Wer den »Gefällt mir«-Buttons auf jeder Seite einbaut, übermittelt die komplette Statistik der eigenen Website an Facebook, ohne dass man Einsicht in die gesammelten Daten hat oder weiß, was damit geschieht. Man schenkt Facebook die Nutzerdaten. Hierzu gehören beispielsweise:
Zahl der Seitenabrufe (Pageimpressions)
Zahl der Besucher (Visits)
Besuchsverlauf pro Besucher
Regionale Herkunft nach Land, Stadt oder Landkreis
IP-Nummern der Besucher
Browserversion und Betriebssystem
Herkunft der Besucher (Referrer), wenn sie einem Link gefolgt sind
Bildschirmauflösung
Installierte Plugins wie Flash oder Adobe Reader

IP-Nummern, die dem Benutzer bei der Verbindung ins Internet vom Provider eindeutig zugeteilt werden, gelten nach Meinung von Datenschützern als »personenbezogene Daten«.

Daher ist der Einsatz von Google-Analytics nach deutschem Datenschutzrecht nicht zulässig, da der Nutzer vor dem Besuch der Website der Speicherung zustimmen müsste, was in der Praxis nicht sinnvoll realisierbar ist.

Da sich mit den Facebook-Codeschnipseln exakt die gleichen Daten erheben lassen, dürfte auch deren Einsatz in Deutschland widerrechtlich sein. Experten wie Rechtsanwalt Dr. Sebastian Kraska befürchten im Extremfall sogar Bußgeldzahlungen von Website-Betreibern (siehe dazu Nachtrag III). Doch wo kein Kläger …

In jedem Fall muss bei Verwendung des Like-Buttons von Facebook die Datenschutzerklärung nach § 13 Abs. 1 TMG der Webseiten-Betreiber angepasst werden.

Inhaltlich muss erklärt werden, dass der Webseiten-Betreiber Facebook den Datenaustausch ermöglicht. Auch wenn der Nutzer den Facebook-Button erkennt, so mag diesem nicht klar sein, dass ein Datenaustausch tatsächlich stattfindet. Insbesondere mag der Einzelne, wenn er die Gefahr erkennt, glauben, dass eine Verknüpfung nur stattfinden kann, wenn er den Like-Button auch anklickt. Diesem ist aber nicht so. Die Verknüpfung findet bereits durch den von Facebook gesetzten Code in die Webseite statt.

Gemäß § 13 TMG muss damit über diese gesamten Umstände hingewiesen werden. Die Datenschutzerklärung muss in verständlicher Form gestaltet werden, sonst drohen Bußgelder nach § 16 TMG. Dieses Bußgeld droht jedem Webseiten-Betreiber, der den Like-Button von Facebook ohne Hinweis in seiner Datenschutzerklärung angebracht hat. Der Webseiten-Betreiber ist insoweit verantwortliche Stelle, auf den die Datenverarbeitung zurückzuführen ist.

Problem: Der Button sammelt auch Daten von Usern, die ihn nicht klicken, also von jedem!

Die Frage, die wir (gemeinsam mit der Freien und Hansestadt Hamburg) zu bewerten hatten: Wie wichtig ist es uns, definitiv zu wissen, was Facebook mit den per Like-Button gesammelten Daten macht? Bedingt durch die Art und Weise der Realisierung des Buttons konnten auch Daten von nicht bei Face­book angemeldeten Usern gesammelt werden. Eine Art zweites Web-Controlling würde bei Facebook entstehen: Jeder Schritt aller User bei hamburg.de könnte detailliert aufgezeichnet werden. Bedingt durch die breite Streuung des Buttons sogar Schritte außerhalb von hamburg.de mit dem Sur­fverhalten bei hamburg.de verknüpft werden. Bei unserem Web-Controlling Tool Sitestat legen wir größten Wert auf eine strenge Beachtung der Gesetzes­lage (z.B. Anonymisieren wir die IP-Adressen vor der Verarbeitung so, dass kein Rückbezug auf konkrete Surfer möglich wird). Öffneten wir per Facebook Like-Button nun diese strenge Maßgabe für einen anderen Anbieter, ohne wirklich Kontrolle bzgl. der erfassten Daten zu haben?

Von Seiten Facebook existiert leider keine definitive, juristisch belastbare Aus­sage bzgl. der Sammlung oder besser: der Nicht-Sammlung dieser Daten. Das Unternehmen weist lediglich darauf hin, dass eine Verarbeitung nicht stat­tfindet und die gesammelten Daten nach drei Monaten gelöscht würden. Wieso nach drei Monaten und nicht drei Tagen oder Minuten? Wieso werden die Daten überhaupt erfasst, wenn keine Verarbeitung stattfindet?