In einem Eilverfahren setzte sich der Verwaltungsgerichtshof (VGH) Bayern mit der Anwendung des Marketingtools Facebook Custom Audiences auseinander. In ihrem Beschluss vom 26. September 2018 schränkten die Richter die Nutzung von FCA deutlich ein (Az.: 5 CS 18.1157).
Durch Facebook Custom Audiences können Kunden zielgerichtet mit Werbung versorgt werden. Hat das Unternehmen einen eigenen Facebook-Account, so kann es dort seine Kundendaten hochladen. Mittels der sog. kryptographischen Hash-Funktion SHA-256 (Umwandlung in eine feste Zeichenkette) wird aus jedem hochgeladenen Kundendatum ein Hash-Wert gebildet. Dieser Wert wird wiederrum mit denen von registrierten Facebook-Nutzern abgeglichen. Stimmen die Hash-Werte überein, erhalten die jeweiligen Nutzer zielgerichtete Werbung von jenem Unternehmen, das die FCA-Funktion nutzt. Um diese Genauigkeit noch zu steigern, reichert Facebook die Daten „gematchter“ Nutzer noch mit Informationen (IP-Adressen, Interaktion mit FCA nutzenden Unternehmen, Facebook-Profil des Nutzers, etc. pp.) aus anderen Quellen an.
Der Bayerische Verwaltungsgerichtshof beschloss nun, dass
- Facebook gegenüber dem Unternehmen, das FCA einsetzt, kein Auftragsverarbeiter, sondern Dritter ist,
- der Einsatz von FCA der vorherigen Einwilligung durch den betroffenen Nutzer bedarf und
- auch wenn das Unternehmen ein berechtigtes Interesse (altes Recht: § 28 Abs. 3 S. 2 Nr. 1 BDSG a. F., neues Recht: Art. 6 Abs. 1 S. 1 lit. f DSGVO) an zielgerichteter Werbung hat, überwiegt in diesem Fall das Interesse des Betroffenen, der nicht damit rechnen muss, dass das Unternehmen seine E-Mail-Adresse an Facebook weitergibt.
Zur Begründung, dass keine Auftragsverarbeitung durch Facebook vorliege, führten die Richter an, dass der Social-Media-Konzern selbst festlegen kann, nach welchen Kriterien der Facebook-Nutzer beworben wird. Dies spricht gegen die Weisungsgebundenheit, die einen Auftragsverarbeiter stets auszeichnet.
