Die Newsseite „tagesschau.de“ berichtet am 11. Mai 2011 von einem Datenschutzskandal bei Facebook. Im Beitrag heißt es, eine gravierende Sicherheitslücke habe den Zugriff Unbefugter auf Nutzerprofile möglich gemacht. Sobald Schäden entstehen – bislang scheint es hierzu nicht gekommen zu sein – stellt sich für viele Nutzer die Frage nach einem Ansprechpartner. Hier beginnt das Problem. Denn die deutsche Facebook-Ausgabe „facebook.de“ wird von der Facebook Ireland Limited, einer Gesellschaft mit Sitz in Irland, betrieben. Muss ein deutscher Nutzer nun in Irland klagen? Oder in Deutschland? Findet deutsches oder irisches Recht Anwendung? ilex Rechtsanwälte & Steuerberater klären auf.
1. Die Sorgen der Facebook Nutzer
Soziale Netzwerke sind eine gelungene Ausprägung des sog. Web 2.0. Anbieter wie Facebook machten aus manchem poltischen Protest eine Revolution und wurden schnell zur Plattform einer großen, globalen Unterhaltung. Datenschutzrechtliche Bedenken bestehen grundsätzlich nicht; zumindest solange einige einfache Regeln beachtet werden. Die Benutzer sollten nicht zu jung sein und auch nur solche Daten preisgeben, die sie später auch in eine Bewerbung schreiben würden. Ausnahmen sind hier natürlich denkbar. Außerdem sollte stets geprüft werden, welche Einblicke Dritte in das eigene Privatleben erhalten.
Die Sorgen deutscher Facebook-Nutzer liegen an anderer Stelle. Gerade in Datenschutzfragen ist es für die Betroffenen wichtig, einen Ansprechpartner zu haben. Dieser muss Auskunft über die gespeicherten Daten geben können; er muss falsche Daten ggf. löschen und im Zweifel Schäden ausgleichen. All dies muss möglichst schnell gehen; denn Daten können sehr schnell, sehr großen Schaden anrichten.
Das Problem ist, dass die deutsche Facebook-Seite von einer Gesellschaft in Irland betrieben wird. An wen müssen sich also deutsche Nutzer wenden, wenn sie ihren Facebook-Account löschen möchten (dies ist im Einzelfall sehr schwierig!)? Nach der Löschung stellt sich die Frage, wer für etwaige Schäden aufkommt.
Der deutsche Facebook-Nutzer hat also eine zentrale Sorge: Wie kann ich Facebook in Anspruch nehmen? Muss ich nach Irland? Muss der betreuende Anwalt Ire sein? Muss er irisches Recht können? Welche Kosten fallen an?
2. Der Anfang: Zwei Vorüberlegungen!
Eines vorab! Eine gerichtliche Inanspruchnahme von Facebook ist möglich; dies sollte aber – aus verschiedenen Gründen – nur das letzte Mittel sein. Am Anfang einer anwaltlichen Beratung sollten ohnehin zwei Vorüberlegungen stehen:
Müsste in Deutschland oder Irland gegen „Facebook“ geklagt werden?
Findet deutsches oder irisches Datenschutzrecht Anwendung?
Es mag auf den ersten Blick paradox klingen, aber beide Fragen sind getrennt voneinander zu beantworten. Es ist denkbar, dass der Nutzer in Deutschland klagen und dabei deutsches Recht anwenden muss; genauso gut kann es erforderlich sein, in Irland zu klagen und irisches Recht anzuwenden. Es ist aber auch möglich, dass ein deutscher Richter irisches Recht anwendet und umgekehrt. Das ist europäischer Rechtsalltag und nicht zuletzt ein Ergebnis der Europäisierung und Internationalisierung des Rechts.
3. Wo müsste Facebook verklagt werden?
Zunächst sollte geklärt werden, wo ggf. zu klagen ist. In Deutschland oder doch in Irland?
Da deutsche Nutzer regelmäßig in Deutschland sitzen, Facebook aber in Irland, stellt sich die Frage nach der sog. internationalen Zuständigkeit. Maßgeblich ist hier Artikel 5 Nr. 3 der Verordnung über die gerichtliche Zuständigkeit und die Anerkennung und Vollstreckung von Entscheidungen in Zivil- und Handelssachen. Hiernach kann Facebook – trotz seines Sitzes in Irland – in Deutschland verklagt werden, wenn Facebook eine sog. unerlaubte Handlung begangen hat und wenn das schädigende Ereignis in Deutschland (auch) eintritt.
Kommt es zu Rechtsverstößen durch Facebook, ereignen sich diese in aller Regel im Internet und können weltweit abgerufen werden. Zumindest am Wohnsitz des Betroffenen wirken sich solche Rechtsverletzungen aus, denn dort wird er in seinem sozialen Geltungsanspruch verletzt. Hier kann dann geklagt werden.
Es ist also u. U. möglich, in Deutschland zu klagen. Genaueres ist im Einzelfall zu prüfen.
4. Welches Recht käme zur Anwendung?
Unterstellen wir, dass Facebook in Deutschland verklagt werden kann. Nun stellt sich die zweite Vorfrage: Welches Recht kommt zur Anwendung?
Hier ist Artikel 4 der Verordnung (EG) Nr. 864/2007 des Europäischen Parlaments und des Rates vom 11. Juli 2007 über das auf außervertragliche Schuldverhältnisse anzuwendende Recht („Rom II“) maßgeblich. Grundsätzlich ist hiernach das Recht des Staates anzuwenden, in dem der Schaden eintritt, unabhängig davon, in welchem Staat das schadensbegründende Ereignis oder indirekte Schadensfolgen eingetreten sind.
Hierbei kann ebenfalls argumentiert werden, dass der Schaden (Verletzung von Persönlichkeitsrechten) am Wohnort des Facebook-Nutzers eingetreten ist.
5. Deutsches und irisches Recht vergleichbar
Im Ergebnis kann aber die Frage, welches Recht letztlich Anwendung findet, (beinah) dahinstehen. Denn sowohl das deutsche als auch das irische Datenschutzrecht beruhen auf der selben EU-Richtlinie (46/95/EG). Die Rechtsgrundsätze sind also die gleichen.
Dies kann am Beispiel des Löschungsanspruchs erläutert werden. Will der Betroffene etwa, dass seine Facebook-Daten komplett gelöscht werden, ergibt sich dieser Anspruch sowohl aus dem deutschen als auch aus dem irischen Recht.
Nach deutschem Recht folgt der Löschungsanspruch aus § 35 Absatz 2 Nr. 1 BDSG; i.d.R. schon aus dem Widerruf der Einwilligung in die Speicherung.
Nach irischem Recht ergibt sich der Löschungsanspruch aus Section 6 Data Protection Act 1988 (Updated to 14 October 2010). Dort heißt es: „ An individual shall, if he so requests in writing a data controller who keeps personal data relating to him, be entitled to have […] erased any such data in relation to which there has been a contravention by the data controller of section 2 (1) of this Act.”
Vor einem deutschen Gericht kann also argumentiert werden, dass es gar nicht auf die Frage ankommt, welches Recht Anwendung findet, da in beiden Ländern ein Löschungsanspruch geregelt ist.
6. Fazit
Im Ergebnis sollten Facebook-Nutzer mit der Preisgabe ihrer Daten zurückhaltend sein. Wenn dann doch ein (datenschutz-)rechtlicher Streit mit Facebook droht, sollte man sich nicht davon abschrecken lassen, dass der Betreiber von Facebook.de eine Gesellschaft mit Sitz in Irland ist. Denn das bedeutet nicht, dass man auch in Irland klagen muss. Bei der Frage, welche Rechte die deutschen Nutzer haben, kann ruhigen Gewissens zunächst auf das deutsche Datenschutzrecht geschaut werden; denn im Zweifel gilt in Irland eine vergleichbare Rechtslage.
Bevor aber geklagt wird, empfiehlt ilex, zunächst Facebook anzuschreiben und auf die Rechtslage aufmerksam zu machen. Zugleich kann eine Beschwerde beim irischen Datenschutzbeauftragten angezeigt sein. Erst wenn diese Mittel ausgereizt sind, stellt sich die Frage, wo zu klagen ist.
Markus Timm
Rechtsanwalt zugleich Fachanwalt IT-Recht