Facebook Switzerland Sàrl (Facebook Schweiz) kann nicht zur Herausgabe von Daten zu einem mutmasslich in der Schweiz eröffneten Facebook-Konto verpflichtet werden, da sie nicht Inhaberin der Daten ist und diese auch nicht unter Kontrolle hat. Die Herausgabepflicht im Sinne von Art. 265 StPO und Art. 18 des internationalen Übereinkommens über die Cyberkriminalität trifft nur den Inhaber der betreffenden Gegenstände oder Vermögenswerte und demzufolge die Inhaberin Facebook Irland. Nutzerdaten sind somit nur auf dem aufwendigen Weg des Rechtshilfeverfahrens erhältlich.
2015 eröffnete die Staatsanwaltschaft des Kantons Waadt ein Strafverfahren wegen übler Nachrede und Beschimpfung. Der belgische Anzeiger machte geltend, dass ein Unbekannter auf einem mutmasslich in der Schweiz eröffneten Facebook-Konto unter einem Pseudonym antisemitische Äusserungen gegen ihn gepostet habe. Die Staatsanwaltschaft verfügte daraufhin gegen Facebook Schweiz und die Geschäftsführer der Gesellschaft die Herausgabe der Identität, Zugangsdaten und die IP-Adresse des fraglichen Kontoinhabers. Facebook Schweiz und beide Geschäftsführer erhoben in der Folge Beschwerde gegen die Herausgabeverfügung beim Kantonsgericht des Kantons Waadt und machten geltend, dass sie die Facebook-Webseite nicht selber verwalten und deshalb die Anordnung an Facebook Irland erfolgen müsste. Das Kantonsgericht des Kantons Waadt wies die Beschwerden ab. Facebook Schweiz und die Geschäftsführer gelangten infolgedessen ans Bundesgericht.
Mit Entscheid vom 16. November 2016 (BGer 1B_185/2016, 1B_186/2016, 1B_188/2016) hiess das Bundesgericht die gegen die Herausgabeverfügung gerichteten Beschwerden von Facebook Schweiz und deren Geschäftsführer gut und kam zum Schluss, dass Facebook Schweiz nicht zur Herausgabe verpflichtet werden könne. Art. 265 StPO und Art. 18 des internationalen Übereinkommens über die Cyberkriminalität setzten für die Inhaberschaft den Besitz oder Gewahrsam, jedenfalls aber faktische Verfügungsmacht voraus (Il découle en revanche des dispositions tant de la CCC [art. 18, "en sa possession ou sous son contrôle"] que du CPP [art. 265, le détenteur] que la personne visée par l'injonction de produire doit être le possesseur ou le détenteur des données visées, ou tout au moins en avoir le contrôle, c'est-à-dire avoir un pouvoir de disposition, en fait et en droit, sur ces données [E. 3.4]). Facebook Schweiz verfüge über keine Kontrolle der Daten, sondern stelle lediglich eine (Support-)Marketingorganisation dar, wohingegen Facebook Irland Vertragspartnerin von Facebook-Nutzern ausserhalb der USA und Kanada sei und die Kontrolle über die entsprechenden Personendaten ausübe. Folglich müssen die Nutzerdaten mittels eines an Facebook Irland gerichteten Rechtshilfeersuchens in Strafsachen angefordert werden.