Muss ich mich bei Facebook mit meinem richtigen Namen anmelden?
Das weltweit größte soziale Netzwerk, Facebook, sorgt immer wieder für Aufsehen – kein Wunder bei inzwischen über 1 Milliarde Nutzer weltweit. Die Kombination aus Marktmacht und Internationalität, sowie das besondere Geschäftsmodell der sozialen Netzwerke, die Daten der eigenen Nutzer für zielgerichtet Werbung zu nutzen und damit Geld zu verdienen, weckt zunehmend das Interesse der Juristen. Eine der zentralen Fragen der juristischen Auseinandersetzung ist dabei der Datenschutz. Hier bestehen im dafür sehr sensiblen Deutschland erhebliche Differenzen zu den USA, dem Heimatland und Firmensitz von Facebook.
Mark Zuckerberg, der Gründer des Netzwerks hat schon vor einiger Zeit deutlich gemacht, es für einen Mangel an persönlicher Integrität zu halten, zwischen verschiedenen Identitäten zu wechseln. Facebook verlangt von seinen Nutzern daher schon länger, nur den echten Namen, den sog. Klarnamen zu verwenden. Das Unternehmen weist regelmäßig darauf hin, dass die Verpflichtung, einen Klarnamen zu verwenden, sowohl die Sicherheit im Netzwerk, als auch den Mehrwert für die Mitglieder erhöhe. Eine pseudonyme Nutzung, wie es derzeit nicht wenige Teilnehmer zu praktizieren scheinen, verstößt jedenfalls gegen die derzeit geltenden Nutzungsbedingungen (https://www.facebook.com/legal/terms, Punkt 4.1.). Facebook wäre demnach grundsätzlich berechtigt, Accounts zu sperren, die gegen die Klarnamenpflicht verstoßen. Diese Forderung findet übrigens auch das Gefallen deutscher Sicherheitsbehörden. Im Zusammenhang mit sog. Facebook-Parties (über das soziale Netzwerk organisierte Veranstaltungen mit einem potenziell unbegrenzten Teilnehmerkreis) machte sich die Junge Polizei, die Nachwuchsorganisation der Deutschen Polizeigewerkschaft, dafür stark, „dass nur reale Nutzer das Netzwerk nutzen und Ermittlungsbehörden ohne zeitlichen Verzug an diese Daten gelangen.“
Genau das verstößt nach Ansicht des Unabhängigen Landeszentrums für Datenschutz Schleswig-Holstein (ULD) aber gegen geltendes Recht. Deshalb hat es im Dezember eine Verfügung gegen die amerikanische Mutterfirma Facebook, Inc. erlassen. Aufgabe des ULD ist es, Hinweisen auf Datenschutzverstöße nachzugehen und die Behörden des Landes Schleswig-Holstein auf Einhaltung des Datenschutzrechts hin zu kontrollieren. Zur Klarnamenpflicht verweist es auf § 13 Abs. 6 Telemediengesetz (TMG). Dort heißt es:
„Der Diensteanbieter hat die Nutzung von Telemedien und ihre Bezahlung anonym oder unter Pseudonym zu ermöglichen, soweit dies technisch möglich und zumutbar ist.“
Sowohl Facebook, Inc. (die amerikanische Mutterfirma), als auch Facebook, Ltd. (eine in Irland ansässige Tochterfirma) verweigerten die Zulassung pseudonymer Konten. Sie bringen vor, die Verarbeitung der Daten europäischer Nutzer erfolge allein in Irland. Irland setze zwar europäisches Datenschutzrecht umfassend um, kenne jedoch keine Regelung, die dem § 13 Abs. 6 TMG entspreche. Die amerikanische Mutterfirma verarbeite die Daten europäischer Nutzer nicht, da sie lediglich auf Weisung der Tochterfirma tätig werde.
Das ULD begründet die Anwendbarkeit des deutschen BDSG (Bundesdatenschutzgesetz) mit mehreren Argumenten: Deutsches Datenschutzrecht findet zwar grundsätzlich keine Anwendung, wenn eine Verarbeitung personenbezogener Daten innerhalb des Geltungsbereichs des europäischen Datenschutzrechts erfolgt. Wenn diese Datenverarbeitung aber durch eine Niederlassung in Deutschland erfolgt, ist auch der Anwendungsbereich des BDSG eröffnet, § 1 Abs. 5 S. 1 BDSG. Eine solche Niederlassung sei die Facebook Germany GmbH mit Sitz in Hamburg, die ihrerseits eine Tochterfirma der irischen Facebook, Ltd. sei.
Weiterhin stützt das ULD seine Verfügung gegen die amerikanische Mutterfirma auf die betriebliche Organisation. Die wesentlichen Vorgaben für die Zwecke der Datenerhebung kämen aus den USA, deshalb soll gem. § 1 Abs. 5 S. 2 BDSG deutsches Datenschutzrecht und flankierende Regelungen aus dem TMG Anwendung finden. Denn die Daten werden von einer außerhalb des Geltungsbereichs des europäischen Datenschutzrechts gelegenen Stelle im Inland erhoben, z.B. beim Auswerten von Cookies der deutschen Nutzer. Die amerikanische Mutterfirma bestimme durch die Geschäftspolitik nämlich überhaupt erst, in welchem Umfang Nutzerdaten gespeichert werden.
Facebook ließ sich erwartungsgemäß nicht von dem in der Verfügung angedrohten Zwangsgeld von 20.000 € beeindrucken und hielt nach wie vor am Klarnamenzwang fest. Vielmehr leitete das Unternehmen rechtliche Schritte gegen die Verfügung ein, so dass nun das sachlich und örtlich zuständige Verwaltungsgericht Schleswig in der Sache entscheiden musste (VG Schleswig 8 B 60/12, 8 B 61/12). Beide Entscheidungen bekräftigen die Rechtsauffassung von Facebook.
Das Gericht kommt zu dem Schluss, dass deutsches Datenschutzrecht aus mehreren Gründen keine Anwendung findet. Die Facebook Germany GmbH sei „lediglich im Bereich der Anzeigenaquise und im Bereich des Marketing tätig“. Sie verarbeite jedoch keine personenbezogenen Daten – diese Aufgabe fällt allein der Facebook, Ltd. mit Sitz in Irland zu. Demnach sei das BDSG nicht anwendbar, dessen § 1 Abs. 5 S. 1 müsse richtlinienkonform ausgelegt werden. Die Anwendbarkeit des BDSG erstrecke sich nach dieser Vorschrift bei Vorhandensein einer Niederlassung der verantwortlichen Stelle im Inland nur soweit, wie die Verarbeitung personenbezogener Daten durch die Niederlassung in Rede steht.
Deutsches Datenschutzrecht könne deswegen keine Anwendung finden, weil die irische Facebook, Ltd. innerhalb des Geltungsbereichs des europäischen Datenschutzrechts personenbezogene Daten verarbeite – auf die Frage, ob sie dies allein oder zusammen mit der amerikanischen Facebook, Inc. tue, kommt es nach Auffassung des Gerichts nicht an –. Damit könne ausschließlich irisches Datenschutzrecht Anwendung finden. Für den Begriff „Niederlassung“ sei der Standort der Daten, insbesondere der des Servers ebenso wenig ausschlaggebend, wie die Frage, ob die Verarbeitung personenbezogener Daten „im Rahmen der Tätigkeit" der Niederlassung“ stattfinde. Selbst wenn sich die Server, auf denen die verarbeiteten Daten gespeichert sind, ausschließlich in den USA befänden, ändere das nichts daran, dass die irische Facebook, Ltd. den Begriff der Niederlassung erfülle.
Die Verfügung des ULD sei daher rechtswidrig, Facebook kann also am Klarnamenzwang festhalten. Für den individuellen Nutzer bedeutet das, dass er jederzeit mit der Sperrung seines unter Pseudonym eingerichteten Accounts rechnen muss. Ob er ihn, etwa mit Übersendung einer Kopie des Personalausweises, wieder aktivieren und unter seinem Klarnamen betreiben will, muss jeder Nutzer für sich selbst entscheiden. Angesichts des Geschäftsmodells erhöht sich der Wert der Nutzerdaten, wenn sichergestellt ist, dass hinter dem Namen eine real existierende Person mit den im Netzwerk angegebenen Vorlieben, Interessen und Freunden steht. Dem Geschäftsmodell steht jedoch der schwer von der Hand zu weisende Einwand gegenüber, dass möglicherweise eine pseudonyme Nutzung solcher Dienste die grundgesetzlich geschützte Persönlichkeitsentfaltung erst in vollem Umfang ermöglicht. Bereits 1983 hat das Bundesverfassungsgericht in seinem wegweisenden Volkszählungsurteil die Bedenken gegen die automatisierte Verarbeitung persönlicher Daten aufgegriffen und den besonderen Stellenwert des Rechts auf informationelle Selbstbestimmung betont. Denn wer nicht von vornherein klar überschauen kann, wer welche Daten über wen zu welchem Zwecke und zu welchem Anlass erhebt, der lasse sich durch diese Ungewissheit nämlich vielleicht sogar so einschüchtern, dass er von seinen bürgerlichen Freiheiten erst gar keinen Gebrauch mache.