Das Verwaltungsgericht (VG) Schleswig-Holstein hat in einem Beschluss festgelegt, dass deutsches Datenschutzrecht nicht auf die Erhebung und Verarbeitung von persönlichen Daten angewandt werden kann, wenn diese Daten in einem anderen Land der Europäischen Union gesammelt und verarbeitet werden. Derartige Anordnungen oder Beschlüsse sind unwirksam und rechtswidrig.
Verhandlungsgegenstand waren zwei Verfahren. Dabei ging es um die aufschiebende Wirkung von Widersprüchen gegen zwei Bescheide des Unabhängigen Landeszentrums für Datenschutz (ULD) in Schleswig-Holstein. Im Mittelpunkt der Verhandlung stand das soziale Netzwerk Facebook. Bei der Registrierung wird von den Benutzern verlangt, dass sie ihre richtigen Personalien angeben. Die Angaben über Vor- und Nachname, E-Mail-Adresse, Geschlecht und Geburtsdatum müssen echt sein und den Tatsachen entsprechen. Missachtet ein Benutzer diese Regeln und gibt nicht seine korrekten Daten an, so sperrt Facebook das Konto. Die Betreiber heben eine solche Sperrung nur dann wieder auf, wenn ihnen die Kopie eines gültigen amtlichen Lichtbildausweis vorgelegt wird.
Gegen diese Praxis hatte das ULD zwei Beschlüsse gegen Facebook USA und die europäische Niederlassung Facebook Irland erlassen. Die Behörde hatte sich auf das Bundesdatenschutzgesetz und das Telemediengesetz berufen. Danach wurde angeordnet, dass Facebook seinen Nutzern die Wahlfreiheit lassen sollte, ob sie nun ihre echten Namen angeben oder aber ein Pseudonym benutzen wollen. Facebook wurde durch die Bescheide aufgefordert, aus solchen Gründen gesperrte Daten sofort wieder freizugeben. Sollte das nicht geschehen, so wurde ein Bußgeld von 20.000 Euro fällig. Facebook hatte gegen diese Bescheide Einspruch eingelegt. Weiter sollte die aufschiebende Wirkung wiederhergestellt werden.
Das Verwaltungsgericht entschied für die Belange von Facebook. Nach Ansicht des Gerichtes war die Anordnung des ULD rechtswidrig, nach der die fraglichen Benutzerkonten entsperrt werden sollten. Das ULD hatte sich auf deutsches Datenschutzrecht bezogen, doch das war zu Unrecht geschehen, so die Richter. Dieses Recht kann keinesfalls auf die vorliegenden Fälle angewandt werden. Die persönlichen Daten von Facebook-Nutzern wurden in einem anderen Mitgliedsland der EU, nämlich in Irland erhoben und verarbeitet. In diesem Fall ist deutsches Recht nach der Europäischen Datenschutzrichtlinie nicht anwendbar.
Facebook Irland kann durchaus als Niederlassung von Facebook angesehen werden. Daher ist einzig und allein das irische Datenschutzrecht gültig. Die Facebook Germany GmbH beschäftigt sich fast ausschließlich mit dem Anzeigengeschäft und mit Marketing, ist also keine Filiale im engeren Sinn. Deshalb erteilten die Richter der geforderten Entsperrung als auch der Androhung eines Zwangsgeldes eine Absage.
Damit ist der vorläufige Rechtsschutz wiederhergestellt. Das ULD kann weder die Entsperrung der Facebook-Konten erzwingen noch ein Bußgeld einfordern. Der Schutz gegen die Zwangsmaßnahmen ist nur vorläufig. Allerdings hat das Gericht auch geprüft, ob ein direktes Verfahren gegen die Forderungen des ULD erfolgreich sein könnte. Wenn deutsches Recht nicht anwendbar ist, so sind die Bescheide des ULD ohne rechtliche Grundlage. Erhebt Facebook also eine Anfechtungsklage gegen diese Bescheide, so sind die Erfolgsaussichten recht positiv.
ULD-Leiter Thilo Weichert hält die Beschlüsse des Verwaltungsgerichtes für problematisch. Die Folge wäre, dass die geplante „One-Stop-Shop-Regelung“, also die Bündelung aller notwendigen Maßnahmen an einem Ort, IT-Unternehmen nicht relevant wäre. Es reicht dann aus, einen Konzern nach dem organisatorischen Vorbild von Facebook aufzubauen. In solchen und ähnlichen Fällen wird für eine Niederlassung die Zuständigkeit erklärt, die sich in einem EU-Land mit geringem Datenschutz befindet. „Dies war nicht die Regelungsabsicht der Europäischen Union“, so Weichert.
VG Schleswig, Beschluss vom 14.02.2013, Az. 8 B 60/12 und 8 B 61/12