Oberverwaltungsgericht für das Land Schleswig-Holstein 4. Senat — 4 LB 20/13 — Urteil

Entscheidungsdatum: 2021-11-25

Aktenzeichen: 4 LB 20/13

ECLI: ECLI:DE:OVGSH:2021:1125.4LB20.13.00

Dokumenttyp: Urteil

Normen: § 3 Abs 1 BDSG 1990 vom 14.01.2003, § 38 Abs 5 S 2 BDSG 1990 vom 14.01.2003, § 13 TMG vom 26.02.2007, § 14 Abs 1 TMG vom 26.02.2007, § 15 Abs 3 S 1 TMG vom 26.02.2007 ... mehr

Orientierungssatz

1. Eine datenschutzrechtliche Anordnung, eine sog. "Fanpage" bei Facebook zu deaktivieren, ist als Untersagung des Einsatzes eines Verfahrens gemäß § 38 Abs. 5 Satz 2 BDSG 1990 (Fassung vom 14.01.2003) zu werten (vgl. BVerwG, Urteil vom 11. September 2019 – 6 C 15/18 –, NJW 2020, 414 und Rn. 17, juris).(Rn.82)

2. Das soziale Netzwerk Facebook ist Telemedium im Sinne des § 1 Abs. 1 Satz 1 TMG (Fassung vom 26.02.2007).(Rn.87)

3. § 12 TMG (Fassung vom 26.02.2007) wird nicht durch eine vorrangige Anwendbarkeit irischen Datenschutzrechts – ggf. in Kombination mit einer vorrangigen Prüfungskompetenz der irischen Datenschutzbehörde – verdrängt (vgl. BVerwG, Urteil vom 11. September 2019 – 6 C 15/18 –, NJW 2020, 414 und Rn. 24 ff., EuGH, Urteil vom 5. Juni 2018 – C-210/16 –, NJW 2018, 2537 und Rn. 50 ff., juris).(Rn.90)

4. Der Gebrauch der Registrierungsdaten und der übrigen vorhandenen Daten von im Facebook-Netzwerk registrierten und angemeldeten Personen zur Erstellung der auf eine Fanpage bezogenen Insights-Statistik durch Facebook steht im Dezember 2011 im Widerspruch zu den Vorgaben des § 12 Abs. 1 und 2 TMG.(Rn.99)

5. IP-Adressen stellen personenbezogen Daten im Sinne von § 3 Abs. 1 BDSG 1990 sowie Art. 2 Buchst. a EGRL 46/95 dar.(Rn.103)

6. Nutzungsprofile i.S. des § 15 Abs. 3 Satz 1 TMG liegen dann vor, wenn verschiedene einzelne Nutzungsdaten (z. B. IP-Adresse oder Zeitpunkt und Dauer einer bestimmten Dienstenutzung) zusammengeführt und zueinander in Bezug gesetzt werden, so dass sie vom Informationsgehalt her einem klassischen Persönlichkeitsprofil entsprechen. Die Facebook-Insights-Statistik ist demgegenüber kein aus der Zusammenführung verschiedener Nutzungsdaten gewonnenes Profil eines Nutzers, sondern eine Statistik über die Benutzung der Fanpage.(Rn.128)

7. Eine Entscheidung über den Umgang mit seinen Daten kann der Einzelne eigenverantwortlich nur treffen, wenn er über die in Rede stehenden Vorgänge informiert ist, d. h. wenn die vorhandenen Informationen ihn in die Lage versetzen, die Konsequenzen einer etwaigen von ihm erteilten Einwilligung leicht zu bestimmen (vgl. EuGH, Urteil vom 1. Oktober 2019 – C-673/17 –, NJW 2019, 3433 und juris Rn. 74). Mit Blick auf die Verwendung der Registrierungsdaten sowie der übrigen vorhandenen Daten eines Facebook-Mitglieds zur Erstellung der Insights-Statistiken fehlt es jedoch an hinreichenden Informationen über die Datenverarbeitung.(Rn.133)

8. Die Verantwortlichkeit im Sinne von Art 2 Buchst. d EGRL 46/95 betrifft nicht zwingend eine einzige Stelle, sondern auch mehrere an der Verarbeitung beteiligte Akteure (vgl. EuGH, Urteile vom 5. Juni 2018 – C-210/16 –, NJW 2018, 2537 und Rn. 29, juris; vom 10. Juli 2018 – C-25/17 –, NJW 2019, 285 ff., Rn. 65 und vom 29. Juli 2019 – C-40/17 –, NJW 2019, 2755 und Rn. 67, juris).(Rn.145)

9. Das allgemeine Persönlichkeitsrecht von im Facebook-Netzwerk angemeldeten Facebook-Mitgliedern ist durch die Verwendung ihrer Registrierungsdaten und ihrer übrigen vorhandenen Daten zur Erstellung von Insights durch die gefundenen datenschutzrechtlichen Verstöße nicht nur besonders gefährdet; vielmehr hat sich die Gefährdung bereits in einer Verletzung des Rechts auf informationelle Selbstbestimmung niedergeschlagen.(Rn.156)

Verfahrensgang

vorgehend Schleswig-Holsteinisches Verwaltungsgericht, 9. Oktober 2013, 8 A 14/12, Urteil

Tenor

Auf die Berufung des Beklagten wird das Urteil des Schleswig-Holsteinischen Verwaltungsgerichts vom 9. Oktober 2013 geändert. Die Klage wird abgewiesen.

Die Klägerin und die Beigeladene tragen die Gerichtskosten sowie die außergerichtlichen Kosten des Beklagten des gesamten Verfahrens zu je ½. Im Übrigen findet eine Kostenerstattung nicht statt.

Das Urteil ist wegen der Kosten vorläufig vollstreckbar. Die Klägerin und die Beigeladene dürfen die Vollstreckung jeweils durch Sicherheitsleistung in Höhe von 110 % des vollstreckbaren Betrages abwenden, wenn nicht zuvor der Beklagte Sicherheit in Höhe von 110 % des jeweils zu vollstreckenden Betrages leisten.

Die Revision wird nicht zugelassen.

Tatbestand

1 Die Beteiligten streiten um eine datenschutzrechtliche Anordnung des Beklagten aus dem Jahre 2011.

2 Die Beigeladene betrieb zu dieser Zeit von ihrem Hauptgeschäftssitz in Irland aus in Europa und weiten Teilen der Welt das soziale Netzwerk Facebook. Heute beschränkt sich ihr Tätigkeitsbereich auf Europa. Für Nutzer in den USA, Kanada und weiten Teilen der Welt wird das Netzwerk von dem Mutterkonzern der Beigeladenen, der Meta Platforms Inc. (ehemals Facebook Inc.) mit Sitz in Kalifornien, USA betrieben. Der Mutterkonzern war bereits im Jahre 2011 für den Betrieb der Facebook-Plattform in den USA und Kanada zuständig. Ebenfalls Tochtergesellschaft der Meta Platforms Inc. (damals Facebook Inc.) war und ist die Facebook Germany GmbH mit Sitz in Hamburg, die für die Vermarktung von Werbung in Deutschland zuständig ist.

3 Die Klägerin ist ein in der Form einer gemeinnützigen Gesellschaft mit beschränkter Haftung betriebenes Bildungsunternehmen. In diesem Zusammenhang betreibt sie im Facebook-Netzwerk einen Nutzer-Account in Form einer sogenannten Fanpage (auch als „Seite“ bezeichnet), auf der sie sich als Bildungseinrichtung präsentiert und ihr Bildungsangebot bewirbt.

4 Fanpages bieten ihren Betreibern die Möglichkeit, über sich selbst und anstehende Projekte zu informieren, mit Besuchern der Fanpage zu kommunizieren oder einfach einen Kommunikationskanal für einen themenbezogenen Austausch der Besucher untereinander zu eröffnen. Technisch handelt es sich bei Fanpages um Unterwebsites von Facebook, die die URL der Facebook-Seite enthalten. Fanpages sind grundsätzlich öffentlich ausgerichtet, d. h., dass sie von allen Internetnutzern besucht werden können, unabhängig davon, ob diese im Facebook-Netzwerk registriert sind. Sie sind außerdem, anders als die Profile privater Nutzer, für kommerzielle Zwecke nutzbar. Betreiber einer Fanpage haben die Möglichkeit, ihre Fanpage mit Inhalt zu füllen. Auf die technische Konfiguration der Fanpage haben sie keinen Einfluss.

5 Bei Aufruf einer Fanpage wird die IP-Adresse des Besuchers an Facebook-Server übermittelt. Außerdem platziert Facebook beim Aufruf von Fanpages sogenannte „Cookies“ und liest im Browser des Besuchers vorhandene Cookies aus. Die Übermittlung bestimmter Cookies ermöglicht es Facebook beispielsweise, die dort registrierten und angemeldeten Mitglieder zu erkennen und die Aktivität auf der Fanpage mit den sonstigen Informationen zu verknüpfen, die Facebook aufgrund des Anmeldevorgangs über das jeweilige Mitglied hat.

6 Aus diesen Informationen generiert Facebook unter Anderem statistische Auswertungen, die der Fanpage-Betreiber über die sogenannte „Insights-Funktion“ abrufen kann. Im Rahmen von „Insights“ stellt Facebook den Betreibern von Fanpages kostenlose Zusammenfassungen erhobener Daten über die Besucher der Fanpages in aggregierter und anonymisierter Form zur Verfügung, sofern die Aktivität auf der jeweiligen Fanpage eine gewisse Mindestgröße übersteigt. Zu diesen Daten zählen beispielsweise Klickzahlen, die demographische Zusammensetzung der Besucher, ihre Verweildauer, geographische Herkunft oder Sprachraum. Durch diese Funktion werden Betreiber einer Fanpage in die Lage versetzt, auf die Aktivitäten auf ihrer Fanpage zu reagieren und diese gezielt nutzergerecht zu gestalten. Einer Einwilligung oder Beauftragung des jeweiligen Fanpage-Betreibers bedarf es zur Aktivierung von Insights nicht. Er hat auch keine Möglichkeit, der Datenerhebung und –verwendung zu widersprechen oder diese zu beeinflussen. Ebenfalls erhält der Fanpage-Betreiber keinen Zugang zu den der Statistik zugrundeliegenden Daten.

7 Nach Anhörung der Klägerin ordnete der Beklagte mit Bescheid vom 3. November 2011 als zuständige Aufsichtsbehörde für die Einhaltung des Datenschutzes im nicht-öffentlichen Bereich gemäß § 38 Abs. 5 BDSG an, dass die Klägerin dafür Sorge zu tragen habe, dass ihre Fanpage deaktiviert werde. Der Bescheid trägt die Überschrift „Anordnung nach § 38 Abs. 5 Satz 1 Bundesdatenschutzgesetz“. Außerdem drohte der Beklagte für den Fall, dass die Klägerin der Anordnung nicht innerhalb von sechs Wochen nach Zustellung des Bescheids nachkomme, die Festsetzung eines Zwangsgeldes in Höhe von 5.000,00 Euro an.

8 Zur Begründung verwies der Beklagte auf folgenden Sachverhalt: Facebook erhebe bei Aufruf einer Fanpage personenbezogene Nutzungsdaten der Webseitenbesucher, die bei Facebook als Mitglieder registriert seien. Dabei arbeite Facebook mit Cookies, die die Verknüpfung eines Nutzungsdatums mit einem angemeldeten Facebook-Nutzer ermöglichten. Der datr-Cookie sei für zwei Jahre aktiv, sodass auch dann eine namentliche Zuordnung über diesen Zeitraum möglich sei, wenn ein zunächst nicht angemeldeter Nutzer sich innerhalb des Aktivitätszeitraums des Cookies bei Facebook anmelde. Die gewonnenen Nutzungsdaten würden von Facebook zu pseudonymen Nutzungsprofilen verarbeitet, worin ein Verstoß gegen § 15 Abs. 3 Satz 3 TMG liege, da Nutzungsprofile nicht mit Daten über den Träger des Pseudonyms zusammengeführt werden dürften. Außerdem würden Nutzungsdaten im Sinne des § 15 Abs. 3 Satz 1 TMG von Nutzern, die die Fanpage der Klägerin aufriefen, für Zwecke der Werbung von Facebook erhoben, ohne dass die Klägerin den Nutzer über eine Widerspruchsmöglichkeit nach § 13 Abs. 1 TMG unterrichte. Auch eine technische Möglichkeit zur Beachtung eines Widerspruches bestehe derzeit nicht, sodass allein deshalb ein Verstoß gegen § 15 Abs. 3 Satz 1 und Satz 2 TMG vorliege. Für diese Verstöße sei die Klägerin als Diensteanbieterin nach § 2 Nr. 1 TMG auch verantwortlich.

9 Mit Schreiben vom 6. Dezember 2011 erhob die Klägerin dagegen Widerspruch. Zur Begründung führte sie aus, dass sie weder datenschutzrechtlich Verantwortliche noch Diensteanbieterin i.S.d. Telemediengesetzes sei. Ein Verstoß gegen § 15 Abs. 3 Satz 3 TMG komme nicht in Betracht, da sie selbst weder Daten erhebe noch diese Daten weiterverwende. Der Anwendung von § 15 Abs. 3 Satz 1 TMG bedürfe es im Falle von Facebook aufgrund der mit den Nutzern abgeschlossenen Nutzungsvereinbarung nicht.

10 Mit Widerspruchsbescheid vom 16. Dezember 2011, zugestellt am 20. Dezember 2011, wies der Beklagte den Widerspruch zurück.

11 Die Klägerin hat am 19. Januar 2012 Klage erhoben. Zur Begründung der Klage hat sie unter Anderem ergänzend auf das maßgebliche Nutzungsverhältnis zwischen dem Nutzer und Facebook verwiesen. Inwieweit im Rahmen des Registrierungsvorgangs die IP-Adresse des Nutzers erhoben werde, sei ihr ebenso wenig bekannt wie das Setzen von Cookies durch Facebook. Bei der Erhebung von IP-Adressen und dem Einsatz von Cookies seien keine personenbezogenen Daten betroffen. Im Übrigen komme dem Beklagten für etwaige im Zusammenhang mit dem Betrieb des Dienstes „Facebook“ erhobene Daten gemäß § 1 Abs. 5 Satz 1 BDSG i.V.m. Art. 4 Abs. 1 lit. a der Richtlinie 95/46/EG keinerlei eigenständige Kontrollkompetenz zu. Der Beklagte habe außerdem das ihm von § 38 Abs. 5 Satz 1 BDSG eingeräumte Ermessen nicht ausgeübt.

12 Die Klägerin hat beantragt,

13 die ihr gegenüber getroffene Anordnung des Beklagten nach § 38 Abs. 5 S. 1 BDSG vom 3. November 2011 sowie den Widerspruchsbescheid des Beklagten vom 16. Dezember 2011 aufzuheben.

14 Der Beklagte hat beantragt,

15 die Klage abzuweisen.

16 Zur Begründung hat er ergänzend vorgetragen: Die verlangte Deaktivierung der Fanpage könne als Beseitigung eines festgestellten Verstoßes nach § 38 Abs. 5 Satz 1 BDSG angesehen werden. Selbst wenn man die Anordnung zur Deaktivierung als Nutzungsuntersagung nach § 38 Abs. 5 Satz 2 BDSG begreife, komme hier eine Umdeutung der streitgegenständlichen Verfügung in Betracht. Ein schwerwiegender Verstoß liege vor. Von der von § 38 Abs. 5 Satz 1 und Satz 2 BDSG vorgesehenen Zweistufigkeit des Verfahrens könne eine Ausnahme gemacht werden.

17 Sowohl bei den verarbeiteten IP-Adressen als auch bei den verarbeiteten Cookies handele es sich um personenbezogene Daten im Sinne von § 3 Abs. 1 BDSG. Bei der Verwendung von Cookies könne die Identifizierung von natürlichen Personen noch verbessert werden, wenn die IP-Adresse mit einem Cookie mit benutzerspezifischer Kennung korreliert werde, da sich dieser Cookie auch dann nicht mehr ändere, wenn die IP-Adresse geändert werde. Selbst Standorte könnten mithilfe von IP-Adressen der jeweiligen Endgeräte ermittelt werden. Hierüber sei es Facebook auch möglich, mittels gezielter Auswertung Standortbestimmungen in die der Klägerin zur Verfügung gestellte Nutzungsanalyse einfließen zu lassen.

18 Die Übermittlung der IP-Adresse für Werbezwecke an Facebook sowie das Setzen einer Cookie-ID beim registrierten Nutzer erfolge nach dem bloßen Aufrufen der Fanpage bei der Klägerin. Es werde hierfür weder eine Einwilligung des Nutzers eingeholt oder eine Widerspruchsmöglichkeit geschaffen noch über die Vorgänge informiert. Die Klägerin verletze dadurch ihre Pflichten nach § 13 Abs. 1, § 15 Abs. 3 TMG, § 4a BDSG. In den Datenverwendungsrichtlinien und den Nutzungsbedingungen von Facebook werde der Dienst Facebook-Insights weder erwähnt noch beschrieben. Die Ausführungen in den Datenverwendungsrichtlinien seien allgemein und unbestimmt gehalten. Der Nutzer erhalte im Rahmen des Registrierungsprozesses keine deutlichen Informationen dazu, ob, wie und auf welche Weise seine Registrierungsdaten mit den Nutzungsdaten (IP-Adressen und Cookies) verknüpft und verarbeitet würden. Ohne richtige und vollständige Information der Betroffenen könne auch keine Einwilligung zur Datenverarbeitung angenommen werden.

19 Die vom Verwaltungsgericht gemäß § 65 Abs. 1 VwGO Beigeladene hat sich dem Antrag der Klägerin angeschlossen und zur Begründung vorgetragen: § 38 Abs. 5 Satz 1 BDSG sei als Ermächtigungsgrundlage ungeeignet. Die vollständige Untersagung eines Datenverarbeitungsvorgangs könne nicht auf § 38 Abs. 5 Satz 1 BDSG gestützt werden, sondern sei § 38 Abs. 5 Satz 2 BDSG vorbehalten. Eine Maßnahme nach § 38 Abs. 5 Satz 2 BDSG komme erst als zweite Stufe eines Verfahrens in Betracht, indem zunächst erfolglos versucht worden sei, datenschutzrechtliche Mängel zu beseitigen. Dieses zweistufige Verfahren sei nicht eingehalten worden. Auch sei kein Ausnahmefall gegeben, in dem davon abgesehen werden könne.

20 Der Beklagte könne sich nicht auf § 38 Abs. 5 Satz 2 BDSG berufen, da er die streitige Anordnung im Bescheid ausdrücklich auf § 38 Abs. 5 Satz 1 BDSG gestützt habe. Ein Austausch der Ermächtigungsgrundlage komme nicht in Betracht, da damit eine Wesensänderung der intendierten Maßnahme einherginge. Außerdem könne nach § 38 Abs. 5 Satz 2 BDSG zwar das vollständige Unterlassen eines Datenverarbeitungsverfahrens angeordnet werden, nicht aber die Beseitigung der für eine Datenverarbeitung notwendigen Infrastruktur.

21 Es liege kein Verstoß gegen die anwendbaren datenschutzrechtlichen Vorschriften vor*.* Die Verarbeitung personenbezogener Daten durch die Beigeladene unterliege in Deutschland nach § 1 Abs. 5 Satz 1 BDSG bzw. Art. 4 Abs. 1 lit. a Richtlinie 95/46/EG ausschließlich irischem Datenschutzrecht. Die irische Datenschutzbehörde habe die Vereinbarkeit der Fanpage mit irischem Datenschutzrecht geprüft und keinen Verstoß festgestellt.

22 Die Klägerin sei für die vom Beklagten kritisierte Insights-Funktion keine datenschutzrechtlich verantwortliche Stelle. Bei unterstellter datenschutzrechtlicher Verantwortlichkeit der Klägerin fänden zwar die Vorschriften des Telemediengesetzes Anwendung. Ein Verstoß gegen § 13 Abs. 1 und § 15 Abs. 3 TMG sei jedoch nicht gegeben. Ihre – der Beigeladenen – Nutzer würden bei Abschluss des Nutzungsverhältnisses über einen Link auf die Nutzungsbedingungen und die Datenverwendungsrichtlinien umfassend und transparent über die Erhebung und Verwendung personenbezogener Daten informiert. Sie erstelle auch keine pseudonymen Nutzerprofile ihrer Mitglieder im Sinne des § 15 Abs. 3 TMG. Es würden zwar bis zu einem gewissen Grad Profile angelegt, diese seien jedoch nicht pseudonym. Darüber hinaus seien ihre Mitglieder über die Profilbildung informiert und hätten dieser nicht nur nicht widersprochen, sondern durch die Registrierung bei Facebook aktiv zugestimmt.

23 Sie erstelle auch keine pseudonymen Profile von Nicht-Nutzern. Die Aktivitäten von Nicht-Nutzern gingen lediglich in die über Insights abrufbaren Informationen über die Anzahl der Fanpage-Besucher ein. Im Hinblick auf den behaupteten Widerspruch zu § 13 Abs. 1 TMG sei darauf hinzuweisen, dass auch Nicht-Mitglieder bei jedem Besuch einer Seite des Netzwerks jederzeit die Datenverwendungsrichtlinie einsehen könnten. Diese sei am unteren Bildschirmrand jeder Seite verlinkt.

24 Zudem verarbeite sie in Bezug auf Nicht-Mitglieder keine personenbezogenen Daten. Zwar erhalte sie auch im Falle von Nicht-Mitgliedern deren IP-Adresse und die bei diesen hinterlegten Cookie-Informationen. Sie speichere oder sammele aber keine Informationen über Nicht-Mitglieder. Sie habe damit weder im Zeitpunkt der Übertragung von Cookies und IP-Adresse noch zu irgendeinem zukünftigen Zeitpunkt die Möglichkeit, diese Nutzer zu identifizieren.

25 Außerdem habe der Beklagte sein Ermessen beim Erlass der streitigen Anordnung in mehrfacher Hinsicht fehlerhaft ausgeübt. Er habe sich von sachfremden Erwägungen leiten lassen, da sich das Einschreiten gegen die Klägerin als taktisches Manöver im Rahmen der gegen sie geführten Kampagne des Beklagten darstelle.

26 Mit Urteil vom 9. Oktober 2013 hat das Verwaltungsgericht den Bescheid vom 3. November 2011 in der Fassung des Widerspruchsbescheids vom 16. Dezember 2011 aufgehoben und die Berufung zugelassen. Zur Begründung hat das Verwaltungsgericht im Wesentlichen ausgeführt, die an die Klägerin gerichtete Anordnung, ihre Fanpage bei Facebook zu deaktivieren, sei rechtswidrig. Der Klägerin fehle die datenschutzrechtliche (Mit-)Verantwortlichkeit für die durch den Besuch einer Fanpage ausgelöste Erhebung, Verwendung und Verarbeitung personenbezogener Daten durch die Beigeladene.

27 Der Beklagte hat daraufhin Berufung gegen das Urteil des Verwaltungsgerichts eingelegt. Zur Begründung der Berufung hat er ergänzend zu seinem bisherigen Vorbringen im Wesentlichen vorgetragen: Das Verwaltungsgericht habe unzutreffend angenommen, dass die Verantwortlichkeit der Fanpage-Betreiber für die mit der Nutzung der Fanpage durch die Besucher ausgelösten Verarbeitungsvorgänge nicht gegeben sei. Auch habe das Verwaltungsgericht die technischen Abläufe nur lückenhaft erkannt.

28 Mit dem Dienst „Facebook-Insights“ verstoße Facebook gegen geltendes Datenschutzrecht. Das über Cookies ermöglichte Zusammenführen von dem Besuch der Fanpage und den bei Facebook hinterlegten Nutzerdaten sei ein Verstoß gegen § 15 Abs. 3 Satz 3 TMG. Daneben fehle es an einer Möglichkeit zum Widerspruch nach § 15 Abs. 3 Satz 2 TMG in Verbindung mit § 13 Abs. 1 TMG. Dies gelte für im Facebook-Netzwerk eingeloggte Netzwerk-Mitglieder. Sofern ein Besucher einer Fanpage zwar Nutzer der Plattform Facebook sei, dort jedoch gerade nicht eingeloggt sei, sei eine Erkennung des Nutzers über den datr-Cookie dennoch möglich. Auf den Rechnern von Nicht-Mitgliedern des Netzwerkes würden ebenfalls Cookies gesetzt, ohne dass irgendwelche Sicherheitsvorkehrungen getroffen würden. Cookies seien den Nutzungsdaten zuzurechnen und unterfielen daher dem Vorbehalt des § 15 Abs. 1 TMG. Da die Cookies in der eingesetzten Form nicht für die Nutzung erforderlich seien, seien sie unzulässig.

29 Die Klägerin hat im Berufungsverfahren ergänzend zu ihrem bisherigen Vortrag erwidert: Es sei weder dargelegt noch ersichtlich, durch welche Cookies und durch welche Handlungen genau Facebook gegen datenschutzrechtliche Bestimmungen verstoße. Unberücksichtigt bleibe die Möglichkeit eines jeden Nutzers der Plattform, durch bestimmte Einstellungen die Annahme von Cookies schon vor Verwendung etwaiger Onlinedienste zu unterbinden sowie das Informationsangebot der Beigeladenen, das jedem Nutzer die Möglichkeit biete, sich schon vor der Registrierung über datenschutzrechtliche Aspekte auf der Plattform zu informieren, zu nutzen. Es werde deutlich, dass es dem Beklagten im Kern darum gehe, eine nach seiner Auffassung datenschutzrechtlich fragwürdige Handhabung durch den Betreiber der Plattform Facebook zu unterbinden. Sie sei insoweit die falsche Adressatin.

30 Die Beigeladene hat im Wesentlichen ihr bisheriges Vorbringen wiederholt.

31 Mit dem Beklagten am 25. September 2014 zugestellten Urteil vom 4. September 2014 hat der Senat die Berufung zurückgewiesen und die Revision zugelassen. Zur Begründung hat er darauf abgehoben, dass die streitgegenständliche Anordnung mangels Einhaltung des von § 38 Abs. 5 BDSG vorgesehenen abgestuften Verfahrens nicht auf § 38 Abs. 5 Satz 2 BDSG gestützt werden könne. Ferner sei die Klägerin nicht verantwortliche Stelle im Sinne des § 3 Abs. 7 BDSG bzw. im Sinne des Art. 2 lit. d der Richtlinie 95/46/EG in Hinblick auf die von Facebook erhobenen Daten infolge des Betriebs ihrer Fanpage. Eine Anordnung nach § 38 Abs. 5 BDSG könne nur gegenüber der verantwortlichen Stelle ergehen.

32 Der Beklagte hat daraufhin Revision gegen das Urteil des Senats vom 4. September 2014 eingelegt. Die Beteiligten haben ihr bisheriges Vorbringen zunächst vertieft.

33 Mit Beschluss vom 25. Februar 2016 – 1 C 28.14 – hat das Bundesverwaltungsgericht das Revisionsverfahren ausgesetzt und den Gerichtshof der Europäischen Union in einem Vorabentscheidungsverfahren um Auslegung mehrerer Bestimmungen der Richtlinie 95/46/EG ersucht. Wegen der Einzelheiten wird auf den Vorlagebeschluss verwiesen (BVerwG, Beschluss vom 25. Februar 2016 – 1 C 28.14 –, juris).

34 Mit Urteil vom 5. Juni 2018 – C-210/16 – hat der Gerichtshof der Europäischen Union festgestellt, dass Art. 2 Buchst. d der Richtlinie 95/46/EG dahin auszulegen sei, dass der Begriff des „für die Verarbeitung Verantwortlichen“ im Sinne dieser Bestimmung den Betreiber einer bei einem sozialen Netzwerk unterhaltenen Fanpage umfasse. Eine Auslegung von Art. 4 und Art. 28 der Richtlinie 95/46/EG ergebe, dass dann, wenn ein außerhalb der Europäischen Union ansässiges Unternehmen mehrere Niederlassungen in verschiedenen Mitgliedstaaten unterhalte, die Kontrollstelle eines Mitgliedstaats zur Ausübung der ihr durch Art. 28 Abs. 3 dieser Richtlinie übertragenen Befugnisse gegenüber einer im Hoheitsgebiet dieses Mitgliedstaats gelegenen Niederlassung dieses Unternehmens auch dann befugt sei, wenn nach der konzerninternen Aufgabenverteilung zum einen diese Niederlassung allein für den Verkauf von Werbeflächen und sonstige Marketingtätigkeiten im Hoheitsgebiet dieses Mitgliedstaats zuständig ist und zum anderen die ausschließliche Verantwortung für die Erhebung und Verarbeitung personenbezogener Daten für das gesamte Gebiet der Europäischen Union einer in einem anderen Mitgliedstaat gelegenen Niederlassung obliegt. Außerdem seien Art. 4 Abs. 1 lit. a und Art. 28 Abs. 3 und 6 der Richtlinie 95/46/EG dahin auszulegen, dass die Kontrollstelle eines Mitgliedstaats, wenn sie beabsichtigt, gegenüber einer im Hoheitsgebiet dieses Mitgliedstaats ansässigen Stelle wegen Verstößen gegen die Vorschriften über den Schutz personenbezogener Daten, die von einem Dritten begangen wurden, der für die Verarbeitung dieser Daten verantwortlich ist und seinen Sitz in einem anderen Mitgliedstaat hat, die Einwirkungsbefugnisse nach Art. 28 Abs. 3 dieser Richtlinie auszuüben, zuständig ist, die Rechtmäßigkeit einer solchen Datenverarbeitung unabhängig von der Kontrollstelle des letztgenannten Mitgliedstaats zu beurteilen und ihre Einwirkungsbefugnisse gegenüber der in ihrem Hoheitsgebiet ansässigen Stelle auszuüben, ohne zuvor die Kontrollstelle des anderen Mitgliedstaats um ein Eingreifen zu ersuchen. Wegen der Einzelheiten wird auf die Entscheidung des Gerichtshofs der Europäischen Union verwiesen (EuGH, Urteil vom 5. Juni 2018 – C-210/16 –, juris).

35 Im Anschluss an das Urteil des Gerichtshofs der Europäischen Union haben die Beteiligten im Revisionsverfahren ergänzend vorgetragen.

36 Der Beklagte hat darauf verwiesen, dass das Urteil des Gerichtshofs der Europäischen Union für das Bundesverwaltungsgericht bindend und die Klägerin daher als verantwortliche Stelle im Sinne von § 3 Abs. 7 BDSG a. F. anzusehen sei. Zu beachten sei insoweit, dass der Betreiber einer Fanpage mit deren Errichtung erst die Möglichkeit der Datenverarbeitung schaffe, an den Zwecken der Verarbeitung partizipiere und Seitenbesucher, die nicht Mitglieder von Facebook seien, in Kontakt zu diesem sozialen Netzwerk und der damit verbundenen Verarbeitung bringe. Der Aspekt einer Einflussnahme der Klägerin auf die Datenverarbeitung über eine „Parametrisierung“ sei daher nicht allein ausschlaggebend für ihre Verantwortlichkeit.

37 Der streitgegenständliche Bescheid sei auf Grundlage von § 38 Abs. 5 Satz 2 BDSG a. F. rechtmäßig ergangen und frei vom Ermessensfehlern. Weder aufgrund deutscher Vorschriften noch aufgrund des Unionsrechts sei er – der Beklagte – verpflichtet gewesen, vorrangig gegen die Facebook Germany GmbH vorzugehen. Das Vorgehen gegen die Klägerin sei schon deshalb ermessensgerecht, weil es ihm als Datenschutzaufsichtsbehörde des Landes Schleswig-Holstein an der Verbandskompetenz für ein Einschreiten gegen die Facebook Germany GmbH gefehlt habe. Da sich die Betriebsstätte der Facebook Germany GmbH in Hamburg befinde, wäre grundsätzlich der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit zuständig.

38 Die Klägerin hat ergänzend zur fehlerhaften Ermessensausübung vorgetragen und darauf verwiesen, dass es erheblich effektiver gewesen wäre, gegen Facebook selbst vorzugehen. Der Beklagte hätte nach dem Urteil des Gerichtshofs der Europäischen Union vom 5. Juni 2018 im vorliegenden Verfahren auch gegen die Facebook Germany GmbH vorgehen können.

39 Die Beigeladene hat darauf hingewiesen, dass das Urteil des Gerichtshofs der Europäischen Union in einem entscheidenden Punkt auf Annahmen beruhe, die tatsächlich falsch seien, ihrem Vortrag während des gesamten Verfahrens widersprächen und weder vom Bundesverwaltungsgericht in seinem Vorlagebeschluss noch von einem der vorinstanzlichen Gerichte festgestellt worden seien. Der Gerichtshof der Europäischen Union sei davon ausgegangen, dass die Einrichtung einer Fanpage auf Facebook von Seiten ihres Betreibers einer Parametrisierung unter anderem entsprechend seinem Zielpublikum sowie den Zielen der Steuerung und Förderung seiner Tätigkeiten impliziere, die sich auf die Verarbeitung personenbezogener Daten zum Zweck der Erstellung der aufgrund der Besuche der Fanpage erstellten Statistiken auswirkten. Dies sei jedoch nicht zutreffend. Tatsächlich hätten Entscheidungen der Fanpage-Betreiber auf die im vorliegenden Verfahren einzig relevanten Datenverarbeitungen durch sie keinen Einfluss. Sie rege daher an zu überdenken, ob die Diskrepanzen in der vom Gerichtshof der Europäischen Union als relevant angesehenen Tatsachen vom festgestellten Sachverhalt nicht derart gravierend seien, dass sie einer Entscheidung des Bundesverwaltungsgerichts auf Basis einer Mitverantwortlichkeit der Klägerin entgegenstünden und eine klärende Vorlage rechtfertigten.

40 Außerdem habe der Gerichtshof der Europäischen Union lediglich festgestellt, dass bestimmte Umstände die Annahme einer datenschutzrechtlichen Verantwortlichkeit der Klägerin möglich machten, der Grad einer individuellen Verantwortlichkeit aber auch im Falle einer grundsätzlich gemeinsamen Verantwortlichkeit höchst unterschiedlich sein könne. Gemeinsam Verantwortliche mit einem unterschiedlichen Grad an Verantwortlichkeit seien regelmäßig gerade nicht gleich geeignete Adressaten für aufsichtsbehördliche Maßnahmen. Es sei insoweit auch der unionsrechtliche Verhältnismäßigkeitsgrundsatz gemäß Art. 52 Abs. 1 Satz 2 Grundrechtecharta zu beachten, der einer Inanspruchnahme des geringer Verantwortlichen entgegenstehen könne.

41 Mit Urteil vom 11. September 2019 hat das Bundesverwaltungsgericht das Urteil des Senats vom 4. September 2014 aufgehoben und die Sache an das Oberverwaltungsgericht zurückverwiesen. Zur Begründung hat es ausgeführt: Das Berufungsgericht habe seiner Beurteilung zutreffend die Sach- und Rechtslage im Zeitpunkt der letzten Verwaltungsentscheidung, hier des Widerspruchsbescheids vom 16. Dezember 2011, zugrunde gelegt.

42 Die an die Klägerin gerichtete Anordnung, ihre Fanpage zu deaktivieren, sei nach dem Eingriffsgewicht als Untersagung des Einsatzes eines Verfahrens nach § 38 Abs. 5 Satz 2 BDSG a. F. zu werten. Dem Umstand, dass der angefochtene Bescheid in der Titelzeile auf Satz 1 dieser Bestimmung Bezug nehme, sei keine Bedeutung beizumessen. Anders als in der Berufungsentscheidung angenommen, habe der Beklagte sich hier auch auf § 38 Abs. 5 Satz 2 BDSG a. F. stützen können, da die Frage der Adressatenauswahl in die Stufenfolge des § 38 Abs. 5 Satz 1 und 2 BDSG a. F. nicht einzubeziehen, sondern der Frage, welche Maßnahme nach der Stufenfolge des § 38 Abs. 5 BDSG a. F. angeordnet werden könne, vorgelagert sei.

43 Mit dem reversiblen Recht nicht im Einklang stehe die Auslegung des Begriffs der verantwortlichen Stelle im Sinne von § 3 Abs. 7 BDSG a. F. durch das Berufungsgericht. Er sei unionsrechtskonform dahingehend zu verstehen, dass er auch Stellen erfasst, die anderen die Gelegenheit der Datenverarbeitung einräumen, ohne selbst damit befasst zu sein. Dies ergebe sich aus der Entscheidung des Gerichtshofs der Europäischen Union im vorliegenden Verfahren, an die das Bundesverwaltungsgericht und das Oberverwaltungsgericht als weitere zur Entscheidung berufene Gerichte des Instanzenzugs gebunden seien. Daher komme auch eine erneute Vorlage an den Gerichtshof der Europäischen Union wegen der Reichweite der datenschutzrechtlichen Verantwortlichkeit nicht in Betracht. Der Betreiber einer Fanpage im sozialen Netzwerk Facebook sei daher für die bei Aufruf dieser Seite ablaufenden Datenverarbeitungsvorgänge verantwortliche Stelle im Sinne des § 3 Abs. 7 BDSG a. F. und damit potentieller Adressat einer Anordnung nach § 38 Abs. 5 BDSG a. F.

44 Das Berufungsurteil könne auch nicht deshalb Bestand haben, weil es sich aus anderen Gründen als richtig erweise. Der Beklagte habe auf die beanstandeten Datenverarbeitungsvorgänge durch Facebook zu Recht deutsches Datenschutzrecht, insbesondere die § 13 Abs. 1 Satz 1, § 15 Abs. 3 Satz 1 und 2 TMG angewandt. Auch sei für den Fall, dass eine mit schwerwiegenden Mängeln behaftete datenschutzrechtswidrige Erhebung und Verarbeitung der Nutzerdaten vorliege, die Ausübung des Ermessens im Rahmen des § 38 Abs. 5 BDSG a. F. durch den Beklagten nicht zu beanstanden.

45 Der Senat könne in der Sache nicht selbst abschließend entscheiden. Das Oberverwaltungsgericht habe von seinem rechtlichen Standpunkt aus folgerichtig keine tatsächlichen Feststellungen zu den bei Aufruf der Fanpage der Klägerin tatsächlich ablaufenden Datenverarbeitungsvorgängen und einer etwaigen Unterrichtung der Nutzer getroffen. Es werde nunmehr zu prüfen haben, welche Datenerhebungen bei Aufruf der Fanpage im für die Entscheidung maßgeblichen Zeitpunkt stattfanden. Soweit sich aus der Verwendung der von Facebook gesetzten Cookies eine Verarbeitung personenbezogener Daten ergebe, werde das Gericht zwischen den Fallgruppen der Facebook-Mitglieder und der nicht bei Facebook registrierten Internetnutzer zu unterscheiden haben. Die Verarbeitung personenbezogener Daten wäre nur dann rechtmäßig, wenn bei der erstgenannten Gruppe eine wirksame Einwilligung in die Erhebung und nachfolgende Verarbeitung vorlag und bei der letztgenannten Gruppe für die Erhebung personenbezogener Daten eine Rechtsgrundlage bestand und eine möglicherweise erforderliche Unterrichtung erfolgte.

46 Im Anschluss an das Urteil des Bundesverwaltungsgerichts vom 11. September 2019 ergänzen die Beteiligten ihr bisheriges Vorbringen.

47 Der Beklagte trägt im Wesentlichen vor: Die Beigeladene habe beim erstmaligen Besuch der Fanpage der Klägerin durch ein Nicht-Facebook-Mitglied im streitgegenständlichen Zeitpunkt zumindest die folgenden Cookies platziert: „datr“, dieser Cookie bleibe zwei Jahre gültig, sofern ihn der betroffene Internetnutzer nicht vom Endgerät lösche; „lsd“, „reg_fb_gate“ und reg_fb_ref“, jeweils nur für eine Sitzung gültig. Bei einem registrierten Mitglied seien die vorgenannten Cookies ebenfalls gesetzt worden. Zusätzlich habe die Beigeladene bei registrierten Mitgliedern zumindest die Cookies „s“, „sct“, „xs“, „c_user“ und „fr“ gesetzt. Diese enthielten die Nutzerkennnummer (User-ID) des betreffenden Facebook-Mitglieds. Sie seien, sofern sich das Mitglied nicht aktiv abgemeldet habe, einen Monat lang auf dem Endgerät des Nutzers gültig geblieben und innerhalb dieses Zeitraums bei jedem Aufruf einer Fanpage oder anderen Seite des Netzwerks an Facebook übertragen worden. Das Auslesen der Cookies habe jedenfalls bei registrierten Mitgliedern eine unmittelbare namentliche Zuordnung und bei Nicht-Mitgliedern zumindest eine eindeutige Identifikation des benutzten Endgerätes, in Kombination mit weiteren Datenverarbeitungen aber unter Umständen ebenfalls eine namentliche Zuordnung erlaubt.

48 Die Datenübertragungen seien nicht auf Seitenbesuche innerhalb des Facebook-Netzwerks begrenzt. Facebook biete Betreibern „gewöhnlicher“ Internetseiten an, dort sogenannte „Social Plug-Ins“ einzubinden, etwa den bekannten Like-Button. Besuche ein Internetnutzer, auf dessen Endgerät zuvor die genannten Cookies gespeichert worden seien, solche Internetseiten, so würden zumindest die IP-Adresse, der datr-Cookie und die Internetadresse der aufgerufenen Seite an die Beigeladene übertragen. Auch hier könnten weitere Interaktionen (etwa Betätigen des Like-Buttons) zur weiteren Übermittlungen führen.

49 Die mithilfe der vorgenannten Schritte erhobenen Informationen verarbeite Facebook unter anderem, um Seitenstatistiken für die Fanpage der Klägerin zu erstellen. Hierzu verarbeite sie Informationen über namentlich bekannte oder aber zumindest bestimmbare Person. Hinsichtlich der Nicht-Facebook-Mitglieder werte die Beigeladene aus, welche Fanpages von diesen Personen besucht würden. Insoweit würden auch das Verhalten des jeweiligen Nicht-Mitglieds nachverfolgt sowie die entsprechenden Informationen gespeichert, ausgewertet und in einer Nutzerstatistik abgebildet. Daneben verarbeite die Beigeladene die genannten Daten auch, um den betroffenen Internetnutzern zielgerichtete Werbung anzeigen zu können, die deren vermeintlichen Vorlieben und Interessen entspreche.

50 Unstreitig habe weder die Fanpage der Klägerin noch eine andere Seite des Netzwerks Facebook zum entscheidungserheblichen Zeitpunkt ein Cookie-Banner enthalten. Außerdem habe die Beigeladene die oben genannten Cookies bereits beim ersten Aufruf der Fanpage oder irgendeiner anderen Seite des Netzwerkes platziert, bevor die Betroffenen im Rahmen ihrer Registrierung Informationen zur Verfügung gestellt bekommen hätten oder irgendeine Erklärung hätten abgeben können. Die Information von Nicht-Mitgliedern erfolge ebenfalls nicht zeitgleich mit ihrem Besuch einer Facebook-Seite. Die Beigeladene räume selbst ein, dass beim Seitenbesuch lediglich die Möglichkeit bestanden habe, auf der Fanpage der Klägerin einen Link zu den Datenverwendungsrichtlinien anzuklicken. Die Links hätten sich unauffällig am unteren Rand befunden, sodass Seitenbesucher nach unten hätten scrollen müssen. Außerdem sei weder in den Nutzungsbedingungen noch in den Datenverwendungsrichtlinien konkret auf die Erstellung von Nutzerprofilen oder auf die Insights-Funktion hingewiesen worden.

51 Die Verarbeitung von Daten der Fanpage-Besucher verstoße gegen § 12 Abs. 1 und 2 TMG a. F. Die verfahrensgegenständlichen Vorgänge unterfielen auch dieser Regelung, da sie zahlreiche Verarbeitungen personenbezogener Daten im Sinne von § 12 TMG a. F. und § 3 BDSG a. F. von Mitgliedern und Nichtmitgliedern beinhalteten. Zu den personenbezogenen Daten zählten die IP-Adresse der Fanpagebesucher sowie der Inhalt der Cookies. Selbst wenn jedoch keinerlei personenbezogene Daten verarbeitet worden wären, wäre der Anwendungsbereich der §§ 12 ff. TMG a. F. bei einer an Art. 5 Abs. 3 ePrivacy-RL orientierten, unionsrechtskonformen Auslegung dieser Regelung insoweit eröffnet, als Cookies auf Endgeräten von Seitenbesuchern platziert worden seien.

52 Für die genannte Datenverarbeitung habe kein gesetzlicher Erlaubnistatbestand bestanden. Die Voraussetzungen des § 15 Abs. 3 TMG a. F. seien nicht erfüllt. Der Anwendungsbereich dieser Norm sei bereits nicht eröffnet, weil die von der Beigeladenen angelegten Nutzungsprofile nicht pseudonym seien. Die Beigeladene habe unter anderem die IP-Adresse und Cookie-Daten, also Informationen mit unmittelbarem Personenbezug, verarbeitet. Zudem habe sie diese Daten mit den ihr vorliegenden weiteren personenbezogenen Daten zusammengeführt. Die Voraussetzungen des § 15 Abs. 3 Satz 1 und 2 TMG a. F. seien darüber hinaus auch deshalb nicht erfüllt, weil Besucher der Fanpage der Klägerin weder auf ein Widerspruchsrecht hingewiesen worden seien noch tatsächlich die Möglichkeit gehabt hätten, der Datenverarbeitung zu widersprechen. Dies sei zwischen den Beteiligten auch unstreitig. Außerdem sei § 15 Abs. 3 Satz 1 TMG a. F. richtlinienkonform dahingehend auszulegen, dass die Einrichtung einer Widerspruchslösung („Opt-out“), wie vom Wortlaut vorgesehen, nicht ausreiche. Art. 5 Abs. 3 ePrivacy-RL verlange vielmehr eine Einwilligung („Opt-in“). Auf andere gesetzliche Erlaubnistatbestände könne die Verarbeitung nicht gestützt werden. Insbesondere sei § 15 Abs. 1 TMG a. F. nicht einschlägig, soweit die verfahrensgegenständliche Datenverarbeitung nicht der Funktionsfähigkeit der Fanpage oder des Facebook-Netzwerks, sondern der Erstellung der Seitenstatistik sowie Werbezwecken diene.

53 Die Datenverarbeitung könne auch nicht auf eine Einwilligung im Sinne von § 12 TMG a. F. i. V. m. § 4a Abs. 1 BDSG a. F. gestützt werden. Weder die Klägerin noch die Beigeladene hätten von Besuchern der Fanpage eine wirksame Einwilligung eingeholt. Es könne daher insoweit dahinstehen, wem diese Pflicht oblegen habe. Hinsichtlich der Besucher der Fanpage der Klägerin, die sich nicht zuvor bei der Beigeladenen registriert hätten, fehle es offenkundig an einer irgendwie gearteten Einwilligung. Im Hinblick auf Mitglieder der Beigeladenen mangele es jedenfalls an einer wirksamen Einwilligung im Sinne von § 4a Abs. 1 BDSG a. F. Unter anderem verlange § 4a Abs. 1 Satz 2 BDSG a. F. eine umfassende Information des Betroffenen, zu der neben dem Zweck der Verarbeitung auch die geplante Übermittlung der Daten an Dritte, der Umfang der Verarbeitung hinsichtlich der Daten- und Verarbeitungsart und Verarbeitungsdauer sowie sämtliche Informationen, die der Nutzer für das Verständnis der konkreten Bearbeitung und ihrer Reichweite benötige, gehörten. Diesen Anforderungen genügten die Hinweise und Erklärungen in den diversen Vertragsbedingungen der Beigeladenen erkennbar nicht. Die Beigeladene habe darin lediglich pauschal und unbestimmte Aussagen über die Zwecke der Verarbeitung getroffen. Dass und wozu etwa Nutzungsprofile erstellt und anschließend im Rahmen der Insights-Funktion in anonymisierter Form den Fanpage-Betreibern zur Verfügung gestellt worden seien, gehe weder aus der Datenverwendungsrichtlinie noch aus den übrigen Vertragsbedingungen hervor. Weiterhin enthielten die genannten Dokumente keine Angaben darüber, auf welche Weise Nutzungsdaten beim Seitenbesuch mit bereits bei der Beigeladenen vorhandenen Daten des jeweiligen Mitglieds verknüpft würden. Auch die Informationen zur Verwendung von Cookies seien rudimentär und ließen eine konkrete Benennung der Zwecke vermissen. Ferner hätten die entsprechenden Dokumente der Beigeladenen keinen Hinweis auf die Dauer der Datenverarbeitung enthalten, insbesondere die Lebensdauer der verwendeten Cookies.

54 Die Klägerin verstoße daher schließlich auch gegen § 13 Abs. 1 TMG a. F., da es an einer hinreichenden Unterrichtung der Seitenbesucher fehle. Dies habe Mitglieder und Nichtmitglieder gleichermaßen betroffen. Nach dem eindeutigen Wortlaut bestehe die Unterrichtungspflicht bereits zu Beginn des Verfahrens. Dies gelte auch, wenn (noch) keine personenbezogenen Daten verarbeitet worden seien. Gleiches ergebe sich aus einer richtlinienkonformen Auslegung. An einer solchen Unterrichtung fehle es vorliegend schon deshalb, weil die Beigeladene bereits beim Aufruf der Fanpage der Klägerin Cookies auf dem Endgerät des Nutzers platziere. Eine wie auch immer geartete Unterrichtung habe allenfalls im Anschluss daran erfolgen können.

55 Weder die §§ 11 ff. TMG a. F. noch die Einflussnahmen aus § 38 Abs. 5 BDSG a. F. verlangten eine bestimmte Schwere des Rechtsverstoßes. Ein solches Erfordernis wäre mit dem Zweck der Richtlinie 95/46/EG, einen wirksamen und umfassenden Schutz der Betroffenen sicherzustellen, nicht vereinbar. Gleichwohl sei darauf hinzuweisen, dass die dargestellten Verstöße schwer wögen. Von Besuchern in der Fanpage der Klägerin seien ohne Rechtsgrundlage umfassende Persönlichkeitsprofile angefertigt worden, zum einen, um die Fanpage sicherer zu gestalten, zum anderen, um diesen Personen zielgerichtete Werbung zukommen zu lassen.

56 Der Beklagte beantragt,

57 das Urteil des Verwaltungsgerichts vom 9. Oktober 2013 abzuändern und die Klage abzuweisen.

58 Die Klägerin beantragt,

59 die Berufung zurückzuweisen.

60 Sie trägt ergänzend vor: Es seien die seit der letzten Verwaltungsentscheidung eingetretenen Änderungen der Sach- und Rechtslage zu berücksichtigen. Auf Grundlage einer heutigen Bewertung ihrer Fanpage könnten die der ursprünglichen Untersagungsanordnung zugrundeliegenden rechtlichen und tatsächlichen Erwägungen die Untersagungsanordnung heute nicht mehr tragen. Das Inkrafttreten der Datenschutzgrundverordnung sowie die Vereinbarung über die gemeinsame Verantwortlichkeit nach Art. 26 Datenschutzgrundverordnung zwischen der Beigeladenen und der Klägerin hätten eine völlig neue Sach- und Rechtslage geschaffen, für die der Bescheid des Beklagten vom 3. November 2011 sowie dessen Widerspruchsbescheid vom 16. Dezember 2011 nach seinem Inhalt und Zweck keine Geltung beanspruchen könnten. Der Rechtsstreit habe sich damit ab dem Zeitpunkt des Abschlusses einer Vereinbarung über die gemeinsame Verantwortlichkeit zwischen der Beigeladenen und der Klägerin erledigt.

61 Die Beigeladene beantragt,

62 die Berufung zurückzuweisen.

63 Sie trägt ergänzend vor: Die zur Erstellung der Insights-Statistiken durchgeführte Datenverarbeitung habe sich erheblich unterschieden, je nachdem, ob eine Seite von einem bei Facebook registrierten Nutzer oder einen Nicht-Facebook-Nutzer aufgerufen worden sei. Die Unterscheidung erfolge auf Basis der Cookies. Sie setze derartige Cookies bei jedem erstmaligen Aufruf einer Seite des Facebook-Dienstes sowie beim Einloggen. Bei weiteren Aufrufen von Facebook-Seiten in der Folge würden diese Cookies ausgelesen. Sie habe Facebook-Nutzer anhand der zuvor gesetzten Cookies erkannt und so zur Bereitstellung von „Insights“ eine bestimmte Handlung wie das Aufrufen einer Seite mit den sonstigen Informationen verknüpfen können. Auf diese Weise sei es ihr möglich gewesen, für die Insights-Statistik entsprechende statistische Auswertungen vorzunehmen.

64 Hätten Nicht-Facebook-Nutzer eine Seite aufgerufen, sei die Datenverarbeitung im Vergleich sehr beschränkt. Zwar setze sie auch in diesem Fall einen neuen Cookie (soweit nicht aufgrund eines früheren Besuchs bereits vorhanden), der über die Dauer der jeweiligen Sitzung hinaus im Browser der Nutzer gespeichert bleibe, den sogenannten datr-Cookie. Das Aufrufen einer Seite durch einen Nicht-Facebook-Nutzer sei in die Insights-Statistik jedoch nur als unspezifischer Aufruf eines nicht angemeldeten Nutzers eingegangen, der im Rahmen der Anzahl der Seitenbesucher gezählt worden sei. Nicht-Facebook-Nutzer habe sie daher weder identifizieren können, noch verfüge sie über entsprechende Daten, wie zum Beispiel deren Alter. Anders als von dem Beklagten wiederholt behauptet, verwende sie den datr-Cookie beispielsweise nicht, um zur Erstellung von Insights Informationen aus angeblichen geheimen Werbeprofilen („Werbe-Schattenprofile“) heranzuziehen. Soweit zum Teil auch weitere Cookies bei Nicht-Facebook-Nutzern gesetzt würden, handele es sich jeweils um Cookies, deren Gültigkeit auf die Dauer des jeweiligen Webseitenbesuchs beschränkt sei. Keiner dieser Cookies habe dazu verwendet werden können, weitergehende Informationen über die Nutzer zu sammeln.

65 Darüber hinaus sei jeder Aufruf einer Facebook-Seite durch Facebook-Nutzer und Nicht-Facebook-Nutzer damit einhergegangen, dass der Browser des jeweiligen Nutzers die dem Endgerät zugewiesene IP-Adresse an die Server der Beigeladenen übertragen habe. Die Übertragung der IP-Adressen sei eine technische Voraussetzung dafür, dass ein angesprochener Server eine aufgerufene Seite an das Endgerät des jeweiligen Nutzers ausspielen könne, sodass diese dem Nutzer angezeigt werden könne.

66 Die vom Bundesverwaltungsgericht festgestellte gemeinsame datenschutzrechtliche Verantwortlichkeit umfasse nicht die gesamte hier relevante Datenverarbeitung. Insbesondere habe keine gemeinsame Verantwortlichkeit für das Setzen von Cookies, insbesondere des datr-Cookies bei Nicht-Facebook-Mitgliedern bestanden. Unter Nichtberücksichtigung des vom Gerichtshof der Europäischen Union geforderten Kriteriums der „Parametrierung“ stütze sich das Bundesverwaltungsgericht darauf, dass der Betreiber einer Fanpage ihr – der Beigeladenen – durch die Einrichtung der Seite die Möglichkeit gebe, auf dem Endgerät der Besucher Cookies zu platzieren, unabhängig davon, ob der Besucher ein Facebook-Nutzer sei und der Betreiber damit einen maßgeblichen Beitrag zur Verarbeitung personenbezogener Daten der Fanpage-Besucher leiste. Eine gemeinsame Verantwortlichkeit von Fanpage-Betreibern und ihr sei differenziert zu betrachten. Weder das Urteil des Gerichtshofs der Europäischen Union noch das Urteil des Bundesverwaltungsgerichts stellten fest, welchen genauen Umfang die gemeinsame Verantwortlichkeit von Fanpage-Betreibern habe. Nach Erlass des Urteils im vorliegenden Verfahren habe der Gerichtshof der Europäischen Union in einem weiteren Urteil in der Rechtssache Fashion-ID, das ebenfalls eines ihrer Produkte betroffen habe, insofern weiter geklärt, dass die Frage der gemeinsamen Verantwortlichkeit nicht für alle vage in Zusammenhang stehenden Datenverarbeitungen zwangsläufig einheitlich zu beantworten sei, sondern dass sie im Gegenteil im Hinblick auf jeden konkreten Datenverarbeitungsvorgang differenziert zu prüfen sei. Dementsprechend sei die der Feststellung der gemeinsamen Verantwortlichkeit zugrundeliegende Argumentation nicht auf jede im Zusammenhang mit dem Besuch einer Seite stattfindende Datenverarbeitung gleichermaßen anwendbar.

67 Ungeachtet dessen sei die von ihr durchgeführte Verarbeitung von Daten der Fanpage-Besucher datenschutzrechtlich nicht zu beanstanden. Die unionsrechtlich maßgebliche Regelung für die verfahrensgegenständliche Verwendung von Cookies sei Art. 5 Abs. 3 der ePrivacy-Richtlinie. Die darin enthaltenen Vorgaben seien nach ausdrücklicher Ansicht des deutschen Gesetzgebers durch die Vorschriften der §§ 12, 13 und 15 TMG umgesetzt worden. Die deutsche Umsetzung im Telemediengesetz verwende dabei einen Einwilligungsbegriff, der nach dem eindeutigen gesetzgeberischen Willen auch konkludente (sogenannte „Opt-out“-) Einwilligungen in Form einer Widerspruchsmöglichkeit umfasse. Der vom Gesetzgeber zugrunde gelegte Einwilligungsbegriff komme beispielsweise in § 15 Abs. 3 TMG zum Ausdruck, der die – typischerweise mittels Cookies umgesetzte – Erstellung pseudonymer Nutzungsprofile bereits dann für zulässig erkläre, wenn Nutzer über ein Widerrufsrecht unterrichtet würden und davon keinen Gebrauch machten.

68 Facebook-Nutzer hätten zum hier maßgeblichen Zeitpunkt wirksam in die beschriebene Verwendung von Cookies im Rahmen der Insights-Funktion eingewilligt. Die vor der Registrierung übermittelten Informationen bildeten eine hinreichende Basis für eine informierte Einwilligung im Sinne des § 12 Abs. 1 i. V. m. § 13 Abs. 1 Satz 1 TMG. Jeder Facebook-Nutzer bestätige durch seine Registrierung, dass er diese Informationen zur Kenntnis genommen und akzeptiert habe. Indem die Nutzer die Nutzung des Dienstes fortsetzten, hätten sie ihre Einwilligung – zusätzlich zur bereits im Rahmen der Registrierung erklärten „Opt-in“-Einwilligung – auch in Form einer konkludenten „Opt-out“-Einwilligung zum Ausdruck gebracht.

69 Auch die Übertragung der IP-Adresse sei eindeutig rechtmäßig. Sie sei technisch notwendig, um die aufgerufene Seite an den Browser des Nutzers ausspielen zu können. Die Übertragung wäre damit selbst dann rechtmäßig, wenn man davon ausgehen wollte, dass es sich bei IP-Adressen um personenbezogene Daten handelte. Die Verarbeitung wäre jedenfalls im Sinne des § 15 Abs. 1 Satz 1 TMG zur Ermöglichung des angeforderten Dienstes technisch erforderlich, oder jedenfalls nach § 15 Abs. 1 TMG i. V. m. § 7 lit. f Richtlinie 95/46/EG aufgrund ihres berechtigten Interesses an der technischen Bereitstellung der angeforderten Seite gerechtfertigt.

70 Wegen der weiteren Einzelheiten des Sach- und Streitstandes wird auf die Gerichtsakten sowie den Verwaltungsvorgang des Beklagten verwiesen.

Entscheidungsgründe

71 Die zulässige Berufung des Beklagten hat Erfolg.

72 Die gegen die im Bescheid vom 3. November 2011 in Gestalt des Widerspruchsbescheids vom 16. Dezember 2011 enthaltene datenschutzrechtliche Anordnung und die Androhung eines Zwangsgeldes gerichtete Anfechtungsklage ist zulässig (A), aber unbegründet (B).

73 A. Die als Anfechtungsklage (§ 42 Abs. 1 Var. 1 VwGO) erhobene Klage ist zulässig. Sie ist statthaft und ihr fehlt nicht das notwendige Rechtsschutzbedürfnis. Insbesondere haben sich die streitgegenständlichen Verfügungen des Beklagten nicht durch Zeitablauf oder auf andere Weise erledigt (vgl. § 112 Abs. 2 LVwG).

74 Die Erledigung eines Verwaltungsakts durch Zeitablauf kommt nur dann in Betracht, wenn die in dem Verwaltungsakt enthaltene Regelung nur für einen bestimmten Zeitpunkt oder Zeitraum gedacht war (vgl. zu § 43 VwVfG Goldhammer, in: Schoch/Schneider, Verwaltungsverfahrensgesetz, Grundwerk Juli 2020, § 43 Rn. 109). Entsprechendes lässt sich den streitbefangenen Verwaltungsakten jedoch nicht entnehmen.

75 Eine Erledigung auf andere Weise im Sinne des § 112 Abs. 2 Alt. 5 LVwG tritt regelmäßig dann ein, wenn dem Verwaltungsakt, ohne dass dies auf einer hoheitlichen Entscheidung beruht oder durch Zeitablauf bedingt ist, keine Regelungswirkung mehr entnommen werden kann. Eine geänderte Sach- und Rechtslage ist daher prinzipiell kein Grund für eine Erledigung. Dass diese die Wirksamkeit des Verwaltungsakts grundsätzlich unberührt lässt, folgt aus der § 118a Abs. 1 Satz 1 LVwG (entspricht § 51 Abs. 1 Nr. 1 VwVfG) zugrundeliegenden Wertung. Hat danach die Behörde auf Antrag des Betroffenen über die Aufhebung oder Änderung eines unanfechtbaren Verwaltungsakts zu entscheiden, wenn sich die dem Verwaltungsakt zugrundeliegende Sach- oder Rechtslage nachträglich zugunsten des Betroffenen geändert hat, können geänderte Umstände nur dann unmittelbar zum Wirksamkeitsverlust des Verwaltungsakts führen, wenn sie ihn ausnahmsweise gegenstandslos machen. Ob von einer derartigen Gegenstandslosigkeit auszugehen ist, hängt davon ab, ob der Verwaltungsakt nach seinem Inhalt und Zweck und gegebenenfalls im Zusammenhang mit den Vorschriften, auf denen er beruht, Geltung auch gerade für den Fall der veränderten Umstände beansprucht oder nicht (zum Bundesrecht vgl. BVerwG, Urteil vom 9. Mai 2012 – 6 C 3.11 –, Rn. 25, juris; Goldhammer, in: Schoch/Schneider, Verwaltungsverfahrensgesetz, Grundwerk Juli 2020, § 43 Rn. 123).

76 Für eine Gegenstandslosigkeit des Bescheids vom 3. November 2011 in Gestalt des Widerspruchsbescheids vom 16. September 2011 ist vorliegend nichts ersichtlich. Weder handelt es sich bei der geänderten Rechtslage, insbesondere dem Inkrafttreten der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, Abl. EU L 119 vom 4. Mai 2016, S. 1, im Folgenden DSGVO), noch bei einem geänderten Informationsverhalten der Beigeladenen oder ihres Mutterkonzerns um Umstände, die zur Gegenstandslosigkeit der streitgegenständlichen Verwaltungsakte (Deaktivierungsanordnung und Zwangsgeldandrohung) führen. Der mit der Deaktivierungsanordnung seinem Inhalt nach verfolgte Zweck, nämlich nach Ansicht des Beklagten bestehende datenschutzrechtliche Verstöße, die in Zusammenhang mit einer im Facebook-Netzwerk eröffneten Fanpage stehen, zu unterbinden, kann auch heute noch erreicht werden; diese Regelung hat weiterhin eine die Klägerin beschwerende Wirkung. Entsprechendes gilt für die Zwangsgeldandrohung.

77 B. Die streitgegenständlichen Verfügungen im Bescheid vom 3. November 2011 in Gestalt des Widerspruchsbescheids vom 16. Dezember 2011 sind rechtmäßig und verletzen die Klägerin nicht in ihren Rechten, § 113 Abs. 1 Satz 1 VwGO.

78 I. Dies gilt zunächst für die Anordnung der Deaktivierung der Fanpage der Klägerin.

79 Maßgeblich für die Beurteilung der Rechtmäßigkeit der Anordnung der Deaktivierung der Fanpage der Klägerin ist die Sach- und Rechtslage im Zeitpunkt der letzten Verwaltungsentscheidung, hier des Widerspruchsbescheids vom 16. Dezember 2011. Nachträgliche Änderungen sind nicht zu berücksichtigen (vgl. BVerwG, Urteil vom 11. September 2019 – 6 C 15.18 –, Rn. 16, juris). Dies ergibt sich für den Senat bindend aus der vorliegenden Revisionsentscheidung des Bundesverwaltungsgerichts (vgl. § 144 Abs. 6 VwGO).

80 Lediglich ergänzend wird darauf hingewiesen, dass dem auch die von der Klägerin angeführte Rechtsprechung des Bundesverwaltungsgerichts zu Dauerverwaltungsakten, nach der für den Erfolg einer gegen einen Dauerverwaltungsakt gerichteten Anfechtungsklage regelmäßig die Sach- und Rechtslage zum Zeitpunkt der letzten tatsachengerichtlichen Verhandlung maßgeblich ist (stRspr BVerwG, vgl. Urteil vom 19. September 2013 – 3 C 15.12 – Rn. 9, juris; Beschluss vom 5. Januar 2012 – 8 B 62.11 – Rn. 13, juris), nicht entgegensteht. Die streitgegenständliche Anordnung der Deaktivierung der Fanpage ist bei einer an §§ 133, 157 BGB entsprechend orientierten Auslegung des Regelungsinhalts nicht als Dauerverwaltungsakt zu bewerten. Es muss auch davon ausgegangen werden, dass dies der Auffassung des Bundesverwaltungsgerichts entspricht, da es vorliegend den Zeitpunkt der letzten Behördenentscheidung für maßgeblich erachtet hat, ohne sich zu seiner eigenen Rechtsprechung zu Dauerverwaltungsakten zu verhalten.

81 1. Rechtsgrundlage der streitgegenständlichen Anordnung des Beklagten ist § 38 Abs. 5 Satz 2 BDSG i. d. F.der Bekanntmachung vom 14. Januar 2003 (BGBl. I S. 66), zuletzt geändert durch Art. 1 des Gesetzes zur Änderung datenschutzrechtlicher Vorschriften vom 14. August 2009 (BGBl. I S. 2814; im Folgenden BDSG a. F.). Gemäß § 38 Abs. 5 Satz 2 BDSG a. F. kann die Aufsichtsbehörde zur Gewährleistung der Einhaltung des Bundesdatenschutzgesetzes und anderer Vorschriften über den Datenschutz bei schwerwiegenden Verstößen bei der Erhebung, Verarbeitung oder Nutzung personenbezogener Daten oder schwerwiegenden technischen oder organisatorischen Mängeln, insbesondere solchen, die mit einer besonderen Gefährdung des Persönlichkeitsrechts verbunden sind, die Erhebung, Verarbeitung oder Nutzung oder den Einsatz einzelner Verfahren untersagen, wenn die Verstöße oder Mängel entgegen der Anordnung nach § 38 Abs. 5 Satz 1 BDSG a. F. und trotz der Verhängung eines Zwangsgeldes nicht in angemessener Zeit beseitigt werden.

82 Die an die Klägerin gerichtete Anordnung, ihre Fanpage zu deaktivieren, ist gemäß der den Senat bindenden Revisionsentscheidung des Bundesverwaltungsgerichts nach dem Eingriffsgewicht als Untersagung des Einsatzes eines Verfahrens gemäß § 38 Abs. 5 Satz 2 BDSG a. F. zu werten. Dass der Beklagte in der Überschrift des Bescheids vom 3. November 2011 in Gestalt des Widerspruchsbescheids vom 16. Dezember 2011 auf § 38 Abs. 5 Satz 1 BDSG a. F. abhebt, ist – wie das Bundesverwaltungsgericht ebenfalls mit Bindungswirkung für den Senat festgestellt hat – unschädlich (BVerwG, Urteil vom 11. September 2019 – 6 C 15.18 –, Rn. 17, juris).

83 § 38 Abs. 5 Satz 2 BDSG a. F. ist mit Blick auf eine Inanspruchnahme der Klägerin auch sonst anwendbar (vgl. zur Anwendbarkeit des Dritten Abschnitts des Bundesdatenschutzgesetzes a. F. § 27 Abs. 1 Nr. 1 BDSG a. F.). Die Klägerin ist als nicht-öffentliche Stelle im Sinne des § 1 Abs. 2 Nr. 3, § 2 Abs. 4 BDSG a. F., die keine Aufgaben der öffentlichen Verwaltung wahrnimmt (vgl. § 2 Abs. 1 bis 3 BDSG a. F.), zu qualifizieren. Es handelt sich um eine privatrechtlich organisierte gemeinnützige Gesellschaft.

84 2. Die im Bescheid vom 3. November 2011 in Gestalt des Widerspruchsbescheids vom 16. Dezember 2011 enthaltene Anordnung der Deaktivierung der von der Klägerin betriebenen „Fanpage“ erscheint formell rechtswidrig, ohne dass dies allerdings zu ihrer Aufhebung führen könnte. Der streitgegenständliche Bescheid des Beklagten als Aufsichtsbehörde im Sinne des § 38 BDSG a.F. enthält nach Auffassung des Senats nicht die nach § 109 Abs. 1 LVwG in formeller Hinsicht notwendige Begründung, da es an Erwägungen zur Adressatenauswahl fehlt. Gleiches gilt hinsichtlich des Widerspruchsbescheids. Dieser Fehler ist jedoch unbeachtlich, d. h. er kann eine Aufhebung des streitgegenständlichen Verwaltungsakts nicht begründen (vgl. zur Wirkung des § 114 LVwG weitgehend entsprechenden § 45 VwVfG BVerwG, Beschluss vom 9. April 2002 – 4 B 20.02 –, Rn. 6, juris), da der Beklagte die erforderliche Begründung im laufenden Verfahren nachgeholt hat. Dies ist bis zum Abschluss der letzten Tatsacheninstanz eines verwaltungsgerichtlichen Verfahrens möglich, sofern die Nichtvornahme der Begründung nicht bis zum Abschluss des Widerspruchsverfahrens von einem Beteiligten geltend gemacht wurde, vgl. § 114 Abs. 2 LVwG. Letzteres ist hier nicht der Fall. Die Klägerin hat in ihrem Widerspruchsschreiben vom 6. Dezember 2011 vielmehr ausdrücklich keine Bedenken gegen die formelle Rechtmäßigkeit des Bescheides vom 3. November 2011 erhoben und auch eine fehlerhafte Ermessensausübung nicht gerügt. Außerdem hat der Beklagte im laufenden Verfahren vorgetragen, dass für ihn eine Inanspruchnahme der Beigeladenen aufgrund fehlender Verbandskompetenz nicht in Frage gekommen sei. Damit hat er zum Ausdruck gebracht, ein Vorgehen auch gegen die Beigeladene in Erwägung gezogen zu haben. Ob diese Erwägungen den Bescheid im Ergebnis tragen können, ist im Rahmen der formellen Rechtmäßigkeit nicht von Belang, sondern im Rahmen der Ermessensprüfung nach § 114 Satz 1 VwGO zu beachten.

85 3. Die Anordnung zur Deaktivierung der Fanpage der Klägerin ist materiell-rechtlich nicht zu beanstanden. Im Gebrauch der Registrierungsdaten und der übrigen vorhandenen personenbezogenen Daten von im Facebook-Netzwerk registrierten und angemeldeten Personen sowie in der unzureichenden Bereitstellung von Informationen über die Erhebung und Verwendung personenbezogener Daten für diese Personengruppe sind im hier maßgeblichen Zeitpunkt im Dezember 2011 Verstöße bei der Erhebung, Verarbeitung oder Nutzung personenbezogener Daten zu erkennen (dazu unter a). Die Klägerin kann auch als Adressatin einer auf § 38 Abs. 5 Satz 2 BDSG a. F. beruhenden Verfügung herangezogen werden, da sie für den Gebrauch der genannten Daten zur Erstellung der auf ihre Fanpage bezogenen Insights-Statistiken durch Facebook sowie für die unzureichende Bereitstellung von Informationen (mit)verantwortlich ist (dazu unter b). Ferner wiegen die Verstöße schwer (dazu unter c). Vor diesem Hintergrund kann die rechtliche Bewertung einzelner technischer Abläufe dahinstehen (dazu unter d). Der materiell-rechtlichen Rechtmäßigkeit der hier streitgegenständlichen Verfügung steht auch nicht die in § 38 Abs. 5 Satz 1 und Satz 2 BDSG a. F. vorgegebenen „Stufenfolge“ entgegen (dazu unter e).

86 a) Verstöße bei der Erhebung, Verarbeitung oder Nutzung personenbezogener Daten im Sinne des § 38 Abs. 5 Satz 2 TMG a. F. ergeben sich hier aus einem Widerspruch verschiedener durch den Besuch der Fanpage der Klägerin angestoßener und durch die Beigeladene gesteuerter Vorgänge zu den Vorgaben der § 12 und § 13 TMG in der Fassung des Art. 1 des Gesetzes zur Vereinheitlichung von Vorschriften über bestimmte elektronische Informations- und Kommunikationsdienste vom 26. Februar 2007 (BGBl. I S. 179), für den hier maßgeblichen Zeitraum zuletzt geändert durch das Erste Gesetz zur Änderung des Telemediengesetzes vom 31. Mai 2010 (BGBl. I S. 692; im Folgenden TMG a. F.). Gemäß § 12 Abs. 1 und Abs. 2 TMG a. F. darf ein Diensteanbieter personenbezogene Daten zur Bereitstellung von Telemedien nur erheben und verwenden, soweit das Telemediengesetz oder eine andere Rechtsvorschrift, die sich ausdrücklich auf Telemedien bezieht, es erlaubt oder der Nutzer eingewilligt hat. Der Diensteanbieter darf für die Bereitstellung von Telemedien erhobene personenbezogene Daten für andere Zwecke nur verwenden, soweit dieses Gesetz oder eine andere Rechtsvorschrift, die sich ausdrücklich auf Telemedien bezieht, es erlaubt oder der Nutzer eingewilligt hat. Nach § 13 Abs. 1 Satz 1 TMG a. F. hat der Diensteanbieter den Nutzer zu Beginn des Nutzungsvorgangs über Art, Umfang und Zwecke der Erhebung und Verwendung personenbezogener Daten sowie über die Verarbeitung seiner Daten in allgemein verständlicher Form zu unterrichten, sofern eine solche Unterrichtung nicht bereits erfolgt ist.

87 aa) Die durch den Besuch der Fanpage der Klägerin im Facebook-Netzwerk angestoßenen Vorgänge unterfallen dem Anwendungsbereich des gegenüber dem Bundesdatenschutzgesetz a. F. spezielleren Telemediengesetz a. F. Das soziale Netzwerk Facebook ist Telemedium im Sinne des § 1 Abs. 1 Satz 1 TMG a. F. (vgl. i. E. Ricke, in: Spindler/Schuster, Recht der elektronischen Medien, 4. Aufl. 2019, § 1 TMG, Rn. 12; Altenhain, in: MüKo zum StGB, 3. Auflage 2019, § 1 TMG, Rn. 26). Gemäß § 1 Abs. 1 Satz 1 TMG a. F. sind unter Telemedien alle elektronischen Informations- und Kommunikationsdienste („IuK-Dienst“), die nicht Telekommunikation im engeren Sinne oder Rundfunk sind, zu verstehen. Dazu gehören beispielsweise Online-Angebote von Waren oder Internet-Suchmaschinen (vgl. BT-Drucks. 16/3078, S. 13). Das soziale Netzwerk Facebook ermöglicht durch seine Strukturen die Bereitstellung von Informationen sowie Diskussion über Sachthemen, d. h. das Verbreiten derartiger Themen und den anschließenden Dialog hierüber. Es ist damit selbst als sogenannter elektronischer „IuK-Dienst“ anzusehen. Gleiches gilt für die Fanpage der Klägerin innerhalb des Facebook-Netzwerkes.

88 Die Beigeladene und die damalige Facebook Inc. sind auch Diensteanbieter im Sinne des § 12 Abs. 1 und Abs. 2 TMG a. F. Diensteanbieter ist gemäß § 2 Satz 1 Nr. 1 HS 1 TMG a. F. jede natürliche oder juristische Person, die eigene oder fremde Telemedien zur Nutzung bereithält oder den Zugang zur Nutzung vermittelt. Da sowohl die Beigeladene als auch ihr Mutterkonzern das Telemedium, d. h. das soziale Netzwerk bzw. die Fanpage zur Verfügung stellen und allen Interessierten Zugang hierzu vermitteln, liegen die Voraussetzungen des § 2 Satz 1 Nr. 1 HS 1 TMG a. F. vor. Die Klägerin ist ebenfalls Diensteanbieter in diesem Sinne, da sie über die Errichtung der Fanpage einen (eigenen oder fremden) elektronischen Informations- und Kommunikationsdienst, d. h. ein Telemedium im Sinne des § 1 Abs. 1 Satz 1 TMG a. F., bereitstellt bzw. jedenfalls Zugang zur Nutzung vermittelt.

89 Die Vorgänge des Erhebens, Verarbeitens und Nutzens personenbezogener Daten im Sinne des § 38 Abs. 5 i.V.m. § 3 Abs. 3 bis 5 BDSG a.F. entsprechen denen des Erhebens und Verwendens im Sinne des Abschnitt 4 im Telemediengesetz a.F.; der Begriff der Verwendung ist als Sammelbezeichnung für das Verarbeiten und Nutzen personenbezogener Daten i.S.d. § 3 Abs. 4 und 5 BDSG auszulegen (Bizer/Hornung, in: Roßnagel, Beck´scher Kommentar zum Recht der Telemediendienste, 1. Auflage 2013, § 12 TMG, Rn. 53 m.w.N.).

90 Der Anwendbarkeit des Telemediengesetzes steht im vorliegenden Fall nicht entgegen, dass die Beigeladene mit Sitz in Irland nach eigenem Bekunden die tatsächliche Verantwortung für die hier maßgeblichen Datenerhebungs- und -verwendungsvorgänge trägt. Die §§ 12 ff. TMG a. F. werden nicht durch eine vorrangige Anwendbarkeit irisches Datenschutzrecht – ggf. in Kombination mit einer vorrangigen Prüfungskompetenz der irischen Datenschutzbehörde – verdrängt. Insoweit wird zur Begründung auf die Revisionsentscheidung des Bundesverwaltungsgerichts und die Entscheidung des Gerichtshofs der Europäischen Union im vorliegenden Verfahren verwiesen (BVerwG, Urteil vom 11. September 2019 – 6 C 15.18 –, Rn. 24 ff., EuGH, Urteil vom 5. Juni 2018 – C-210/16 –, Rn. 50 ff., juris).

91 bb) Für die Feststellung der maßgeblichen Datenerhebungs- und -verwendungsvorgänge bis Ende 2011 geht der Senat von folgenden, zu seiner Überzeugung (§ 108 Abs. 1 VwGO) feststehenden Sachverhalten aus:

92 (1) Bei jedem Aufruf der Fanpage der Klägerin wird die Internetadresse der aufgerufenen Seite sowie die IP-Adresse des jeweiligen Internetnutzers an Facebook übertragen. IP-Adressen sind Ziffernfolgen, die dem mit dem Internet verbundenen Computern zugewiesen werden, um deren Kommunikation im Internet zu ermöglichen. Beim Abruf einer Website wird die IP-Adresse des abrufenden Computers an den Server übermittelt, auf dem die abgerufene Website gespeichert ist. Dies ist erforderlich, um die abgerufenen Daten an den richtigen Empfänger übertragen zu können (vgl. Ergebnisbericht der Arbeitsgruppe des AK I „Staatsrecht und Verwaltung“ zum Datenschutz in sozialen Netzwerken vom 4. April 2012, S. 7, Bl. 223 GA; Datenschutzrechtliche Bewertung der Reichweitenanalyse durch Facebook, 11. August 2011, S. 15, Bl. 128 GA). Nach Angaben der Beigeladenen werden die empfangenen IP-Adressen nicht einzeln – insbesondere nicht in Profilen zu den Internetnutzern – gespeichert.

93 (2) Ferner ist der Senat davon überzeugt, dass Facebook bei Besuch der Fanpage den Inhalt der c_user-Cookies ausliest, die zuvor im Browser von im Netzwerk angemeldeten Facebook-Mitgliedern gesetzt worden sind. Cookies sind eindeutig zuzuordnende alphanumerische Kennungen, die im Internetbrowser auf dem Endgerät des Nutzers gespeichert werden. Facebook-Mitglieder haben sich im Facebook-Netzwerk registriert und im Zuge der Registrierung ihren Vor- und Nachnamen, ihr Geburtsdatum, ihr Geschlecht und ihre E-Mail-Adresse angegeben. Der c_user-Cookie enthält eine User-ID des Facebook-Mitglieds. Er wird von Facebook gesetzt, wenn sich das Facebook-Mitglied erstmals registriert oder wenn ein registriertes Facebook-Mitglied sich erneut im Netzwerk anmeldet (bzw. „einloggt“). Die Gültigkeit dieses Cookies hängt davon ab, ob das Facebook-Mitglied in den Kontoeinstellungen die Option gewählt hat, im Netzwerk (auch bei Verlassen) angemeldet zu bleiben. Ist dies der Fall, verliert der c_user-Cookie seine Gültigkeit erst, wenn das Facebook-Mitglied den Facebook-Webserver 30 Tage nicht mehr aufruft. Ansonsten wird der c_user-Cookie mit dem Schließen des Browsers gelöscht (vgl. Ergebnisbericht der Arbeitsgruppe des AK I „Staatsrecht und Verwaltung“ zum Datenschutz in sozialen Netzwerken vom 4. April 2012, S. 8, Bl. 224 GA).

94 Der Inhalt des c_user-Cookie wird innerhalb seines Gültigkeitszeitraums bei jeder Kommunikation mit Facebook an Facebook übermittelt und gibt Facebook die Möglichkeit einer Verknüpfung des Seitenaufrufs mit dem registrierten Mitglied. Diese Verknüpfung ermöglicht unter anderem die personalisierte Darstellung von Fanpage-Inhalten. Über die Personalisierung erfährt das Facebook-Mitglied beispielsweise, welche seiner Facebook-Freunde die Fanpage empfohlen oder kommentiert haben (vgl. Ergebnisbericht der Arbeitsgruppe des AK I „Staatsrecht und Verwaltung“ zum Datenschutz in sozialen Netzwerken vom 4. April 2012, S. 3, 15, Bl. 219, 231 GA).

95 Die über den c_user-Cookie ermöglichte Verknüpfung von Fanpage-Aufruf und Facebook-Mitglied speichert Facebook in den über das Mitglied angelegten Profilen, die wiederum zu Werbezwecken genutzt werden. Diese Überzeugung hat der Senat aufgrund der durchgeführten mündlichen Verhandlung gewonnen. In dieser hat die Beigeladene auf entsprechende Frage des Gerichts eingeräumt, es „ist anzunehmen“, dass der Fanpage-Aufruf in den Profilen der Mitglieder gespeichert wird. Bereits zu Beginn dieses Verfahrens war zwischen der Beigeladenen und dem Beklagten unstreitig, dass Facebook „bis zu einem bestimmten Grad“ Profile seiner Mitglieder anlegt und diese zu Werbezwecken nutzt. Ferner deuten die Datenverwendungsrichtlinien 2011 von Facebook die Durchführung entsprechender Vorgänge an, indem sie darauf hinweisen, dass Facebook jedes Mal, wenn das Mitglied mit Facebook interagiert, beispielsweise eine bestimmte Seite aufruft, Daten erhält (vgl. Datenverwendungsrichtlinien 2011, Abschnitt I, Überschrift Informationen, die wir über dich erhalten, S. 1) und dass Werbeanzeigen bei den Personen eingeblendet werden, welche die vom Werbetreibenden ausgewählten Kriterien (beispielsweise „Kinobesucher“) erfüllen (vgl. Datenverwendungsrichtlinien 2011, Abschnitt IV, Überschrift: Personalisierte Werbeanzeigen, S. 4). Letzteres ist nur dann möglich, wenn Facebook über die Registrierungsdaten hinaus Informationen zu den Personen, beispielsweise zu bestimmten Interessen und Vorlieben, speichert.

96 (3) Facebook unterhält außerdem den Dienst „Insights“. Dieser beinhaltet die Erstellung von Statistiken über die Nutzung von Fanpages (auch als Seitenstatistik bezeichnet). Die Seitenstatistik umfasst unter anderem Angaben zur Anzahl der Seitenaufrufe, zur Verweildauer der Besucher, sowie zu deren Alter, Geschlecht, geographischer Herkunft und Sprache und zur Nutzung der einzelnen Funktionalitäten der Fanpage (vgl. Ergebnisbericht der Arbeitsgruppe des AK I „Staatsrecht und Verwaltung“ zum Datenschutz in sozialen Netzwerken vom 4. April 2012, S. 9, Bl. 225 GA; Datenschutzrechtliche Bewertung der Reichweitenanalyse durch Facebook, 11. August 2011, S. 12, Bl. 126 GA). Die Erstellung dieser Statistiken ist Facebook insbesondere aufgrund des c_user-Cookies möglich, da mit diesem der Aufruf einer Fanpage mit den Facebook-Mitgliedern und den zu diesen bereits gewonnenen Informationen verknüpft werden kann. Nach Angaben der Beigeladenen fließt der Aufruf einer Fanpage durch ein Nicht-Facebook-Mitglied ausschließlich in die Gesamtzahl der Aufrufe der Fanpage im Rahmen der Insights-Statistik ein. Weitere Erkenntnisse über Nicht-Mitglieder werden nach Angabe der Beigeladenen nicht in Insights verarbeitet.

97 Fanpage-Betreiber erhalten über Insights die Seitenstatistiken in aggregierter und anonymisierter Form, ohne dass es dazu der Erteilung eines entsprechenden Auftrags an Facebook bedürfte. Die Klägerin kann ebenso wie andere Fanpage-Betreiber den Dienst Insights auch nicht an- oder abwählen. Sie kann nicht steuern, welche Angaben in der Statistik enthalten sind. Ferner haben Fanpagebetreiber auf die technische Konfiguration der Fanpage keinen Einfluss, sie können die Fanpages „lediglich“ mit Inhalt füllen.

98 Die Erstellung von Seitenstatistiken dient dem Zweck, den Betrieb einer Fanpage auf die Nutzer anzupassen, d. h. die Fanpage attraktiver gestalten zu können. Gleichzeitig sollen diese Facebook ermöglichen, den Werbewert des Netzwerkes zu erhöhen.

99 cc) Durch das Auslesen der IP-Adresse von im Facebook-Netzwerk registrierten und nicht registrierten Personen bei Aufruf einer Fanpage verstößt Facebook aufgrund einer gesetzlichen Erlaubnis nicht gegen § 12 Abs. 1 TMG a. F.. Aus demselben Grund liegt auch kein Verstoß gegen § 12 Abs. 1 und Abs. 2 TMG a. F. durch das Auslesen der Daten aus dem c_user-Cookie bei Aufruf der Fanpage sowie durch die Verknüpfung der Registrierungsdaten und der übrigen vorhandenen Daten von im Facebook-Netzwerk registrierten und angemeldeten Personen zur personalisierten Darstellung der Fanpage vor. Der Gebrauch der Registrierungsdaten und der übrigen vorhandenen Daten von im Facebook-Netzwerk registrierten und angemeldeten Personen zur Erstellung der auf die Fanpage der Klägerin bezogenen Insights-Statistik durch Facebook steht hingegen im Dezember 2011 im Widerspruch zu den Vorgaben des § 12 Abs. 1 und 2 TMG. Dies gilt ebenfalls, soweit Facebook diese Daten mit dem Fanpage-Besuch zur Erstellung von Profilen und zu Werbezwecken verknüpft und speichert.

100 (1) Durch die unter bb) beschriebenen tatsächlichen Vorgänge erhebt und verarbeitet Facebook personenbezogene Daten in Form der Registrierungsdaten von Facebook-Mitgliedern sowie der übrigen zu diesen Personen vorhandenen Daten, der IP-Adresse und des Inhalts des c_user-Cookies.

101 (a) Die Definition „personenbezogener Daten“ ergibt sich mangels Legaldefinition im Telemediengesetz a. F. gemäß § 12 Abs. 3 TMG a. F. aus dem subsidiär geltenden allgemeinen Datenschutzrecht, d. h. im vorliegenden Fall aus dem Bundesdatenschutzgesetz a. F. Nach § 3 Abs. 1 BDSG a. F. sind personenbezogene Daten Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person (Betroffener). Diese Definition stimmt mit der im hier maßgeblichen Unionsrecht verankerten Definition überein, an der sich die Auslegung des § 3 Abs. 1 BDSG a. F. zu orientieren hat. Nach Art. 2 lit. a) der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (Abl. EG L 281 vom 23. November 1995, S. 31, im Folgenden Datenschutz-RL; vgl. heute Art. 4 Nr. 1 DSGVO) sind personenbezogene Daten alle Informationen über eine bestimmte oder bestimmbare natürliche Person („betroffene Person”); als bestimmbar wird eine Person angesehen, die direkt oder indirekt identifiziert werden kann, insbesondere durch Zuordnung zu einer Kennnummer oder zu einem oder mehreren spezifischen Elementen, die Ausdruck ihrer physischen, physiologischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität sind.

102 (aa) Die Daten, die die Facebook-Mitglieder bei ihrer Registrierung im Facebook-Netzwerk an Facebook übermitteln (Vor- und Nachnamen, Geburtsdatum, Geschlecht sowie E-Mail-Adresse), sind danach als personenbezogene Daten in dem genannten Sinne zu verstehen. Gleiches gilt für die übrigen von Facebook zu einem Mitglied gespeicherten Daten. Es handelt sich insoweit um Informationen zu einer bestimmten natürlichen Person.

103 (bb) IP-Adressen stellen ebenfalls personenbezogen Daten im genannten Sinne dar. Das gilt unabhängig davon, ob es sich um „dynamische“ oder „statische“ IP-Adressen handelt. Zwar ist eine dynamische IP-Adresse nicht als Information zu bewerten, die sich auf eine „bestimmte natürliche Person“ bezieht, da sich aus ihr unmittelbar weder die Identität der natürlichen Person ergibt, der der Computer gehört, von dem aus eine Website abgerufen wird, noch die Identität einer anderen Person, die diesen Computer benutzen könnte. Allerdings geht aus dem Wortlaut von Art. 2 lit. a) der Datenschutz-RL hervor, dass nicht nur eine direkt identifizierbare, sondern auch eine indirekt identifizierbare Person als bestimmbar angesehen wird. Die Verwendung des Begriffs „indirekt“ durch den Unionsgesetzgeber deutet darauf hin, dass es für die Einstufung einer Information als personenbezogenes Datum nicht erforderlich ist, dass die Information für sich genommen die Identifizierung der betreffenden Person ermöglicht. Zudem heißt es im 26. Erwägungsgrund der Datenschutz-RL, dass bei der Entscheidung, ob eine Person bestimmbar ist, alle Mittel berücksichtigt werden sollten, die vernünftigerweise entweder von dem Verantwortlichen für die Verarbeitung oder von einem Dritten eingesetzt werden könnten, um die betreffende Person zu bestimmen. Insoweit ist davon auszugehen, dass es für die Einstufung eines Datums als „personenbezogen“ im Sinne von Art. 2 lit. a) Datenschutz-RL nicht erforderlich ist, dass sich alle zur Identifizierung der betreffenden Person erforderlichen Informationen in den Händen einer einzigen Person befinden. Insbesondere ist die Möglichkeit, eine dynamische IP-Adresse mit den Zusatzinformationen zu verknüpfen, über die der Internetzugangsanbieter verfügt, als ein Mittel anzusehen, das vernünftigerweise, d. h. praktisch durchführbar und ohne Verstoß gegen ein gesetzliches Verbot, mit Hilfe Dritter zur Bestimmung der betreffenden Person eingesetzt werden kann (vgl. dazu EuGH, Urteil vom 19. Oktober 2016 – C-582/14 –, Rn. 31 ff., juris; Schild, in: Wolff/Brink, BeckOK Datenschutzrecht, 37. Ed. 1. August 2021, Art. 4 DSGVO, Rn. 19).

104 (cc) Gemessen an den vorstehenden Ausführungen enthält auch der c_user-Cookie personenbezogene Daten im Sinne des § 12 TMG a. F., § 3 Abs. 1 BDSG a. F. und Art. 2 lit. a) der Datenschutz-RL. Die User-ID von Facebook besteht aus einer Kennung, d. h. einer Information, die jedenfalls für Facebook einer bestimmten natürlichen Person zuzuordnen ist. Die genannten, nach Art. 2 lit. a) der Datenschutz-RL maßgeblichen Voraussetzungen für ein personenbezogenes Datum werden damit erfüllt (vgl. zu Cookies als personenbezogene Daten i. S. d. § 3 Abs. 1 BDSG a. F.: Dammann, in: Simitis, Bundesdatenschutzgesetz, 7. Auflage 2011, § 3 Rn. 65; vgl. auch Hoeren, in: Taeger/Pohle, Computerrechts-Handbuch, 36. EL Februar 2021, 144 Rn. 20).

105 (b) Durch die unter bb) beschriebenen Vorgänge werden personenbezogene Daten im Sinne des § 12 Abs. 1 und Abs. 2 TMG a. F. von Facebook erhoben und verwendet. Da das Telemediengesetz a. F. keine Legaldefinition dieser Begriffe enthält, ist auch insoweit auf die Begriffsbestimmungen des allgemeinen Datenschutzrechts, d. h. des § 3 BDSG a. F. zurückzugreifen. „Erheben“ meint gemäß § 3 Abs. 3 BDSG a. F. das Beschaffen von Daten über den Betroffenen. Der Begriff „Verwenden“ im Sinne von verarbeiten und nutzen (s.o. 3.a.aa.) ist im Sinne des Art. 2 lit. b) Datenschutz-RL weit zu verstehen. Art. 2 lit. b) Datenschutz-RL definiert „Verarbeiten“ als jeden, mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Speichern, die Organisation, die Aufbewahrung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Benutzung, die Weitergabe durch Übermittlung, Verbreitung oder jede andere Form der Bereitstellung, die Kombination oder die Verknüpfung sowie das Sperren, Löschen oder Vernichten.

106 In diesem Sinne erhebt Facebook durch Auslesen der IP-Adresse sowie der Daten aus dem c_user-Cookie personenbezogene Daten. Außerdem verwendet es personenbezogene Daten durch die Verknüpfung der Registrierungsdaten und der übrigen über ein Facebook-Mitglied vorhandenen Daten mit dem Fanpage-Aufruf zwecks personalisierter Darstellung der Fanpage. Soweit Facebook die Registrierungsdaten und die übrigen vorhandenen Daten zu einem Facebook-Mitglied mit dem Fanpage-Aufruf darüber hinaus verknüpft und gebraucht, um Insights-Statistiken zu erstellen sowie um den Aufruf der Fanpage in einem Profil zu speichern und zu Werbezwecken zu nutzen, liegt darin ebenfalls eine Verwendung personenbezogener Daten.

107 (2) Das Erheben der IP-Adresse und der Daten aus dem c_user-Cookie bei Aufruf der Fanpage der Klägerin unterfällt § 12 Abs. 1 TMG a.F. Das Tatbestandsmerkmal „zur Bereitstellung von Telemedien“ beschränkt den Anwendungsbereich des § 12 Abs. 1 TMG a. F. auf personenbezogene Daten, die für den Zweck des Angebots und der Nutzung eines Telemediums erhoben und verwendet werden (vgl. Bizer/Hornung, in: Roßnagel, Beck´scher Kommentar zum Recht der Telemediendienste, 1. Auflage 2013, § 12 TMG, Rn. 55). Das Erheben der IP-Adresse und der Daten aus dem c_user-Cookie dientedem Zweck, die Nutzung eines Telemediums, hier der Fanpage der Klägerin, zu ermöglichen. Beide Vorgänge sind technisch notwendige Voraussetzung für die personalisierte Darstellung des Seiteninhalts auf dem Endgerät des Facebook-Mitglieds (vgl. auch Ergebnisbericht der Arbeitsgruppe des AK I „Staatsrecht und Verwaltung“ zum Datenschutz in sozialen Netzwerken vom 4. April 2012, S. 3, 7 und 25, Bl. 219, 223 und 241 GA; Datenschutzrechtliche Bewertung der Reichweitenanalyse durch Facebook, 19. August 2011, S. 15, Bl. 128 GA; zur IP-Adresse auch Hullen/Roggenkamp in: Plath, DSGVO/BDSG, 3. Aufl. 2018, § 15 TMG, Rn.16).

108 Soweit Facebook außerdem die Registrierungsdaten eines Facebook-Mitglieds verwendet, ist zu beachten, dass diese bereits im Zuge des Registrierungsvorgangs, d. h. zwecks Abschluss des Nutzungsvertrages mit dem Facebook-Mitglied (vgl. dazu BVerwG, Beschluss vom 25. Februar 2016 – 1 C 28.14 –, Rn. 38, juris; EuGH, Urteil vom 6. Oktober 2015 – C-362/14 –, Rn. 28, juris) und damit zwecks Bereitstellung eines Telemediums i.S.d. § 12 Abs. 1 TMG a.F. erhoben worden waren. In der weitergehend beschriebenen Verwendung durch Verknüpfung der Registrierungsdaten ist vor diesem Hintergrund ein Zweckwechsel zu erkennen, sodass insoweit § 12 Abs. 2 TMG a. F. Anwendung findet. Gleiches gilt für die neben den Registrierungsdaten zu einem Facebook-Mitglied verwendeten Daten, die bereits zum Zwecke der Profilbildung und zu Werbezwecken und damit letztlich auch zwecks Bereitstellung eines Telemediums im Sinne des § 12 Abs. 1 TMG a. F. erhoben worden waren, weil sie zuvor der Finanzierung und Realisierung des Angebotes dienten.

109 (3) Von dem sich aus § 12 Abs. 1 und 2 TMG a. F. ergebenden Verbot der bei Besuch einer Fanpage im Netzwerk von Facebook angestoßenen Erhebung und Verwendung personenbezogener Daten durch Facebook sind im vorliegenden Fall die Erhebung der IP-Adresse und der Daten aus dem c_user-Cookies bei Aufruf der Fanpage sowie die Verwendung der Registrierungsdaten und der übrigen vorhandenen Daten zu einem Facebook-Mitglied in Form der Verknüpfung des Fanpage-Besuchs mit diesen Daten zwecks personalisierter Darstellung ausgenommen. Es greift insoweit ein gesetzlicher Erlaubnistatbestand. Im Übrigen bleibt es hingegen bei dem aus § 12 Abs. 1 und Abs. 2 TMG a. F. resultierenden Verbot.

110 § 12 Abs. 1 und Abs. 2 TMG a. F. enthält – vergleichbar einem präventiven Verbot mit Erlaubnisvorbehalt – das im Ausgangspunkt grundsätzlich geltende Verbot der Erhebung und Verwendung personenbezogener Daten (vgl. Bizer/Hornung, in: Roßnagel, Beck´scher Kommentar zum Recht der Telemediendienste, 1. Auflage 2013, § 12 Rn. 35; Hullen/Roggenkamp in: Plath, DSGVO/BDSG, 3. Aufl. 2018, § 12 TMG, Rn. 1, 19). Von diesem Verbot sind jedoch ausdrücklich Ausnahmen zugelassen, soweit das Telemediengesetz oder eine andere Rechtsvorschrift, die sich ausdrücklich auf Telemedien bezieht, es erlauben. Entsprechende Erlaubnistatbestände sind insbesondere in § 14 und § 15 TMG a. F. enthalten (vgl. Bizer/Hornung, in: Roßnagel, Beck´scher Kommentar zum Recht der Telemediendienste, 1. Auflage 2013, § 12 Rn. 56).

111 (a) Der Erlaubnistatbestand des § 14 Abs. 1 TMG a. F. deckt die beschriebenen Datenerhebungs- und –verwendungsvorgänge allerdings nicht ab. Danach darf der Diensteanbieter personenbezogene Daten eines Nutzers nur erheben und verwenden, soweit sie für die Begründung, inhaltliche Ausgestaltung oder Änderung eines Vertragsverhältnisses zwischen dem Diensteanbieter und dem Nutzer über die Nutzung von Telemedien erforderlich sind (Bestandsdaten).

112 Bestandsdaten sind gemäß § 14 Abs. 1 TMG a. F. die personenbezogenen Daten, die zur Begründung, inhaltlichen Ausgestaltung oder Änderung eines Vertragsverhältnisses zwischen dem Diensteanbieter und dem Nutzer über die Nutzung von Telemedien geeignet sind. Auf die „Erforderlichkeit“ kommt es an dieser Stelle nicht an; sie ist nicht Bestandteil der Legaldefinition, sondern Rechtmäßigkeitsvoraussetzung (Dix, in: Roßnagel, Beck´scher Kommentar zum Recht der Telemedien, 1. Auflage 2013, Rn. 21). Welche Daten konkret unter die von § 14 Abs. 1 TMG a. F. erfassten Bestandsdaten, die auch als Grund- oder Vertragsdaten bezeichnet werden, zu fassen sind, hat der Gesetzgeber offengelassen. Aufgrund der großen Vielfalt der Telemedienangebote ist dies im Einzelfall zu entscheiden. Typische Bestandsdaten sind beispielsweise Name, Anschrift, Telefonnummer und E-Mail-Adresse des Nutzers. IP-Adressen lassen sich hierunter nur dann fassen, wenn die Nutzung eines Telemediums vertraglich an eine bestimmte (statische) IP-Adresse gekoppelt wird (vgl. Hullen/Roggenkamp in: Plath, DSGVO/BDSG, 3. Aufl. 2018, § 14 TMG, Rn. 10 f.; Dix, in Roßnagel, Beck´scher Kommentar zum Recht der Telemedien, 1. Auflage 2013, Rn. 22).

113 (aa) Hiervon ausgehend handelt es sich bei den IP-Adressen und dem Inhalt des c_user-Cookies schon um keine Bestandsdaten, da nicht ersichtlich ist, dass der Abschluss oder die Durchführung des Vertrags mit einer bestimmten IP-Adresse gekoppelt wird. Gleiches gilt im Ergebnis für den c_user-Cookie, der erst nach Vertragsabschluss von Facebook gesetzt wird.

114 (bb) Bei den bei Registrierung abgefragten persönlichen Angaben der Mitglieder von Facebook dürfte es sich zwar sämtlichst um Bestandsdaten handeln, die zur Begründung des Vertragsverhältnisses erhoben worden waren, ihre hier relevante weitere Verwendung dient jedoch nicht mehr den Zwecken des § 14 Abs. 1 TMG a.F., sondern einem geänderten Zweck. Eine zweckändernde Verwendung ist darin zu sehen, dass Facebook die Registrierungsdaten mit dem Aufruf einer Fanpage verknüpft und zur Erstellung der Insights-Statistik verwendet bzw. die Verknüpfung in Profilen speichert und zu Werbezwecken nutzt. Diese Vorgänge stehen nicht mehr mit der Begründung, inhaltlichen Ausgestaltung oder Änderung des Vertragsverhältnisses in Verbindung.

115 (b) Mit Ausnahme der Verknüpfung und Verwendung der Registrierungsdaten mit dem Aufruf einer Fanpage zwecks Erstellung der Insights-Statistik sowie zwecks Profilbildung und Nutzung zu Werbezwecken kann Facebook sich hinsichtlich der beschriebenen Datenerhebungs- und -verwendungsvorgänge jedoch auf § 15 Abs. 1 Satz 1 TMG a. F. berufen. Danach ist die Erhebung und Verwendung von personenbezogenen Nutzungsdaten gestattet, soweit dies zur Ermöglichung der Inanspruchnahme des Dienstes oder zur Abrechnung erforderlich ist. Ob eine Erhebung oder Verwendung von Nutzungsdaten erforderlich ist, ist anhand des konkreten Einzelfalles und der einzelnen Nutzungshandlung zu beurteilen, wobei der gesamte Vorgang der Datenverwendung zu betrachten ist (vgl. Hullen/Roggenkamp in: Plath, DSGVO/BDSG, 3. Aufl. 2018, § 15 TMG, Rn. 15).

116 Nutzungsdaten sind nach der Legaldefinition des § 15 Abs. 1 Satz 1 TMG personenbezogene Daten, die zur Ermöglichung der Inanspruchnahme des Dienstes oder zur Abrechnung geeignet sind (wie bei § 14 Abs. 1 TMG a.F. rechnet der Senat die Erforderlichkeit nicht zur Definition). Die nicht abschließende Aufzählung in § 15 Abs. 1 Satz 2 TMG a. F. benennt als Nutzungsdatum beispielsweise Merkmale zur Identifikation des Nutzers, Angaben über Beginn und Ende sowie des Umfangs der jeweiligen Nutzung und Angaben über die vom Nutzer in Anspruch genommenen Telemedien.

117 (aa) Die IP-Adresse kann zur Identifikation des Nutzers dienen und ist damit als Nutzungsdatum im Sinne des § 15 Abs. 1 Satz 2 Nr. 1 TMG a. F. zu qualifizieren (vgl. Hullen/Roggenkamp in: Plath, DSGVO/BDSG, 3. Aufl. 2018, § 15 TMG, Rn. 7). Die Erhebung und Verwendung der IP-Adresse ist im Sinne des § 15 Abs. 1 Satz 1 TMG a. F. erforderlich, um die Inanspruchnahme des Telemediums, hier des Facebook-Netzwerks bzw. der Fanpage, zu ermöglichen. Sie ist technisch zwingende Voraussetzung für die Darstellung des Seiteninhalts auf dem Endgerät des Internetnutzers (vgl. Hullen/Roggenkamp in: Plath, DSGVO/BDSG, 3. Aufl. 2018, § 15 TMG, Rn.16; vgl. auch Ergebnisbericht der Arbeitsgruppe des AK I „Staatsrecht und Verwaltung“ zum Datenschutz in sozialen Netzwerken vom 4. April 2012, S. 7, Bl. 223 GA; Datenschutzrechtliche Bewertung der Reichweitenanalyse durch Facebook, 19. August 2011, S. 15, Bl. 128 GA).

118 (bb) Auch das Erheben und Verwenden der Daten aus dem c_user-Cookie, der die von Facebook einem bestimmten Mitglied zuordnungsbare User-ID und damit ein Nutzungsdatum im Sinne des § 15 Abs. 1 Satz 2 Nr. 1 TMG a. F. enthält, ist auf Grund von § 15 Abs. 1 Satz 1 TMG erlaubt. Diese Vorgänge sind für die Inanspruchnahme zentraler Elemente des Facebook-Netzwerkes notwendig. Sie ermöglichen den eingeloggten Facebook-Mitgliedern die personalisierte Nutzung der Fanpage. Über die Personalisierung erfährt das Facebook-Mitglied beispielsweise, welche seiner Facebook-Freunde die Fanpage empfohlen oder kommentiert haben, so dass insoweit auch ein Austausch ermöglicht wird (vgl. AK I „Staatsrecht und Verwaltung“ zum Datenschutz in sozialen Netzwerken vom 4. April 2012, S. 3, 25, Bl. 219, 241 GA). Der Senat geht davon aus, dass die Facebook-Mitglieder die personalisierte Darstellung von Fanpages im Facebook Netzwerk erwarten bzw. wünschen (vgl. AK I „Staatsrecht und Verwaltung“ zum Datenschutz in sozialen Netzwerken vom 4. April 2012, S. 25, Bl. 241 GA).

119 Nichts Anderes gilt insoweit bei einer an Art. 7 Datenschutz-RL oder Art. 5 Abs. 3 der Richtlinie 2002/58/EG des Europäischen Parlaments und des Rates vom 12. Juli 2002 über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre in der elektronischen Kommunikation (Abl. EU L 201 vom 31. Juli 2002, S. 37), zuletzt geändert durch die Richtlinie 2009/136/EG vom 25. November 2009 (Abl. EU L 337 vom 18. Dezember 2009, S. 11, im Folgenden ePrivacy-RL), orientierten unionsrechtskonformen Auslegung des § 15 Abs. 1 Satz 1 TMG a. F.. Dabei kann offenbleiben, ob eine solche Auslegung – insbesondere mit Blick auf Art. 5 Abs. 3 ePrivacy-RL – überhaupt zulässig ist und in welchem Verhältnis Art. 7 Datenschutz-RL und Art. 5 Abs. 3 ePrivacy-RL zu einander stehen. Denn sowohl Art. 7 lit. f Datenschutz-RL als auch Art. 5 Abs. 3 ePrivacy-RL lassen wie § 15 Abs. 1 Satz 1 TMG a. F. die Verarbeitung personenbezogener Daten zu, wenn der entsprechende Vorgang – wie hier – zwecks Bereitstellung des Dienstes notwendig ist.

120 Art. 7 lit. f Datenschutz-RL ist weiter gefasst als § 15 Abs. 1 Satz 1 TMG a. F., da er die Verarbeitung personenbezogener Daten nicht nur gestattet, wenn dies zur Inanspruchnahme der Dienste erforderlich ist, sondern sie auch dann zulässt, wenn dies zur Verwirklichung des berechtigten Interesses, das von dem für die Verarbeitung Verantwortlichen wahrgenommen wird, erforderlich ist (vgl. EuGH, Urteil vom 19. Oktober 2016 – C-582/14 –, juris, Rn. 64; vgl. BGH, Urteil vom 16. Mai 2017 – VI ZR 135/13 –, juris, Rn. 38 f.). Nach Art. 5 Abs. 3 Satz 1 ePrivacy-RL stellen die Mitgliedstaaten sicher, dass die Speicherung von Informationen oder der Zugriff auf Informationen, die bereits im Endgerät eines Teilnehmers oder Nutzers gespeichert sind, nur gestattet ist, wenn der betreffende Teilnehmer oder Nutzer auf der Grundlage von klaren und umfassenden Informationen, die er gemäß der Datenschutz-RL u. a. über die Zwecke der Verarbeitung erhält, seine Einwilligung gegeben hat. Nach Art. 5 Abs. 3 Satz 2 ePrivacy-RL ist die Einwilligung allerdings dann nicht notwendig, wenn der Vorgang unbedingt erforderlich ist, damit der Anbieter eines Dienstes der Informationsgesellschaft, der vom Teilnehmer oder Nutzer ausdrücklich gewünscht wurde, diesen Dienst zur Verfügung stellen kann. Diese Ausnahme entspricht im Wesentlichen § 15 Abs. 1 Satz 1 TMG a. F.

121 (cc) Für die Verknüpfung des Aufrufs der Fanpage mit den Registrierungsdaten sowie den übrigen vorhandenen Daten eines Facebook-Mitglieds zwecks personalisierter Darstellung der Fanpage kann sich Facebook ebenfalls auf § 15 Abs. 1 Satz 1 TMG a. F. berufen. Insoweit sind die Registrierungsdaten auch als Nutzungsdaten, d. h. als Daten, die der Identifikation dienen und deren Verwendung die Inanspruchnahme des Telemediums ermöglicht, anzusehen.

122 Es ist nach Auffassung des Senats grundsätzlich möglich, dass dasselbe Datum unterschiedlichen Zwecken dient, d. h. gleichzeitig Bestands- und Nutzungsdatum ist und es daher zu Überschneidungen von § 14 Abs. 1 Satz 1 und § 15 Abs. 1 Satz 1 TMG a. F. kommt (vgl. Dix, in Roßnagel, Beck´scher Kommentar zum Recht der Telemedien, 1. Auflage 2013, § 14 Rn. 26). In diesem Fall ist der Erlaubnistatbestand des § 15 Abs. 1 Satz 1 TMG a. F. neben dem des § 14 Abs. 1 TMG a. F. anzuwenden. Hierfür spricht eine Betrachtung der §§ 12 bis 15 TMG a. F.. Zum einen regelt das Gesetz den Fall, dass ein Datum sowohl Bestands- als auch Nutzungsdatum ist, nicht. Insbesondere beschränkt das Gesetz den Anwendungsbereich von § 15 TMG a. F. nicht auf Nutzungsdaten, die nicht zugleich Bestandsdaten sind. Ferner ergibt sich aus § 12 Abs. 2 TMG a. F., dass die zur Bereitstellung eines Telemediums erhobenen Daten auch zu anderen Zwecken verwendet werden können („soweit dieses Gesetz […] es erlaubt“). Eine Spezialvorschrift, die einen Zweckwechsel erlaubt, enthält das Telemediengesetz a. F. jedoch nicht. Insbesondere § 14 Abs. 1 TMG a. F. gestattet einen solchen nicht, sodass sich eine entsprechende Erlaubnis nur aus § 15 TMG a. F. ergeben kann. Hinzu kommt, dass das Unionsrecht – hier maßgeblich Art. 7 Datenschutz-RL – nicht zwischen Bestands- und Nutzungsdaten unterscheidet und damit unionsrechtlich auch die Verwendung von Bestandsdaten innerhalb des von Art. 7 Datenschutz-RL (vgl. heute Art. 6 DSGVO) vorgegebenen Rahmens erlaubt ist.

123 Wie die Übertragung des c_user-Cookies ist auch die mithilfe dieses Cookie erstellte Verknüpfung der Registrierungsdaten eines Facebook-Mitglieds mit dem Aufruf einer Fanpage im Sinne des § 15 Abs. 1 Satz 1 TMG a. F. erforderlich, um den eingeloggten Facebook-Mitgliedern die personalisierte Nutzung der Fanpage zu ermöglichen. Allein das Auslesen des c_user-Cookies führt noch nicht zur Personalisierung der Fanpage. Erst das Zusammenbringen des Fanpageaufrufs mit den hinterlegten Daten zu dem Facebook-Mitglied ermöglicht dies.

124 (dd) Soweit Facebook die Registrierungsdaten und die übrigen vorhandenen Daten zu einem Facebook-Mitglied mit dem Fanpage-Aufruf verknüpft und verwendet, um Insights-Statistiken zu erstellen sowie um den Aufruf der Fanpage in einem Profil zu speichern und zu Werbezwecken zu nutzen, greift §15 Abs. 1 Satz 1 TMG a. F. hingegen nicht. Diese Vorgänge dienen weder der Inanspruchnahme noch der generellen Funktionsfähigkeit (vgl. zu einer entsprechenden Auslegung des § 15 Abs. 1 Satz 1 TMG a. F. EuGH, Urteil vom 19. Oktober 2016 – C-582/14 –, juris, Rn. 64) der Fanpage oder des Facebook-Netzwerks.

125 (c) Die Verknüpfung der Registrierungsdaten und der übrigen vorhandenen Daten über ein Facebook-Mitglied zur Erstellung von Insights-Statistiken sowie die Speicherung dieser Verknüpfung in Profilen und zu Werbezwecken ist ferner nicht nach § 15 Abs. 3 Satz 1 TMG a. F. erlaubt. Nach § 15 Abs. 3 Satz 1 TMG a. F. darf der Diensteanbieter für Zwecke der Werbung, der Marktforschung oder zur bedarfsgerechten Gestaltung der Telemedien Nutzungsprofile bei Verwendung von Pseudonymen erstellen, sofern der Nutzer dem nicht widerspricht.

126 (aa) Soweit Facebook eine Verknüpfung von Seitenaufruf und Registrierungsdaten der Facebook-Mitglieder herstellt und speichert, dient dies zwar der Erstellung eines Nutzungsprofils zu Werbezwecken. Auf § 15 Abs. 3 Satz 1 TMG a. F. kann sich Facebook insoweit jedoch schon deshalb nicht berufen, weil die Nutzer aufgrund der hinterlegten Registrierungsdaten namentlich bekannt und die insoweit angelegten Profile nicht pseudonym sind bzw. jedenfalls mit dem Träger des Pseudonyms zusammengeführt werden können (vgl. § 15 Abs. 3 Satz 3 TMG a. F.).

127 (bb) Soweit Facebook die Registrierungsdaten und die übrigen Daten der Facebook-Mitglieder verwendet, um mit diesen die Insights-Statistik für die Fanpage der Klägerin zu erstellen, kommt eine Erlaubnis nach § 15 Abs. 3 Satz 1 TMG a. F. ebenfalls nicht in Betracht – und dies unabhängig von der vom Beklagten aufgeworfenen Frage nach einer einschränkenden unionsrechtskonformen Auslegung dieser Norm, die entgegen ihres Wortlautes die Einwilligung des Nutzers erfordern soll. Denn die insoweit beanstandeten Vorgänge sind schon nicht auf die Erstellung eines pseudonymen „Nutzungsprofils“ im Sinne des § 15 Abs. 3 Satz 1 TMG a. F. gerichtet.

128 Das Telemediengesetz definiert den Begriff „Nutzungsprofile“ nicht. Es ist aber davon auszugehen, dass „Nutzungsprofile“ dann vorliegen, wenn verschiedene einzelne Nutzungsdaten (z. B. IP-Adresse oder Zeitpunkt und Dauer einer bestimmten Dienstenutzung) zusammengeführt und zueinander in Bezug gesetzt werden, so dass sie vom Informationsgehalt her einem klassischen Persönlichkeitsprofil entsprechen (Tinnenfeld/Buchner, in Wolff/Brink, BeckOK Datenschutzrechtrecht, Grundlagen und bereichsspezifischer Datenschutz, Syst. I. Datenschutz in Medien und Telekommunikation, Rn. 88). Die so zusammengeführten Daten sind deshalb nur auf einen bestimmten Nutzer bezogen. Dies ergibt sich auch aus § 15 Abs. 3 Satz 1 TMG a. F., der die Zulässigkeit der Erstellung von Nutzungsprofilen davon abhängig macht, dass „der Nutzer“ dem nicht wiederspricht.

129 Die Facebook-Insights-Statistik ist demgegenüber kein aus der Zusammenführung verschiedener Nutzungsdaten gewonnenes Profil eines Nutzers, sondern eine Statistik über die Benutzung der Fanpage (vgl. Ergebnisbericht der Arbeitsgruppe des AK I „Staatsrecht und Verwaltung“ zum Datenschutz in sozialen Netzwerken vom 4. April 2012, S. 19, Bl. 235 GA). Wie die vorliegenden Beispiele dieser Statistiken (vgl. Bl. 247 GA) zeigen, sind in diesen beispielsweise die Anzahl der Seitenaufrufe oder die Nutzung einzelner Funktionalitäten der Fanpage wie der Kommentarfunktion enthalten. Die Auswertung bezieht sich nicht auf einen bestimmten Fanpage-Besucher, sondern beruht auf dem Verhalten der Gesamtheit aller die Fanpage besuchenden Facebook-Mitglieder innerhalb eines bestimmten Zeitraums. Schließlich erfahren die einzelnen Nutzungsprofile auch bei ihrer statistischen Weiterverwendung keine Pseudonymisierung; die Statistiken sind vielmehr aggregiert und anonymisiert.

130 (4) Soweit Facebook die Registrierungsdaten und die übrigen vorhandenen Daten zu einem Facebook-Mitglied mit dem Fanpage-Aufruf verknüpft und verwendet, um Insights-Statistiken zu erstellen sowie um den Aufruf der Fanpage in einem Profil zu speichern und zu Werbezwecken zu nutzen, liegt auch keine anderweitige Erlaubnis oder Ausnahme von dem in § 12 Abs. 1 und Abs. 2 TMG a. F. enthaltenen Verbot vor. Insbesondere ist eine Einwilligung im Sinne des §12 Abs. 1 und Abs. 2 TMG a. F. nicht gegeben.

131 Die an die Einwilligung zu stellenden Anforderungen richten sich nach § 12 Abs. 3 TMG a. F., § 4a BDSG a. F., § 13 Abs. 2 und Abs. 3 TMG a. F.. Gemäß § 4a Abs. 1 BDSG a. F. ist die Einwilligung nur wirksam, wenn sie auf der freien Entscheidung des Betroffenen beruht. Er ist auf den vorgesehenen Zweck der Erhebung, Verarbeitung oder Nutzung sowie, soweit nach den Umständen des Einzelfalles erforderlich oder auf Verlangen, auf die Folgen der Verweigerung der Einwilligung hinzuweisen. Die Einwilligung bedarf der Schriftform, soweit nicht wegen besonderer Umstände eine andere Form angemessen ist. Soll die Einwilligung zusammen mit anderen Erklärungen schriftlich erteilt werden, ist sie besonders hervorzuheben. Soweit besondere Arten personenbezogener Daten (§ 3 Abs. 9) erhoben, verarbeitet oder genutzt werden, muss sich die Einwilligung darüber hinaus ausdrücklich auf diese Daten beziehen, § 4a Abs. 3 BDSG a. F. Die Einwilligung kann gemäß § 13 Abs. 2 TMG a.F. elektronisch erklärt werden.

132 § 4a Abs. 1 BDSG ist wiederum, da das Bundesdatenschutzgesetz der Umsetzung der Datenschutz-RL dient (vgl. BT Drucks. 14/4329, S. 33), im Sinne des Art. 4 lit. h Datenschutz-RL auszulegen. Danach ist die „Einwilligung der betroffenen Person“ jede Willensbekundung, die ohne Zwang, für den konkreten Fall und in Kenntnis der Sachlage erfolgt und mit der die betroffene Person akzeptiert, dass personenbezogene Daten, die sie betreffen, verarbeitet werden.

133 Die Erteilung einer wirksamen Einwilligung setzt demnach jedenfalls voraus, dass der Betroffene zum Ausdruck bringt, in Kenntnis der Sachlage die Verwendung der ihn betreffenden personenbezogenen Daten zu akzeptieren. Dies entspricht dem Recht auf informationelle Selbstbestimmung aus Art. 2 Abs. 1 i. V. m. Art. 1 Abs. 1 GG, das die Befugnis des Einzelnen gewährleistet, grundsätzlich selbst über die Preisgabe und Verwendung seiner persönlichen Daten zu bestimmen (BVerfG, Urteil vom 15. Dezember 1983 – 1 BvR 209/83 –, juris, Rn. 149). Eine Entscheidung über den Umgang mit seinen Daten kann der Einzelne eigenverantwortlich nur treffen, wenn er über die in Rede stehenden Vorgänge informiert ist, d. h. wenn die vorhandenen Informationen ihn in die Lage versetzen, die Konsequenzen einer etwaigen von ihm erteilten Einwilligung leicht zu bestimmen (vgl. EuGH zur Einwilligung im Sinne des Art. 5 Abs. 3 ePrivacy-RL, Urteil vom 1. Oktober 2019 – C-673/17 –, juris Rn. 74). Er muss Anlass, Ziel und Folgen der Datenverarbeitung und damit die Tragweite seiner Entscheidung korrekt abschätzen können (BVerfG, Urteil vom 15. Dezember 1983 – 1 BvR 209/83 –, juris, Rn. 145 ff.; Simitis, in: Simitis, Bundesdatenschutzgesetz, 7. Auflage 2011, § 4a, Rn. 70).

134 Mit Blick auf die Verwendung der Registrierungsdaten sowie der übrigen vorhandenen Daten eines Facebook-Mitglieds zur Erstellung der Insights-Statistiken fehlt es jedoch an hinreichenden Informationen über die Datenverarbeitung. Facebook informiert seine Mitglieder über die bei Nutzung des Netzwerks ablaufenden Datenverarbeitungsvorgänge im hier maßgeblichen Zeitpunkt am 16. Dezember 2011 mittels der Datenschutz- bzw. Datenverwendungsrichtlinien; letztere nach Angaben der Beigeladenen mit Stand vom 23. September 2011.

135 In diesen Datenverwendungsrichtlinien sind keine hinreichend konkreten Informationen darüber enthalten, dass Facebook die Registrierungsdaten sowie andere Daten zu einem entsprechenden Mitglied zur Erstellung der Insights-Statistiken nutzt. Zwar weisen die Datenverwendungsrichtlinien in dem Abschnitt „Daten, die wir erhalten und ihre Verwendung“ darauf hin, dass Daten aus denjenigen Informationen, die Facebook über den Betroffenen hat, zusammengestellt werden und dass die gewonnenen Informationen im Rahmen der Dienstleistungen und Funktionen verwendet werden, die innerhalb des Facebook-Netzwerkes angeboten werden. Dass die vorhandenen Daten für die Erstellung von Statistiken für Fanpage-Betreiber verwendet werden, ergibt sich daraus jedoch nicht. Auch die Nutzungsbedingungen enthalten keine entsprechenden Informationen. Infolgedessen können Betroffene bei Registrierung auch nicht die Reichweite der Datenverarbeitung erfassen und in diese einwilligen.

136 Auch soweit Facebook den Fanpageaufruf mit den vorhandenen Daten zu seinem Mitglied verknüpft, diese Verknüpfung in einem Profil speichert und dann zu Werbezwecken nutzt, fehlt es an Informationen, die als Grundlage einer Einwilligung geeignet sind. Die Datenverwendungsrichtlinien 2011 verweisen lediglich darauf, dass Facebook jedes Mal, wenn das Mitglied mit Facebook interagiert, beispielsweise wenn eine Seite gesucht wird, Daten über das Mitglied erhält und dass die über ein Mitglied enthaltenen Daten zusammengestellt werden. Um welche Daten es sich dabei konkret handelt, d. h. ob der Seitenaufruf beispielsweise in einem Profil zu dem Mitglied gespeichert wird, ergibt sich daraus jedoch nicht. Ferner ist den Datenverwendungsrichtlinien nicht zu entnehmen, wie lange sowie mit welchen Folgen der Aufruf einer Fanpage durch ein Mitglied gespeichert wird.

137 Vor diesem Hintergrund kann offenbleiben, ob die Einwilligung im Sinne des § 12 Abs. 1 und 2 TMG a. F. – entsprechend den Ausführungen der Beigeladenen – auch eine konkludente Einwilligung (auch bezeichnet als „Opt-out-Einwilligung“) umfasst, die dann vorliegt, wenn ein Nutzer in voller Kenntnis einer Datenverarbeitung sowie einer Möglichkeit, dieser zu widersprechen, z. B. den Besuch einer Website im Internet fortsetzt, ohne von der Widerspruchsmöglichkeit Gebrauch zu machen. Denn selbst wenn dieser Auffassung zu folgen wäre, würde auch eine „Opt-out-Einwilligung“ die – hier mangels hinreichender Information nicht gegebene – Kenntnis des Betroffenen von den ablaufenden Datenverarbeitungsvorgängen voraussetzen.

138 dd) Es liegen ferner Verstöße gegen § 13 Abs. 1 Satz 1 TMG a. F. vor, da im Dezember 2011 nicht in einer § 13 Abs. 1 TMG a. F. genügenden Weise über die hier maßgeblichen und oben beschriebenen Datenerhebungs- und -verwendungsvorgänge informiert wird. Nach § 13 Abs. 1 Satz 1 TMG hat der Diensteanbieter den Nutzer zu Beginn des Nutzungsvorgangs über Art, Umfang und Zwecke der Erhebung und Verwendung personenbezogener Daten sowie über die Verarbeitung seiner Daten in allgemein verständlicher Form zu unterrichten, sofern eine solche Unterrichtung nicht bereits erfolgt ist. § 13 Abs. 1 Satz 1 TMG a. F. soll dem Nutzer einen umfassenden Überblick über die Datenerhebung und -verwendung ermöglichen. Die Unterrichtungspflicht soll für Transparenz sorgen und den Nutzer in die Lage versetzen, sein Recht auf informationelle Selbstbestimmung (vgl. BVerfG, Urteil vom 15. Dezember 1983 – 1 BvR 209/83 –, juris, Rn. 145 ff.) auszuüben und dessen Wahrung durch den Diensteanbieter kontrollieren zu können (vgl. Hullen/Roggenkamp in: Plath, DSGVO/BDSG, 3. Aufl. 2018, § 13 TMG, Rn. 4). Die Pflicht aus dem § 15 TMG a. F. vorstehenden § 13 Abs. 1 Satz 1 TMG a. F. trifft den Diensteanbieter auch unabhängig davon, ob die Datenerhebung oder -verwendung nach § 15 Abs. 1 Satz 1 TMG a. F. erforderlich und damit vom Verbot des § 12 Abs. 1 und Abs. 2 TMG a. F. ausgenommen ist.

139 Soweit § 13 Abs. 1 TMG a. F. auf den Umfang der Datenerhebung und -verwendung Bezug nimmt, fordert er insbesondere, über die Dauer der Speicherung sowie die Löschung des Personenbezugs oder der Daten selbst zu informieren. Zur Wahrnehmung seines aus Art. 2 Abs. 1 i. V. m. Art. 1 Abs. 1 GG resultierenden Rechts auf informationelle Selbstbestimmung (vgl. BVerfG, Urteil vom 15. Dezember 1983 – 1 BvR 209/83 –, juris, Rn. 145 ff.) muss der Nutzer abschätzen können, ob und welche seiner Daten über welchen Zeitraum vom Diensteanbieter gespeichert werden (vgl. Jandt/Schaar/Schulz, in: Roßnagel, Beck´scher Kommentar zum Recht der Telemediendienste, 1. Aufl. 2013, § 13 TMG, Rn. 35; vgl. heute Art. 13 Abs. 2 Nr. 1 DSGVO).

140 Entsprechende Angaben sind hinsichtlich der Erhebung der IP-Adresse und der Daten aus dem c_user-Cookie sowie der übrigen hier in Rede stehenden Datenverwendung in den Datenverwendungsrichtlinien 2011 nicht enthalten. Aus diesen ergibt sich zwar, dass Facebook die IP-Adresse, die Nutzerkennung (gemeint ist wohl die im c_user-Cookie enthaltene User-ID) und die URL der besuchten Website aus dem Facebook-Netzwerk erhält (vgl. Datenverwendungsrichtlinien 2011 S. 1, Teil I, „Sonstige Informationen, die wir über dich erhalten“). Aus diesen Angaben mag sich (noch) ableiten lassen, dass Facebook den Website-Besuch mit den Registrierungsdaten verknüpft („zusammenstellt“). Es ist jedoch in keiner Weise erkennbar, ob und wie lange diese Daten gespeichert werden. Was die „Zusammenstellung“ genau – insbesondere in zeitlicher Hinsicht – bedeutet, wird nicht erläutert (vgl. Datenverwendungsrichtlinien 2011 S. 1, Teil I, Überschrift: „Sonstige Informationen, die wir über dich erhalten“). Angaben zur Dauer der Speicherung sind lediglich insoweit enthalten, als darauf hingewiesen wird, dass Daten, die Facebook von Werbepartnern oder Kunden erhalten hat, 180 Tage lang aufbewahrt und danach mit den Daten anderer Nutzer auf eine Weise, durch die sie nicht mehr mit dem Facebook-Mitglied in Verbindung gebracht werden können, kombiniert werden (vgl. Datenverwendungsrichtlinien 2011 S. 1, Teil I, Überschrift: „Sonstige Informationen, die wir über dich erhalten“), dass auch nach Löschung eines Kontos manche Daten noch 90 Tage lang vorhanden sein können (vgl. Datenverwendungsrichtlinien 2011 S. 2, Teil I, Überschrift: „Löschung und Deaktivierung deines Kontos“), und dass Daten, die Facebook über eine Website mit einem Social Plug-in erhält, für einen Zeitraum von bis zu 90 Tagen gespeichert werden (vgl. Datenverwendungsrichtlinien 2011, S. 4, Teil III, „Über soziale Plug-ins“). Außerdem geben die Datenverwendungsrichtlinien 2011 Auskunft darüber, wie lange Anfragen bezüglich der Gewährung eines Zugriffs auf Daten gespeichert werden (vgl. Datenverwendungsrichtlinien 2011 S. 6, Teil VI, Überschrift: „Zugriffsanfragen“).

141 Da die Datenverwendungsrichtlinien 2011 – wie oben im Rahmen der Einwilligung bereits ausgeführt – nicht über die Funktion Facebook-Insights informieren, ist auch keine § 13 Abs. 1 Satz 1 TMG a. F. genügende Information über die Datenerhebung und -verwendung im Rahmen der Erstellung von Facebook-Insights vorhanden.

142 b) Die Klägerin kann auch als Adressatin einer auf § 38 Abs. 5 Satz 2 BDSG a. F. beruhenden Verfügung herangezogen werden. Adressat einer solchen ist regelmäßig die Person oder Stelle, die nach § 3 Abs. 7 BDSG a. F. für die Erhebung, Verarbeitung oder Nutzung personenbezogener Daten verantwortlich ist (BVerwG, Urteil vom 27. März 2019 – 6 C 2.18 –, Rn. 9, juris; Urteil des Senats vom 4. September 2014 – 4 LB 20/13 –, Rn. 88 ff., juris). Verantwortlich im Sinne des § 3 Abs. 7 BDSG a. F. ist jede Person oder Stelle, die personenbezogene Daten für sich selbst erhebt, verarbeitet oder nutzt oder dies durch andere im Auftrag vornehmen lässt. § 3 Abs. 7 BDSG a. F. ist durch Ziffer 4 lit. f des Gesetzes zur Änderung des Bundesdatenschutzgesetzes und anderer Gesetze vom 18. Mai 2001 (BGBl. I S. 904) in das Bundesdatenschutzgesetz a. F. aufgenommen worden und dient der Umsetzung von Art. 2 lit. d Satz 1 Datenschutz-RL in nationales Recht (vgl. BT Drucks. 14/4329, S. 33). Die Norm ist daher unionsrechtskonform im Sinne des Art. 2 lit. d Satz 1 Datenschutz-RL auszulegen.

143 Der Gerichtshof der Europäischen Union legt Art. 2 lit. d Datenschutz-RL dahingehend aus, dass der Begriff des „für die Verarbeitung Verantwortlichen“ den Betreiber einer bei einem sozialen Netzwerk unterhaltenen Fanpage umfasst (EuGH, Urteil vom 5. Juni 2018 – C-210/16 –, Rn. 44, juris). Damit hat er jedoch nicht rechtsverbindlich festgestellt, dass der Fanpagebetreiber für jeden Datenerhebungs- und Datenverarbeitungsvorgang des Betreibers des sozialen Netzwerks, der in einem ggf. nur entfernten Zusammenhang mit der Einrichtung einer Fanpage steht, verantwortlich ist. Vielmehr verlangt auch die im vorliegenden Verfahren vorgenommene Auslegung, die der Gerichtshof der Europäischen Union in der Entscheidung vom 29. Juli 2019 („Fashion-ID“, Rs. C-40/17, juris) fortgesetzt hat, den Grad, d. h. die Reichweite der Verantwortlichkeit in Abhängigkeit von den konkret ablaufenden Datenverarbeitungsvorgängen, zu beurteilen (vgl. EuGH, Urteil vom 5. Juni 2018 – C-210/16 –, Rn. 43, juris):

144 Nach Art. 2 lit. d Satz 1 Datenschutz-RL ist „für die Verarbeitung Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder jede andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Ziel des Art. 2 lit. d Satz 1 Datenschutz-RL ist es, durch eine weite Definition des Begriffs des „Verantwortlichen“ einen wirksamen und umfassenden Schutz der betroffenen Personen zu gewährleisten. Es bedarf insoweit nach der Rechtsprechung des Gerichtshofs der Europäischen Union auch einer weiten Auslegung von Art. 2 lit. d Datenschutz-RL (vgl. EuGH, Urteile vom 5. Juni 2018 – C-210/16 –, Rn. 28, juris, vom 29. Juli 2019 – C-40/17 –, Rn. 66, juris und vom 13. Mai 2014 – C-131/12 –, Rn. 34, juris).

145 Vor diesem Hintergrund lässt Art. 2 lit. d Datenschutz-RL eine gemeinsame Verantwortlichkeit verschiedener Akteure, hier der Klägerin und der Beigeladenen, zu. Der Begriff des „für die Verarbeitung Verantwortlichen“ bezieht sich ausdrücklich auf die Stelle, die „allein oder gemeinsam mit anderen“ über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Dies bedeutet, dass die Verantwortlichkeit in diesem Sinne nicht zwingend eine einzige Stelle, sondern mehrere an dieser Verarbeitung beteiligte Akteure betrifft (vgl. EuGH, Urteil vom 5. Juni 2018 – C-210/16 –, Rn. 29, juris; vgl. auch EuGH, Urteil vom 10. Juli 2018 – C-25/17 –, NJW 2019, 285 ff., Rn. 65 und vom 29. Juli 2019 – C-40/17 –, Rn. 67, juris), mithin eine gemeinsame Verantwortlichkeit der Klägerin und der Beigeladenen für die oben beschriebenen Datenverarbeitungsvorgänge bestehen kann.

146 In diesem Kontext muss – was der Gerichtshof der Europäischen Union im vorliegenden Verfahren ausdrücklich klargestellt hat – Beachtung finden, dass eine Verarbeitung personenbezogener Daten aus einem oder mehreren Vorgängen bestehen kann, von denen jeder eine der verschiedenen Phasen betrifft, die eine Verarbeitung personenbezogener Daten umfassen kann. Dementsprechend können gemeinsam für eine Datenverarbeitung verantwortliche Akteure in verschiedenen Phasen und in unterschiedlichem Ausmaß in die Datenverarbeitung einbezogen sein. Eine gemeinsame Verantwortlichkeit führt nicht zwingend auch zu einer gleichwertigen Verantwortlichkeit (so ausdrücklich EuGH, Urteile vom 5. Juni 2018 – C-210/16 –, Rn. 43, juris, vom 10. Juli 2018 – C-25/17 –, NJW 2019, 285 ff., Rn. 66 und vom 29. Juli 2019 – C-40/17 –, Rn. 70, 72, juris).

147 Dies bedeutet, dass eine Verantwortlichkeit der Klägerin im Sinne des Art. 2 lit. d Datenschutz-RL auch nach der Rechtsprechung des Gerichtshofs der Europäischen Union im vorliegenden Verfahren nur insoweit besteht, wie sie gemeinsam mit Facebook einen Beitrag zur Entscheidung über die Zwecke und Mittel der Verarbeitung personenbezogener Daten im Sinne des Unionsrechts leistet (vgl. ausdrücklich EuGH, Urteil vom 5. Juni 2018 – C-210/16 –, Rn. 31, juris; Urteil vom 29. Juli 2019 – C-40/17 –, Rn. 74, juris). Ohne dass der Gerichtshof der Europäischen Union dies im vorliegenden Verfahren ausdrücklich klargestellt hat, bedeutet dies gleichsam, dass die Klägerin für vor- oder nachgelagerte Vorgänge in der Verarbeitungskette, für die sie weder die Zwecke noch die Mittel (gemeinsam mit Facebook) festlegt, nicht als im Sinne von Art. 2 lit. d Datenschutz-RL verantwortlich angesehen werden kann (so allerdings klarstellend in einem nachfolgenden Verfahren EuGH, Urteil vom 29. Juli 2019 – C-40/17 –, Rn. 74, juris).

148 Dem steht die Revisionsentscheidung im vorliegenden Verfahren nicht entgegen. Die Aussage des Bundesverwaltungsgerichts, dass das Vorbringen der Klägerin hinsichtlich der Notwendigkeit einer isolierten Betrachtung der Verantwortlichkeit für nachgelagerte Verarbeitungsschritte mit der Rechtsprechung des Gerichtshofs der Europäischen Union im vorliegenden Verfahren nicht in Einklang zu bringen sei (BVerwG, Urteil vom 11. September 2019 – 6 C 15.18 –, Rn. 22, juris), versteht der Senat nicht dahingehend, dass es sich damit in Widerspruch zur Rechtsprechung des Gerichtshofs der Europäische Union setzen wollte. Vielmehr geht der Senat davon aus, dass das Bundesverwaltungsgericht mit dieser Aussage lediglich der Auffassung der Klägerin entgegentritt, dass aus einer nicht gleichwertigen Verantwortlichkeit von Klägerin und Beigeladener bzw. Facebook Inc. (heute Meta Platforms Inc.) folge, dass gegen die Beigeladene als in höherem Maße Verantwortliche vorzugehen sei und die Klägerin nicht als Verantwortliche in Anspruch genommen werden könne.

149 Gemessen an den beschriebenen, insbesondere unionsrechtlichen Vorgaben ist die Klägerin für die nach § 12 Abs. 1 und Abs. 2 TMG a. F. verbotene Verwendung der Registrierungsdaten und der übrigen vorhandenen Daten von im Facebook-Netzwerk registrierten und angemeldeten Personen zur Erstellung der auf die Fanpage der Klägerin bezogenen Insights-Statistik durch Facebook auch (mit)verantwortlich (aa). Hingegen kommt ihr keine Verantwortlichkeit für die Speicherung der Verknüpfung dieser Daten mit dem Fanpageaufruf zur Erstellung in Profilen und zu Werbezwecken zu (bb.).

150 aa) Einen hier maßgeblichen Beitrag zur Entscheidung über die Mittel der Verarbeitung personenbezogener Daten in Form der Registrierungsdaten sowie der übrigen Daten von Facebook-Mitgliedern leistet die Klägerin dadurch, dass sie mit der Einrichtung ihrer Fanpage Facebook die entsprechende Datenverarbeitung ermöglicht, die ohne diese Einrichtung nicht erfolgen würde (vgl. dazu EuGH, Urteil vom 5. Juni 2018 – C-210/16 –, Rn. 35, juris). Darüber hinaus liegt ein Beitrag der Klägerin zur Entscheidung über die Mittel der Datenverarbeitung in dem Umstand, dass sie über die Gestaltung ihrer Fanpage entsprechend ihrem Zielpublikum (mit) steuert, wessen Daten erhoben und verarbeitet werden. Bereits die Einrichtung einer Fanpage auf Facebook von Seiten ihres Betreibers impliziert eine Parametrierung u. a. entsprechend seinem Zielpublikum sowie den Zielen der Steuerung oder Förderung seiner Tätigkeiten, die sich auf die Verarbeitung personenbezogener Daten zum Zweck der Erstellung der aufgrund der Besuche der Fanpage erstellten Statistiken auswirkt (so EuGH, Urteil vom 5. Juni 2018 – C-210/16 –, Rn. 36, juris).

151 Was die Zwecke der hier relevanten Verwendung von personenbezogenen Daten betrifft, ist entscheidend, dass die Datenverarbeitung zum Zwecke der Erstellung von Insights-Statistiken der Klägerin im Ergebnis ermöglicht, Kenntnis über bestimmte Merkmale der Besucher zu erlangen, die ihre Fanpage schätzen oder die ihre Anwendungen nutzen, um ihnen relevantere Inhalte bereitstellen und Funktionen entwickeln zu können, die für sie von größerem Interesse sein könnten (EuGH, Urteil vom 5. Juni 2018 – C-210/16 –, Rn. 34, juris). Durch Einrichtung der Fanpage, die bei ausreichender Frequentierung zwingend zur Erstellung und Bereitstellung der Insights-Statistik führt, hat die Klägerin jedenfalls stillschweigend über den Zweck der insoweit maßgeblichen Datenverarbeitung mitentschieden.

152 Soweit der Gerichtshof der Europäischen Union darüber hinaus angenommen hat, dass Fanpage-Betreiber mit Hilfe von durch Facebook zur Verfügung gestellten Filtern die Kriterien festlegen können, nach denen diese Statistiken erstellt werden sollen, und sogar die Kategorien von Personen bezeichnen können, deren personenbezogene Daten von Facebook ausgewertet werden (EuGH, Urteil vom 5. Juni 2018 – C-210/16 –, Rn. 36 f., juris), ist er zwar von unzutreffenden Tatsachen ausgegangen. Dieser Irrtum hat jedoch im Ergebnis keine Auswirkungen auf den Fortgang oder das Ergebnis des vorliegenden Verfahrens. Denn eine Verantwortlichkeit der Klägerin lässt sich entsprechend der vorstehenden Ausführungen auch unabhängig von diesem Irrtum begründen. Es handelt sich bei der Annahme, die Klägerin könne mit Hilfe von Filtern diese Kriterien bestimmen, nur um ein weiteres, die Entscheidung jedoch nicht allein tragendes Begründungselement.

153 bb) Mit der Rechtsprechung des Gerichtshofs der Europäischen Union lässt sich hingegen keine Verantwortlichkeit der Klägerin für die Speicherung der Verknüpfung von Fanpage-Aufruf und der Daten eines Facebook-Mitglieds in Profilen und deren Nutzung zu Werbezwecken begründen. Es fehlt nach Auffassung des Senats insoweit jedenfalls an einer gemeinsamen Entscheidung über den Zweck der Datenverarbeitung. Diese Datenverarbeitung erfolgt nicht im Interesse der Klägerin und bietet für die Klägerin auch keinerlei Vorteile. Es fehlt daher an objektiven Anknüpfungspunkten für die Annahme einer wenigstens stillschweigenden Mitentscheidung der Klägerin über diese Zwecke der Datenverarbeitung.

154 c) Die Klägerin ist danach (mit)verantwortlich, sowohl für die Verwendung der Registrierungsdaten und der übrigen vorhandenen personenbezogenen Daten von im Facebook-Netzwerk registrierten und angemeldeten Personen zur Erstellung der auf ihre Fanpage bezogenen Insights-Statistiken durch Facebook, als auch für die Verletzung von Informationspflichten über die Erhebung und Verwendung personenbezogener Daten für diese Personengruppe. Die gefundenen datenschutzrechtlichen Verstöße sind nach Auffassung des Senats als schwerwiegend im Sinne des § 38 Abs. 5 Satz 2 BDSG a. F. zu qualifizieren. Von einem schwerwiegenden Verstoß in diesem Sinne ist insbesondere auszugehen, wenn dieser mit einer besonderen Gefährdung des Persönlichkeitsrechts verbunden ist, vgl. § 38 Abs. 5 Satz 2 BDSG a. F. Er kann aber auch dann anzunehmen sein, wenn den Verstößen aus anderen Gründen ein besonderes Gewicht zukommt, beispielsweise, weil eine Vielzahl von Erhebungs- und Verarbeitungsvorgängen oder eine große Anzahl von Personen betroffen ist.

155 Das sich aus Art. 2 Abs. 1 i. V. m. Art. 1 Abs. 1 GG ergebende allgemeine Persönlichkeitsrecht garantiert in seiner Ausprägung als Recht auf informationelle Selbstbestimmung das Recht des Einzelnen, selbst zu entscheiden, wann und innerhalb welcher Grenzen persönliche Lebenssachverhalte offenbart werden. Das Bundesverfassungsgericht hat in seinem „Volkszählungsurteil“ aus dem Jahre 1983 festgehalten, dass diese Befugnis unter den Bedingungen der automatischen Datenverarbeitung in besonderem Maße des Schutzes bedarf. Sie ist vor allem deshalb gefährdet, weil mit Hilfe der automatischen Datenverarbeitung Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren Person technisch gesehen unbegrenzt speicherbar und jederzeit ohne Rücksicht auf Entfernungen in Sekundenschnelle abrufbar sind. Sie können darüber hinaus mit anderen Datensammlungen zu einem teilweise oder weitgehend vollständigen Persönlichkeitsbild zusammengefügt werden, ohne dass der Betroffene dessen Richtigkeit und Verwendung zureichend kontrollieren kann. Individuelle Selbstbestimmung setzt aber – auch unter den Bedingungen moderner Informationsverarbeitungstechnologien – voraus, dass dem Einzelnen Entscheidungsfreiheit über vorzunehmende oder zu unterlassende Handlungen einschließlich der Möglichkeit gegeben ist, sich auch entsprechend dieser Entscheidung tatsächlich zu verhalten. Wer nicht mit hinreichender Sicherheit überschauen kann, welche ihn betreffende Informationen in bestimmten Bereichen seiner sozialen Umwelt bekannt sind, und wer das Wissen möglicher Kommunikationspartner nicht einigermaßen abzuschätzen vermag, kann in seiner Freiheit wesentlich gehemmt werden, aus eigener Selbstbestimmung zu planen oder zu entscheiden. Mit dem Recht auf informationelle Selbstbestimmung wären eine Gesellschaftsordnung und eine diese ermöglichende Rechtsordnung nicht vereinbar, in der Bürger nicht mehr wissen können, wer was wann und bei welcher Gelegenheit über sie weiß (BVerfG, Urteil vom 15. Dezember 1983 – 1 BvR 209/83 –, juris, Rn. 145 ff.).

156 Das allgemeine Persönlichkeitsrecht von im Facebook-Netzwerk angemeldeten Facebook-Mitgliedern ist vorliegend durch die Verwendung ihrer Registrierungsdaten und ihrer übrigen vorhandenen Daten zur Erstellung von Insights durch die gefundenen datenschutzrechtlichen Verstöße nicht nur besonders gefährdet, vielmehr hat sich die Gefährdung bereits in einer Verletzung des Rechts auf informationelle Selbstbestimmung niedergeschlagen. Es werden unmittelbar persönlichkeitsbildende Daten der Betroffenen, wie Geschlecht oder Herkunft, in Statistiken verarbeitet und Dritten zur Verfügung gestellt. Dies geschieht, ohne dass der Ablauf oder das Ergebnis der Datenverarbeitung für die Facebook-Mitglieder erkennbar wäre. Über die Verwendung ihrer Daten zur Erstellung von Insights-Statistiken sowie über die vorgeschalteten Vorgänge, die die entsprechende Verwendung ermöglichen (Erhebung der Daten aus dem c_user-Cookie, Verknüpfung von Fanpage-Aufruf mit dem Mitglied) liegen keine hinreichenden Informationen vor. Es ist für die Betroffenen in keiner Weise nachzuvollziehen, welche personenbezogenen Daten in welcher Form gegebenenfalls dritten Personen zur Verfügung gestellt werden. Damit wird den Betroffenen die von Art. 2 Abs. 1 i. V. m. Art. 1 Abs. 1 GG garantierte Entscheidungsfreiheit in weiten Teilen genommen.

157 Hinzu kommt, dass nicht nur einzelne Personen von den gefundenen Verstößen betroffen sind, sondern all diejenigen, die im Netzwerk von Facebook registriert und angemeldet sind und die Fanpage der Klägerin besuchen. Es werden insoweit nicht nur Daten Einzelner in rechtlich unzulässiger Weise erhoben und verarbeitet. Ferner hat der Beklagte in der mündlichen Verhandlung vor dem Senat unwidersprochen darauf hingewiesen, dass insoweit auch eine große Anzahl Jugendlicher betroffen sei. Auch vor diesem Hintergrund sind die gefundenen datenschutzrechtlichen Verstöße, für die die Klägerin (mit)verantwortlich ist, als schwerwiegend zu qualifizieren.

158 d) Da insoweit bereits schwerwiegende Verstöße gegen datenschutzrechtliche Vorschriften im Sinne des § 38 Abs. 5 Satz 2 BDSG a. F. vorliegen, bedurfte es keiner Befassung mehr mit Inhalt und Funktionsweise sowie der daran anknüpfenden rechtlichen Einordnung des datr-Cookies (aa) oder mit weiteren von dem Beklagten genannten Cookies (bb) sowie der Frage, ob und inwieweit eine Datenübertragung bei Einbindung von Social Plug-ins in Websites außerhalb des Facebook-Netzwerks mit einem Besuch der Fanpage der Klägerin verbunden ist (cc).

159 aa) Der Senat konnte auch nach Durchführung der mündlichen Verhandlung keine hinreichende Überzeugung bezüglich des konkreten Inhalts und der Funktionsweise des datr-Cookies gewinnen. Damit war auch eine rechtliche Bewertung der Zulässigkeit des Einsatzes des datr-Cookies nicht möglich.

160 Zwischen den Beteiligten ist zwar unstreitig, dass der datr-Cookie bei jedem Aufruf einer Facebook-Seite, d. h. auch bei Aufruf der Fanpage der Klägerin, gesetzt wird, zwei Jahre gültig bleibt und eine Identifikation des jeweiligen Endgeräts, des verwendeten Betriebssystems und des verwendeten Internetbrowsers erlaubt. Er enthält eine ID, die nachfolgend bei jeder Kommunikation innerhalb seines Gültigkeitszeitraums mit Facebook gesendet wird (vgl. Datenschutzrechtliche Bewertung der Reichweitenanalyse durch Facebook, 11. August 2011, S.7, Bl. 124 GA). Der datr-Cookie kann durch entsprechende Browsereinstellungen blockiert und gelöscht werden. Unklar geblieben ist allerdings, welche Funktion dieser Cookie hat. Nach Angaben der Beigeladenen spielt der datr-Cookie eine zentrale Rolle beim Schutz des sozialen Netzwerks und dient nicht dem Zweck der Verbreitung zielgerichteter Werbung. Der datr-Cookie werde nicht zur Bildung von Profilen über Facebook-Mitglieder oder Nicht-Facebook-Mitglieder genutzt. Außerdem hat die Beigeladene in der mündlichen Verhandlung angegeben, die Informationen aus dem datr-Cookie nicht mit anderen Informationen wie beispielsweise IP-Adressen zu kombinieren. Dieses Vorbingen hat der Beklagte zwar mit plausiblen Argumenten in Zweifel gezogen und wiederholt ausgeführt, dass die Beigeladene keine Gründe habe benennen können, die die zweijährige Gültigkeit dieses Cookies erklärten. Es sei nicht plausibel, dass ein Cookie mit einer solchen Gültigkeit nicht der Sammlung von Informationen über Internetnutzer diene. Vielmehr müsse angenommen werden, dass Facebook über den datr-Cookie Informationen über Facebook-Mitglieder und Nicht-Mitglieder sammle und zusammenführe und damit der Bildung von Nutzerprofilen diene, doch konnte der Senat die insoweit verbleibenden Unklarheiten auch in der mündlichen Verhandlung nicht hinreichend aufklären. Da die rechtliche Zulässigkeit des Einsatzes des datr-Cookies aufgrund der vorstehenden Gründe für das vorliegende Verfahren nicht entscheidungserheblich ist, durfte der Senat von einer weiteren Aufklärung absehen (vgl. § 244 Abs. 3 Satz 2 Nr. 2 StPO analog).

161 bb) Gleiches gilt hinsichtlich der Funktionsweise und des Zwecks der bei Facebook-Mitgliedern gesetzten Cookies sct, xs und fr sowie der bei jedem Fanpage-Besucher gesetzten Cookies lsd, reg_fb_gate und reg_fb_ref. Bereits der Beklagte hat sich zum Einsatz dieser Cookies nicht substantiiert verhalten.

162 cc) Vor diesem Hintergrund ist auch eine rechtliche Bewertung der Datenübertragung bei Einsatz von Social Plug-ins auf Websites außerhalb des Facebook-Netzwerks nicht von Bedeutung. Zwar übermittelt der Browser des Internetnutzers dem Server von Facebook bei Besuch einer Website, in die ein Social Plug-in eingebunden ist, dieselben Informationen wie auch beim direkten Aufruf einer Seite aus dem Facebook-Netzwerk, d. h. die IP-Adresse des Rechners, die Adresse der Website, sowie den Inhalt der von Facebook gesetzten Cookies (z. B. den bei Aufruf einer Fanpage gesetzten datr-Cookie; vgl. Ergebnisbericht der Arbeitsgruppe des AK I „Staatsrecht und Verwaltung“ zum Datenschutz in sozialen Netzwerken vom 4. April 2012, S. 6 f., Bl. 222 f. GA; Datenschutzrechtliche Bewertung der Reichweitenanalyse durch Facebook, 11. August 2011, S. 7 f., Bl. 124 GA). Hinsichtlich der Übermittlung des Inhalts der Cookies datr, lsd, reg_fb_gate und reg_fb_ref schlagen sich die unter 3. d) aa) und bb) beschriebenen tatsächlichen Unklarheiten jedoch auf die rechtliche Bewertung des Einsatzes von Social Plug-ins durch. Mangels Kenntnis des genauen Inhalts dieser Cookieslässt sich die rechtliche Zulässigkeit der Übertragung ihres Inhalts bei Besuch einer Website, in die ein Social Plug-in eingebunden ist, nicht bewerten. Sie ist aus den vorstehenden Gründen auch hier nicht entscheidungserheblich.

163 Ergänzend ist darauf hinzuweisen, dass, soweit aufgrund des Einsatzes von Social Plug-ins der Inhalt des c_user Cookies sowie der Cookies sct, xs und fr und die IP-Adresse übertragen wird, keine Verbindung zum Betrieb einer Fanpage durch die Klägerin besteht. Diese Cookies werden nicht bei Besuch einer Fanpage, sondern beim Anmelden im Facebook-Netzwerk gesetzt. Ihre Übertragung an Facebook geschieht damit wie auch die Übertragung der IP-Adresse vollkommen unabhängig davon, ob zuvor eine Fanpage besucht wurde.

164 e) Der materiellen Rechtmäßigkeit der streitgegenständlichen Verfügung steht auch nicht die in § 38 Abs. 5 Satz 1 und Satz 2 BDSG a. F. vorgegebenen „Stufenfolge“ entgegen. Es wird insoweit auf die Revisionsentscheidung des Bundesverwaltungsgerichts im vorliegenden Verfahren verwiesen (BVerwG, Urteil vom 11. September 2019 – 6 C 15.18 –, Rn. 18 f., juris).

165 4. Der Senat vermag die Ausübung des Ermessens im Rahmen des § 38 Abs. 5 Satz 2 BDSG a. F. durch den Beklagten nicht zu beanstanden. Es gilt zu berücksichtigen, dass das Bundesverwaltungsgericht in der zurückverweisenden Revisionsentscheidung bereits entschieden hat, dass bei Vorliegen einer mit schwerwiegenden Mängeln behafteten datenschutzrechtswidrigen Erhebung und Verarbeitung von Nutzerdaten die Ausübung des Ermessens im Rahmen des § 38 Abs. 5 BDSG a. F. durch den Beklagten nicht zu beanstanden ist (BVerwG, Urteil vom 11. September 2019 – 6 C 15.18 –, Rn. 28 bis 33, juris). Hieran ist der Senat gemäß § 144 Abs. 6 VwGO, wonach das Gericht, an das die Sache zur anderweitigen Verhandlung und Entscheidung zurückverwiesen ist, seiner Entscheidung die rechtliche Beurteilung des Revisionsgerichts zugrunde zu legen hat, gebunden.

166 Die Bindungswirkung des § 144 Abs. 6 VwGO umfasst die für die Aufhebungsentscheidung kausal ausschlaggebenden Gründe. Das sind zum einen die Gründe, die die Verletzung von Bundesrecht dartun und die Aufhebung des Urteils unmittelbar herbeiführen, zum anderen aber auch die Ausführungen, die eine Bestätigung des Berufungsurteils nach § 144 Abs. 4 VwGO ausschließen. Das Gericht, an das die Sache zurückverwiesen wird, muss seiner Entscheidung daher auch die rechtlichen Erwägungen zugrunde legen, wegen derer das Bundesverwaltungsgericht die anderweitige Ergebnisrichtigkeit des angefochtenen Urteils nach § 144 Abs. 4 VwGO verneint hat (BVerwG, Beschluss vom 29. April 2019 – 2 B 25.18 –, Rn. 9, 13, juris m. w. N.; Neumann/Korbmacher, Verwaltungsgerichtsordnung, 5. Aufl. 2018, § 144 Rn. 68). Dazu zählen im vorliegenden Fall auch die bereits erfolgten Erwägungen zum Ermessen.

167 Der Bindungswirkung steht nicht entgegen, dass das Bundesverwaltungsgericht die Ermessensprüfung vorgenommen hat, ohne dass feststand, in welchen tatsächlichen Vorgängen ein schwerwiegender Verstoß gegen datenschutzrechtliche Vorschriften lag und dass der Senat diese Frage erstmals im vorliegenden Verfahren geklärt hat. Zwar besteht die Bindung nach § 144 Abs. 6 VwGO nur auf der Grundlage des vom Tatsachengericht im ersten Rechtsgang festgestellten Sachverhalts, der sich durch neue Tatsachenermittlungen und weitere Beweisaufnahmen im zweiten Rechtsgang ändern kann. Bei einer nachträglichen entscheidungserheblichen Änderung der Sach- und Rechtslage entfällt sie mithin (BVerwG, Beschluss vom 29. April 2019 – 2 B 25.18 –, Rn. 10, juris m. w. N.). Das Bundesverwaltungsgericht hat jedoch seine Ausführungen zur Ermessensausübung durch den Beklagten vorliegend nicht auf eine bestimmte Tatsachenlage, die sich im Anschluss an die zurückverweisende Entscheidung geändert hat, gestützt. Vielmehr knüpfen die Ausführungen zur Ermessensausübung an das Vorliegen einer mit schwerwiegenden Mängeln behafteten datenschutzrechtlichen Erhebung oder Verarbeitung von Nutzerdaten an – unabhängig davon, in welchen tatsächlichen Vorgängen diese genau begründet sind. Das Bundesverwaltungsgericht ist der Auffassung, dass bei Vorliegen eines jedweden schwerwiegenden datenschutzrechtlichen Mangels die Ermessensausübung des Beklagten nicht zu beanstanden ist. Hierüber kann der Senat sich nicht hinwegsetzen. Es wird daher an dieser Stelle auf die Begründung der Entscheidung des Bundesverwaltungsgerichts verwiesen (BVerwG, Urteil vom 11. September 2019 – 6 C 15.18 –, Rn. 28 bis 34, juris).

168 II. Die Androhung eines Zwangsgeldes in Höhe von 5.000,00 Euro ist rechtlich nicht zu beanstanden. Sie findet ihre Rechtsgrundlage in den § 236, § 235 Nr. 1, § 237, § 228 LVwG und ist formell und materiell rechtmäßig. Auch Ermessensfehler des Beklagten sind insoweit nicht ersichtlich.

169 C. Die Kostenentscheidung ergibt sich aus § 154 Abs. 1 und Abs. 3 VwGO. Es entspricht hier der Billigkeit, die Beigeladene an der Kostenlast zu beteiligen, da sie in allen Instanzen Anträge gestellt hat, § 154 Abs. 3 VwGO.

170 Die Entscheidung über die vorläufige Vollstreckbarkeit folgt aus § 167 Abs. 2 VwGO i. V. m. § 708 Nr. 10, § 711 ZPO.

171 Die Revision wird nicht zugelassen. Die Voraussetzungen des § 132 Abs. 2 VwGO liegen nicht vor.

Permalink

• Diesen Link können Sie kopieren und verwenden, wenn Sie genau dieses Dokument verlinken möchten: https://www.gesetze-rechtsprechung.sh.juris.de/perma?d=NJRE001490265