Fashion ID ist ein Onlinehändler für Mode-Artikel, auf dessen Webseite ein Plugin von Facebook („Gefällt mir“-Button) eingebunden ist. Besucht ein Nutzer diese Webseite, so werden Informationen über die IP Adresse dieses Nutzers und der Browser-String an Facebook übermittelt, unabhängig davon, ob der Nutzer den „Gefällt mir“-Button anklickt oder ein Facebook-Konto hat. Auch Cookies werden von Facebook auf dem Gerät des Nutzers installiert. Dagegen hatte ein deutscher Verbraucherschutzverband Unterlassungsklage erhoben. Das Oberlandesgericht Düsseldorf hatte ein Vorabentscheidungsersuchen an den EuGH gerichtet.
Der Generalanwalt schlägt dem EuGH in seinen Schlussanträgen vom 19. Dezember 2018 im Wesentlichen vor, dass jener, der ein von einem Dritten bereitgestelltes Plugin in seine Webseite eingebunden hat (das die Erhebung und Übermittlung personenbezogener Nutzerdaten veranlasst), als ein für die Verarbeitung Verantwortlicher im Sinne von Art. 2 lit. d der Richtlinie 95/46 anzusehen sei. Die (gemeinsame) Verantwortlichkeit sei jedoch auf jene Verarbeitungsvorgänge beschränkt, für die er tatsächlich einen Beitrag zur Entscheidung über die Mittel und Zwecke der Verarbeitung der personenbezogenen Daten leiste. Auch in der Haftungsfrage äußert sich der Generalanwalt dahingehend einschränkend, dass die Haftung des Beklagten auf die Phase der Datenverarbeitung beschränkt sein müsse, an der er tatsächlich beteiligt sei, und sie nicht auf etwaige nachfolgende Phasen der Datenverarbeitung erstreckt werden dürfe, wenn diese außerhalb der Einflusssphäre und uU auch ohne Kenntnis der Beklagten erfolgt seien.
Weiters vertritt der Generalanwalt die Meinung, dass die nach Art. 7 lit. a der Richtlinie 95/46 einzuholende Einwilligung der betroffenen Person gegenüber dem Webseiten-Betreiber zu erklären sei, der die Drittinhalte in seine Webseite eingebunden hat. Die Einwilligung der betroffenen Person und die Informationen im Sinne von Art. 10 müssten bereitgestellt werden, bevor die Erhebung und die Übermittlung der Daten erfolgt sei.
Interessant ist, dass der Generalanwalt in diesem Fall eine gemeinsamen Verarbeitung auch dann als gegeben erachtet, wenn keine Parametrierung durch den
Webseiten-Betreiber erfolgt (wie dies im Verfahren zum Betreiber einer Facebook – Fanpage (C-216/16) der Fall war), sondern die Einbindung eines Plug-In ausreichend erscheint.