in deinem Namen posten.“
Der VZBV klagte gegen die derartige Präsentation von Spielen im „App-Zentrum“ sowie gegen die Möglichkeit Posts aufgrund der genannten Klausel in Namen der Nutzer vorzunehmen. Hinsichtlich der Weitergabe von Daten berief sich der VZBV darauf, dass die geschäftliche Unerfahrenheit und Leichtgläubigkeit von jungen Verbrauchern ausgenutzt und Nutzer über die Wirksamkeit ihres Einverständnisses zur Datenverarbeitung in die Irre geführt würden. Zudem läge in der Klausel, die Anwendung dürfe „Statusmeldungen, Fotos und mehr“ im Namen des Nutzers posten, eine unangemessene Benachteiligung von Verbrauchern.
Deutsches Recht anwendbar
Vorab macht das Gericht deutlich, dass auch auf ein international agierendes Unternehmen wie Facebook, mit Sitzen in unterschiedlichen Mitgliedstaaten der EU, deutsches Wettbewerbs- und Datenschutzrecht Anwendung finden kann, da es eine Niederlassung in Deutschland betreibt (die Facebook Germany GmbH), welche für Werbeflächen und Werbekunden zuständig ist. Auch richte sich der Internetauftritt Facebooks aufgrund seiner Internetadresse („.de“) und seiner Sprachfassung an deutsche Verbraucher. Diese komplexe Frage nach der Anwendbarkeit deutschen Datenschutzrechts erübrigt sich ab dem 25.05.2018 aber ohnehin, da dann die Datenschutzgrundverordnung gilt, die einen europaweiten gleichen Schutzstandard etabliert.
Facebook ist verantwortlich – Intransparenz gegenüber Verbrauchern
Das Kammergericht befasst sich in seiner Entscheidung insbesondere mit der Klausel, die Anwendungen das Recht einräumt, Posts im Namen des jeweiligen Nutzers vorzunehmen. Diese seien zu unbestimmt und nicht konkret gestaltet. Anbietern von Spielen werde hierdurch ermöglicht, Posts im Namen des Nutzers vorzunehmen, deren Anzahl oder Inhalt nicht ansatzweise abzusehen seien. Die Datenverarbeitung widerspreche den Vorgaben der Datenschutzrichtlinie, da keinerlei eindeutiger Zweck der Datenverarbeitung genannt werde. Das Kammergericht führt weiter aus, dass ein Spielebetreiber eine derartige Einwilligung auch dazu verwenden könne, „Werbung für Produkte anderer Unternehmer (etwa Kraftfahrzeuge oder sogar sexuell anzügliche Produkte)“ im Namen des Nutzers zu betreiben.
Mit überraschender Deutlichkeit kommentiert das Gericht dies mit den Worten: „Es liegt im Übrigen auf der Hand, dass dies den Mindeststandard der Datenschutzrichtlinie unterläuft und nach keinem Datenschutzrecht (...) zulässig sein kann.“
Merkbar deutlich konstatiert das Gericht Facebook auch ein diesbezüglich rechtswidriges Geschäftsgebaren, indem es ausführt, die Unlauterkeit des Handelns von Facebook läge „für jeden (...) derart auf der Hand, dass sogar von einem entsprechenden Bewusstsein der Beklagten (Facebook, Anm. d. Verf.) auszugehen“ sei.
Das Kammergericht betont weiter, dass es Facebook sei – und nicht die Spieleanbieter – das sich an die Nutzer wende, um die erforderliche Zustimmung zur Datenübertragung und -verwendung für Posts in deren Namen zu erhalten. Es sei auch Facebook, das den Spieleanbietern die Daten der Nutzer übermittelt und ein wirtschaftliches Interesse am Erfolg der Spiele und Apps habe.Schließlich hielt das Gericht die Klausel zu Posts der Spielebetreiber im Namen der Nutzer für intransparent und damit nach AGB-Recht für unwirksam. Den Einwand Facebooks, es sei die falsche Partei hinsichtlich dieser Frage, da nicht Facebook, sondern die Spielebetreiber Verwender der AGB seien, ließ das Gericht nicht gelten. Facebook stelle über eine eigene Schnittstelle den Zugang zu den Spielen zur Verfügung. Dieser Zugang unterläge also auch den vertraglichen Vereinbarungen zwischen Facebook und seinen Nutzern zur Verwendung des sozialen Netzwerks.
Fazit
Wenngleich Facebook das „App-Zentrum“ bereits 2014 aufgegeben hat, ist das Urteil des Kammergerichts von hoher Relevanz, nicht nur für Facebook selbst, sondern auch für Entwickler und Publisher, die ihre Spiele über Facebook zugänglich machen wollen. Auch ohne das „App-Zentrum“ bietet Facebook nämlich weiterhin die Möglichkeit Spiele von Drittanbietern zu spielen, mittlerweile unter dem Namen „Instant Games“. Insofern dürften die vom Gericht herausgestellten Punkte auch dort auf vergleichbare Sachverhalte Anwendung finden. Ob das letzte Wort hierzu gesprochen wurde, bleibt abzuwarten. Das Kammergericht ließ die Revision zum BGH jedenfalls zu.
Neben der Facebook-Plattform betrifft das Urteil zugleich aber auch weitere Fälle der Datenweitergabe und -verarbeitung. So betrifft diese Rechtsprechung auch Single-Login-Systemen, bei denen sich Nutzer etwa mittels eines Facebook-Accounts (oder Google-Accounts etc.) bei Diensten von Drittanbietern einloggen können. Auch hier müsste nach dem Zweckbindungsgrundsatz der Nutzer darüber informiert werden, zu welchem Zweck genau welche andere Person Daten von ihm verarbeiten darf. Ähnlich ist dies bei Zugriffsberechtigungen von Apps auf mobilen Endgeräten. Zwar bestehen mittlerweile individuell einstellbare Zugriffsbeschränkungen auf dem jeweiligen Gerät. Folgt man dem Maßstab des Kammergericht müsste jedoch auch hier dem Nutzer dargelegt werden, ob und zu welchem Zweck eine Datenerhebung und -weitergabe bei Gewährung eines bestimmten Zugriffs erfolgt. Da die Zweckbindung im Rahmen der Datenschutzgrundverordnung im kommenden Jahr noch erheblich an Bedeutung gewinnen wird, ist zu erwarten, dass sich genau die Frage der Aufklärung des Nutzers noch in erheblich größerem Umfang stellen wird.
