Das Bayerische Landesamt für Datenschutzaufsicht hatte 2017 einem Online Shop untersagt, das Marketing-Tool "Facebook Custom Audience" zu verwenden. Dieses ermöglicht es Unternehmen, Kunden, die auch ein Facebook-Konto haben, dort gezielt bewerben zu lassen.

Der Online Shop erstellt dazu eine Liste seiner Kunden oder Interessenten mit Name, Wohnort, E-Mail-Adresse und Telefonnummer. Diese Kundenliste wird im Facebook-Konto des Online-Shops an Facebook übergeben. Zuvor werden die Kundendaten unter Einsatz des sogenannten Hash-Verfahrens in einen Hashwert (Buchstaben-Zahlen-Kombination) umgewandelt.

Facebook gleicht die Kundenliste des Shops mit allen Facebook-Nutzern ab und kann so feststellen, welcher Kunde des Shops auch bei Facebook registriert ist. Dann kann der Online-Shop diese Zielgruppe auf Facebook gezielt bewerben.

Das Bayerische Landesamt für Datenschutzaufsicht (LDA) hatte den Online-Shop aufgefordert, das Tool "Facebook Custom Audience über die Kundenliste" nicht mehr einzusetzen. Grund: Der Online-Shop holte keine Einwilligung des Nutzers ein. Aus Sicht des Bayerischen Landesamts für Datenschutzaufsicht ist das erforderlich, da Kundendaten direkt an Facebook übermittelt wurden.

Gegen diese Anordnung klagte der Online-Shop vor dem Verwaltungsgericht Bayreuth. Das Verwaltungsgericht entschied, dass die Anordnung rechtmäßig ergangen sei. Auch gegen diese Entscheidung wendete sich der Online-Shop. So kam die Sache an den Bayerischen Verwaltungsgerichtshof. 

Dieser hat jetzt schließlich entschieden, dass die Anordnung der Datenschutzbehörde rechtmäßig war.

Denn für die Frage, ob ein Verhältnis über eine Auftragsverarbeitung vorliegt, komme es nicht auf die vertragliche Vereinbarungen der Parteien an, sondern auf die tatsächlichen Abläufe der Datenverarbeitung. Facebook sei im konkreten Fall kein Auftragsverarbeiter sondern Dritter. Der Einsatz des Marketing-Tools "Facebook Custom Audience über die Kundenliste" sei daher nur rechtmäßig, wenn der Nutzer eingewilligt hat. Zwar habe der Werbetreibende ein berechtigtes Interesse an zielgerichteter Werbung, diesem Interesse stehen jedoch die überwiegenden, schutzwürdigen Interessen der Betroffenen gegenüber. Denn sie rechnen nicht damit, dass ihre E-Mail-Adresse an Facebook übermittelt wird.

Der Präsident des Bayerischen Landesamtes für Datenschutzaufsicht in Bayern will die Entscheidung zum Anlass nehmen, die Prüfung auf weitere Branchen auszuweiten und Verstöße nach dem neuen Bußgeldrahmen der Datenschutzgrundverordnung (DSGVO) zu sanktionieren.

Übrigens: Das LDA gibt auf seiner Website Allgemeine Hinweise und Anforderungen für Verantwortliche Datenverarbeiter zum Einsatz des Tools „Facebook Custom Audience“.