Das Gutachten widmet sich in seinem juristischen Teil im Wesentlichen den Facebook- Fanpages und den Betreibern von Websites, die den "Gefällt mir"-Button auf ihren Seiten verwenden, um ihre eigenen Seiten mit Facebook verknüpfen. Es geht also um Fanpages wie die Facebook-Seiten für den ARD-Moderator Kai Pflaume  oder um Seiten, die - wie die Seiten von Spiegel Online - den "Gefällt mir"-Button verwenden.

I. Das Urteil des ULD

Das Urteil des ULD fällt apodiktisch aus: Das Betreiben von Facebook-Fanpages und die Einbindung des "Gefällt mir"-Buttons führe "zwangsläufig" zu Datenschutzverstößen und sei daher zu unterlassen. Kai Pflaume und Spiegel Online verletzen nach Auffassung der schleswig-holsteinischen Behörde geltendes Recht. Sie können froh sein, in München bzw. in Hamburg beheimatet zu sein. Schleswig-holsteinischen Betreibern droht das ULD mit einer Untersagung nach § 38 Abs. 5 BDSG und mit Bußgeldern nach § 16 TMG und § 43 BDSG.

Dr. Moritz Karg äußerte sich in einem Interview   sehr entschlossen zur datenschutzrechtlichen Einschätzung von Fanpages: "Website-Betreiber, die eine Fanpage haben, bleibt momentan erst mal nur (die Möglichkeit), zur Kenntnis zu nehmen, dass es datenschutzwidrig ist, es ist sogar mit einem Bußgeld belegt, dieser Tatbestand, und im Prinzip momentan geht nur die Abschaltung"
Der Leiter des ULD wird in der Pressemitteilung zu dem Facebook-Arbeitspapier  , wie folgt, zitiert: "Niemand sollte behaupten, es stünden keine Alternativen zur Verfügung; es gibt europäische und andere Social Media, die den Schutz der Persönlichkeitsrechte der Internet-Nutzenden ernster nehmen. Dass es auch dort problematische Anwendungen gibt, darf kein Grund für Untätigkeit hinsichtlich Facebook sein, sondern muss uns Datenschutzaufsichtsbehörden dazu veranlassen, auch diesen Verstößen nachzugehen. Die Nutzenden können ihren Beitrag dazu leisten, indem sie versuchen datenschutzwidrige Angebote zu vermeiden.".

In der Pressemitteilung werden Untersagungsverfügungen nach § 38 Abs. 5 BDSG sowie Bußgeldverfahren angekündigt mit dem Hinweis, dass die maximale Bußgeldhöhe bei Verstößen gegen das TMG bei 50.000 Euro liege. Internetnutzern wird unter anderem der Ratschlag erteilt, "keinen Facebook-Account anzulegen, wenn sie eine umfassende Profilbildung durch das Unternehmen vermeiden wollen."
Das Arbeitspapier, das Interview und die Pressemitteilung liegen auf einer Linie:

• Bei Fanpages und "Gefällt mir"-Buttons lasse das Datenschutzrecht keinen Zweifel an der Rechtswidrigkeit zu.
  
• Schleswig-holsteinischen Seitenbetreibern wird dringend nahegelegt, die Fanpages und Buttons stillzulegen.
  
• Den Seitenbetreibern werden Untersagungsverfahren nach § 38 Abs. 5 BDSG und Bußgelder bis zu 50.000 Euro angedroht.

Die Kampagne des ULD gegen Facebook wirft zwei Fragen auf:

• Datenschutzrechtlich stellt sich die Frage, ob die Rechtslage tatsächlich so "eindeutig" ist, wie es nach den apodiktischen Äußerungen des ULD erscheint.
  
• Verfassungsrechtlich fällt auf, dass die ULD als Behörde handelt, die an Recht und Gesetz gebunden ist. Dies ruft die Frage auf den Plan, ob die öffentlichen Äußerungen zu Facebook durch eine Rechtsgrundlage legitimiert sind.

II. Datenschutzrechtliche Fragen

1. "Eindeutigkeit des Datenschutzrechts"?
   
   Dass das deutsche und europäische Datenschutzrecht den Herausforderungen der vernetzten Kommunikation nicht gerecht wird, ist weitgehend Konsens. Im aktuellen Heft der Zeitschrift "Kommunikation&Recht" (K&R) findet sich ein Beitrag, den Dr. Moritz Karg mit einem Co-Autor zu den "Rechtsgrundlagen für den Datenschutz in sozialen Netzwerken" verfasst hat. Der Beitrag endet mit folgendem Fazit:
   
   "Bereits die durchgeführte Analyse der innerhalb sozialer Netzwerke erhobenen, verarbeiteten und genutzten Daten zeigt, wie wenig passend die bisher geltenden Regelungen... (sind).Je stärker die Verwendung personenbezogener Daten intermedial erfolgt, desto schwieriger wird es, Rechtssicherheit für Betreiber und Nutzer zu schaffen. Die vor allem in der Rechtspraxis entstehenden Unsicherheiten bereits bei der Beantwortung der Frage, welches Rechtsregime überhaupt einschlägig ist, können weder durch die Aufsichtsbehörden noch durch die Judikative beseitigt werden. Es ist Aufgabe des Gesetzgebers, dieser neuen Kommunikationstechnologie ein passendes und interessengerechtes Datenschutzrecht zu geben."
   In dem Arbeitspapier, für das Dr. Moritz Karg als "Ansprechpartner" benannt wird, ist von Auslegungsschwierigkeiten und -zweifeln nicht die Rede. In den Fußnoten finden sich neben zwei Hinweisen auf den Standard-Kommentar von Simitis und einem Verweis auf die "Gefällt mir"- Entscheidung des Kammergerichts lediglich Hinweise auf Stellungnahmen des Düsseldorfer Kreises und der Art. 29-Gruppe der europäischen Datenschutzbehörden.
   
   Das Arbeitspapier stützt die These von der Datenschutzwidrigkeit von Facebook-Fanpages und "Gefällt mir"-Buttons im Wesentlichen auf das Webtracking - auf die Auswertung der Nutzung der Webseiten, die Facebook den Betreibern von Fanpages und Websites mit dem "Gefällt mir"-Button ermöglicht. Zum Webtracking bedarf es zum einen einer Analyse von IP-Adressen und zum anderen des Einsatzes von Cookies.
   
   
   
2. Personenbezogenheit: die ausgeblendete Kontroverse
   
   Ob und inwieweit Cookies und IP-Adressen als personenbezogene Daten anzusehen sind, wird seit vielen Jahren kontrovers diskutiert. Und es verwundert sehr, dass das Arbeitspapier des ULD diese Kontroverse vollständig verschweigt. Die Personenbezogenheit von IP-Adressen wird in einem Satz bejaht unter (unbelegtem) Hinweis auf die "einhellige Auffassung der europäischen und deutschen Datenschutzbehörden". Zu Cookies heißt es lediglich - ohne nähere Erläuterungen - , dass mit ihnen "Nutzerinnen und Nutzer individualisiert werden können."
   
   Hinter der vom ULD ausgeblendeten Diskussion um die Anwendbarkeit des Datenschutzrechts auf Cookies und IP-Adressen steht der Streit um die Auslegung des Begriffs der Personenbezogenheit von Daten (§ 3 Abs. 1 BDSG). Vielfach wird für eine "relative" Betrachtungsweise plädiert. Ein und dasselbe Datum kann nach dieser Auffassung bei der einen verantwortlichen Stelle (vgl. § 3 Abs. 7 BDSG) ein personenbezogenes Datum sein und bei der anderen Stelle nicht. Die Gegenauffassung17 lehnt - meist unter pauschalem Hinweis auf den Grundrechtsschutz der Betroffenen - jegliche Relativierung ab und lässt es ausreichen, dass (theoretisch-abstrakt) Möglichkeiten denkbar sind, die das Datum mit einer natürlichen Person in Verbindung bringen.
   
   
   
3. Webtracking: Forderungen an den Gesetzgeber
   
   Am Webtracking beunruhigt nicht die Vorstellung, dass sich ein Mitarbeiter von Facebook bei einem Nutzer per E-Mail meldet und ihn mit peinlichen Einzelheiten aus den letzten Internetsitzungen konfrontiert. Der Internetnutzer nimmt es vielmehr als freiheitsbeschränkend wahr, dass er sich - anonym - beobachtet fühlt, ohne genau abschätzen zu können, mit welcher Genauigkeit die Beobachtung erfolgt. Bei der Diskussion um Cookies und IP-Adressen geht es letztlich darum, dass ein "potentiell äußerst großer und aussagekräftiger Datenbestand" entsteht, der den tiefen Einblick in die Persönlichkeit ermöglicht, aus dem das BVerfG das 'Computer-Grundrecht' abgeleitet hat. Das Webtracking ruft das 'Computer-Grundrecht' auf den Plan und nicht die informationelle Selbstbestimmung.
   
   Um das "Computer-Grundrecht" mit Leben zu erfüllen, bedarf es - wie von Karg an anderer Stelle selbst gefordert - klarer rechtlicher Regelungen zu der Frage, wie der Nutzer über die Sammlung von Spuren im Netz zu informieren ist. Nur bei einer hinreichenden Information hat der Nutzer die Möglichkeit, frei und autonom zu entscheiden, ob er Dienste nutzt, bei denen ein Webtracking erfolgt. Mit § 15 Abs. 3 TMG gibt es für Nutzerprofile bislang nur eine Rumpfnorm, die einer Anpassung an die heutigen Internet-Verhältnisse bedarf. Von dem ULD hätte man sich entsprechende Forderungen an den Gesetzgeber gewünscht und keine unreflektierte, unhaltbare und unendlich weite Auslegung des geltenden Rechts, die in Drohgebärden gegenüber den Betreibern harmloser Facebook-Fanseiten gipfelt.

II. Verfassungsrechtliche Fragen

Die Drohgebärden des ULD rufen auch das Verfassungsrecht auf den Plan. Pressemitteilung, Interview-Äußerungen, Veröffentlichung eines Arbeitspapiers: Das ULD betreibt als staatliche Behörde Öffentlichkeitsarbeit, an das dieselben Maßstäbe anzulegen sind, die gelten, wenn ein Bundesministerium öffentlich vor glykolhaltigem Wein warnt oder wenn sich die Bundesregierung kritisch über eine 'Jugendsekte' äußert. Dass eine staatliche
Behörde zur Öffentlichkeitsarbeit zwar berechtigt ist, hierbei jedoch im Hinblick auf die Grundrechte der Betroffenen Bildungen unterliegt, ist seit langer Zeit anerkannt.

1.Grundrechtsrelevanz

Die Facebook-Kampagne des ULD ist in mehrerlei Hinsicht grundrechtsrelevant:

• Soweit deutsche Unternehmen dazu aufgefordert werden, Facebook-Fanseiten bzw. den "Gefällt mir"-Button zu löschen, kommt ein Eingriff in Art.12 Abs.1GG (Berufsfreiheit) in Betracht.
  
  
• Soweit entsprechende Aufforderungen an private Betreiber von Fanseiten und des Buttons ergehen, ist Art. 2 Abs. 1 GG (Handlungsfreiheit) betroffen.
  
  
• Da Art.12 Abs.1GG als "Deutschen-Grundrecht" ausgestaltet ist, kommt auch bei Facebook allein ein Eingriff in Art. 2 Abs. 1 GG (Handlungsfreiheit) in Betracht.

2. Gesetzliche Eingriffsnormen

Das ULD kann sich bei seiner "Facebook-Kampagne" nicht auf eine gesetzliche Eingriffsnorm stützen. § 43 LDG SH weist dem ULD zwar die Beratung der Bürgerinnen und Bürger über Fragen des Datenschutzes als "Serviceaufgabe" zu, ist jedoch nicht als Norm
ausgestaltet, die das ULD zu Grundrechtseingriffen legitimiert. Als Eingriffsnorm gegenüber nicht-öffentlichen Stellen kommt allein § 38 BDSG in Verbindung mit § 39 Abs. 2 LDG SH in Betracht. Nach § 38Abs.1 BDSG ist die ULD zwar befugt, bei datenschutzrechtlichen Verstößen den Betroffenen zu informieren. Eine Veröffentlichungsbefugnis ist § 38 Abs.1 BDSG jedoch nicht zu entnehmen.

Nach § 38 Abs.5 Satz 1 BDSG ist die ULD berechtigt, Maßnahmen zur Beseitigung festgestellter Rechtsverstöße bei der Erhebung, Verarbeitung oder Nutzung personenbezogener Daten oder technischer oder organisatorischer Mängel anzuordnen. Bei schwerwiegenden Verstößen oder Mängeln, insbesondere solchen, die mit einer besonderen Gefährdung des Persönlichkeitsrechts verbunden sind, kann die ULD die Erhebung, Verarbeitung oder Nutzung oder den Einsatz einzelner Verfahren untersagen (§ 38 Abs.5 Satz 2 BDSG). Veröffentlichungsbefugnisse ergeben sich aus § 38 Abs. 5 BDSG nicht.

3. Die "Glykol"-Rechtsprechung des BVerfG

Auch ohne eine legitimierende Eingriffsnorm ist eine staatliche Behörde nach Rechtsprechung des BVerfG27 zu einer marktbezogenen Information der Öffentlichkeit berechtigt, wenn

• (a) die Behörde sich auf das Vorliegen einer staatlichen Aufgabe berufen kann;
  
• (b) die Zuständigkeitsordnung eingehalten wird;
  
• (c) die Richtigkeit und Sachlichkeit der Informationen gewährleistet ist und
  
• (d) wenn die staatliche Öffentlichkeitsarbeit in der Zielsetzung und ihren Wirkungen kein Ersatz für eine staatliche Maßnahme ist, die als Grundrechtseingriff zu qualifizieren
  wäre.

a) Staatliche Aufgabe
Wegen des großen Informationsbedürfnisses der Öffentlichkeit, das heutzutage in Fragen des Datenschutzes feststellbar ist, kann sich das ULD bei seiner "Kampagne" auf eine legitimierende staatliche Aufgabe berufen.

b) Zuständigkeit
Fraglich ist allerdings, inwieweit das ULD die Zuständigkeitsordnung beachtet. "Datenschutzrechtliche Bewertung der Reichweitenanalyse durch Facebook" lautet die Überschrift des Arbeitspapiers. Im Mittelpunkt der Aktivitäten des ULD steht ein amerikanisches Unternehmen, das in Hamburg ein Vermarktungsbüro unterhält. Weshalb eine schleswig-holsteinische Landesbehörde für die kritische Untersuchung der Aktivitäten
dieses Unternehmens zuständig sein soll, ist nicht ohne Weiteres ersichtlich.

c) Richtigkeit und Sachlichkeit
Erhebliche Zweifel bestehen auch an der Richtigkeit und Sachlichkeit der Informationen, die das ULD verbreitet:

• Unklarheit der Rechtslage: Das Arbeitspapier, die Pressemitteilung und die Interviewäußerungen erwecken den Eindruck, dass das geltende Datenschutzrecht eindeutige Antworten auf die Fragen gibt, die im Zusammenhang mit den Facebook-Fanseiten und dem "Gefällt mir"-Button gestellt werden. Schon wegen der nicht zu leugnenden Unzulänglichkeiten des geltenden Datenschutzrechts kann es jedoch keine eindeutigen Antworten geben. Hinzu kommt, dass Grundannahmen, die das ULD
  seiner Stellungnahme zugrunde liegt, im datenschutzrechtlichen Schrifttum kontrovers diskutiert werden, ohne dass dies in den Äußerungen des ULD auch nur ansatzweise zum Ausdruck kommt.
  
  
• Irrelevanz des Facebook-Marktwerts: Das Sachlichkeitsgebot ist klar verletzt, wenn sich der Leiter des ULD in der Pressemitteilung, wie folgt, zitieren lässt: "Gezahlt
  wird mit den Daten der Nutzenden. Mit Hilfe dieser Daten hat Facebook inzwischen weltweit einen geschätzten Marktwert von über 50 Mrd. Dollar erreicht. Allen Stellen muss klar sein, dass sie ihre datenschutzrechtliche Verantwortlichkeit nicht auf das
  Unternehmen Facebook, das in Deutschland keinen Sitz hat, und auch nicht auf die Nutzerinnen und Nutzer abschieben können." Der (angebliche) "Marktwert" von Facebook steht offenkundig in keinem sachlichen Zusammenhang zu den Rechtsfragen, zu denen sich das Arbeitspapier verhält. Und das "Abschieben" einer
  datenschutzrechtlichen Verantwortung impliziert den Vorwurf einer bewussten Nachlässigkeit, ohne dass sachliche Gründe für einen solchen Vorwurf ersichtlich sind.
  
  
• Irreführender Marktvergleich: Vollständig unsachlich und in besonderem Maße fragwürdig ist auch der an einen Boykottaufruf grenzende Hinweis auf "europäische und andere Social Media, die den Schutz der Persönlichkeitsrechte der Internet-Nutzenden ernster nehmen." Der Leiter der ULD behauptet nicht, "andere Social Media" mit derselben Hartnäckigkeit untersucht zu haben. Der vergleichenden Wertung fehlt somit jegliche sachliche Grundlage.
  
  
• Bußgeld-Androhung: Irreführend und falsch ist es, wenn das ULD damit droht, ein Bußgeld nach § 16 TMG zu verhängen. Das ULD ist hierzu nicht befugt. Nach Nr.3.5.2 der Anlage zur schleswig-holsteinischen Landesverordnung zur Bestimmung der zuständigen Behörden für die Verfolgung und Ahndung von Ordnungswidrigkeiten (Ordnungswidrigkeiten-Zuständigkeitsverordnung - OWiZustVO) ist das ULD nur für die Verhängung von Bußgeldern nach § 43 BDSG zuständig. Bußgelder nach § 16 TMG können in Schleswig-Holstein allein durch die Medienanstalt Hamburg/Schleswig-Holstein verhängt werden (§ 38 Abs. 6 Medienstaatsvertrag HSH)  .

d) Äquivalenz zu Grundrechtseingriff
Der Gewährleistungsbereich des Grundrechts aus Art. 12 Abs. 1 GG wird nach der Rechtsprechung des BVerfG durch staatliche Öffentlichkeitsarbeit beeinträchtigt, wenn sie sich nicht darauf beschränkt, den Marktteilnehmern marktrelevante Informationen
bereitzustellen, auf deren Grundlage diese eigen bestimmte, an ihren Interessen ausgerichtete Entscheidungen über ihr Marktverhalten treffen können. Insbesondere kann die staatliche
Informationstätigkeit eine Beeinträchtigung im Gewährleistungsbereich des Grundrechts sein, wenn sie in der Zielsetzung und ihren Wirkungen Ersatz für eine staatliche Maßnahme ist, die als Grundrechtseingriff zu qualifizieren wäre. Durch Wahl eines solchen funktionalen Äquivalents eines Eingriffs können die besonderen Bindungen der Rechtsordnung nicht umgangen werden; vielmehr müssen die für Grundrechtseingriffe maßgebenden rechtlichen Anforderungen erfüllt sein33.

An dieser Stelle wird die Verfassungswidrigkeit der Facebook-Aktivitäten des ULD besonders deutlich: Wenn das ULD das erklärte Ziel verfolgt, in Schleswig-Holstein Facebook-Fanpages stillzulegen wegen des (angeblichen) Verstoßes gegen geltendes
Datenschutzrecht, hat es die Aufgabe, hiergegen durch Untersagungsverfahren (§ 38 Abs. 5 BDSG) oder durch die Verhängung von Bußgeldern vorzugehen. Die Betroffenen können sich dann hiergegen durch Anrufung der Gerichte wehren. Durch Öffentlichkeitsarbeit kann und darf sich eine staatliche Behörde nicht ihrer Bindung an Recht und Gesetz und der Kontrolle durch die Gerichte entziehen. Diese Vorgabe des BVerfG hat das ULD klar missachtet.

Wäre das ULD pflichtgemäß den Weg gegangen, (vermeintliche) Rechtsverstöße durch Untersagungsverfahren und Bußgeldbescheide zu ahnden, wäre ihm vielleicht auch aufgefallen, dass es jedenfalls für eine Verhängung von Bußgeldern nach § 16 TMG an einer gesetzlichen Grundlage fehlt.

---

Über den Autor: Niko Härting , Jahrgang 1964, hat an der Freien Universität Berlin studiert und ist seit 1993 Rechtsanwalt. Er gehört zu den Gründungspartner von Härting Rechtsanwälte  . Als Anwalt hat er sich auf die Schwerpunkt 'Internet und IT, 'Wettbewerb und Werbung' und 'Recht der Freien Berufe' spezialisiert.