In der Endlosdebatte um die Zulässigkeit von Social PlugIns (wir berichteten hier und hier) eskaliert der Streit. Wie die Lübecker Nachrichten heute berichten hat der Schleswig-Holsteinische Datenschutzbeauftragte nun die ersten Abmahnungen verschickt. Und wen hat es zuerst getroffen? Die Staatskanzlei des Ministerpräsidenten Peter Harry Carstensen und das Wirtschaftsministerium. Das ULD beweist hierbei einen gewissen Sinn für Humor. So wird Sven Polenz vom Unabhängigen Landeszentrum für Datenschutz  in Kiel in dem Artikel wie folgt zitiert:

„Die öffentlichen Stellen bekommen jetzt die Gelegenheit, Stellung zu nehmen und gesetzeskonforme technische Lösungen vorzuschlagen, die uns vielleicht unbekannt sind“

Als hätten nicht schon einige andere über solche Lösungen nachgedacht…

Gemeinsam mit den staatlichen Stellen hat es zehn Unternehmen in Schleswig-Holstein erwischt. Anders als den staatlichen Stellen droht den Unternehmen jedoch ein Bußgeld.

4 Comments

Die bereits zuvor in diesem Blog dargestellte Diskussion um die rechtliche Zulässigkeit von Social-Plugins geht in die nächste Runde und nun bildet sich eine einheitliche Meinung der staatlichen Datenschützer aus:

Im Rahmen der 82. Konferenz der Datenschutzbeauftragten haben die Datenschützer Ende September festgestellt, dass die Einbindung sogenannter Social-Plugins, wie von Facebook, Google+, Twitter und anderen Plattformbetreibern, in die Webseiten deutscher Anbieter ohne hinreichende Information der User und ohne Einräumung eines Wahlrechtes nicht mit deutschen und europäischen Datenschutzstandards in Einklang stehen. Nach Auffassung der Datenschutzbeauftragten ist die “aktuelle von Social-Plugin-Anbietern vorgesehene Funktionsweise [...] unzulässig, wenn bereits durch den Besuch einer Webseite und auch ohne Klick auf beispielsweise den „Gefällt-mir“-Knopf eine Übermittlung von Nutzendendaten in die USA ausgelöst wird, auch wenn die Nutzenden gar nicht bei der entsprechenden Plattform registriert sind.”

Empfehlungen für Webseitenanbieter zur rechtskonformen Nutzung von Social-Plugins geben die Datenschützer nicht. Stattdessen fordern sie lediglich Anbieter sozialer Netzwerke auf, bereits in den vergangenen Jahren formulierte Datenschutzstandards umzusetzen.

3 Comments

Die weit über zweijährige Diskussion um die datenschutzrechtliche Zulässigkeit von Google Analytics ist beendet und erinnert an das Hornberger Schießen. „Beanstandungsfrei“ können Webseitenbetreiber den Dienst einsetzen, wenn sie ein bestimmtes Verfahren beachten. Das ist das Ergebnis langer Gespräche des Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit im Auftrag des Düsseldorfer Kreises mit dem Dienstanbieter Google.

Die Kurzform dessen, was zu tun ist: Man nehme eine neue Zeile Code, lösche Daten und tausche vor allem einen Haufen Papier aus. Fertig ist der „beanstandungsfreie Betrieb“. Oder noch kürzer: Es wird kompliziert, aber nicht sinnvoll.

Anforderungen an einen beanstandungsfreien Betrieb

Wichtig ist, dass der Dienst keinesfalls nun per se bedenkenlos eingesetzt werden kann. Vielmehr ist ein kompliziert anmutendes Procedere vorab erforderlich.

Webseitenbetreiber, die Google Analytics einsetzen wollen, müssen mit Google Inc. einen Vertrag schriftlich (also mit Unterschrift auf Papier) abschließen. Dieser Vertrag beinhaltet im Kern folgende Punkte:

• ŸWebseitenbetreiber klären Nutzer ihrer Websites in einer Datenschutzerklärung über die Verarbeitung personenbezogener Daten durch Google Analytics auf und weisen auf eine Widerspruchsmöglichkeit hin. Den Widerspruch gegen die Erfassung personenbezogener Daten kann der Nutzer durch Betätigung eines Deaktivierungs-Add-On erklären.
• Webseitenbetreiber können durch Aktivierung der IP-Masken-Funktion die nachträgliche Identifizierung des Nutzers ausschließen. Die Funktion verhindert die standardmäßige Verwendung der vollen IP-Adresse der Nutzer bei Analyseerstellung, indem sie den letzten Bestandteil der IP-Adresse des jeweiligen Besuchers vor Verwendung und Speicherung entfernt.
• Webseitenbetreiber müssen die vorformulierte Datenschutzerklärung verwenden, welche auf die Kürzung der IP-Adresse hinweist. Die Anonymisierung ist auf den Geltungsbereich der EU oder anderer Vertragsstaaten des Abkommens über den Europäischen Wirtschaftsraum beschränkt. Nur in Ausnahmefällen erfolgt die Übertragung der vollen IP-Adresse an Google in den USA.
• Webseitenbetreiber gelten beim Umgang mit den Daten der Seitenbesucher als Auftraggeber und Google als Auftragsdatenverarbeiter im Sinne des BDSG (dazu im Folgenden mehr).

Bedeutung für Webseitenbetreiber

Durch die Unterzeichnung des Vertragstextes erteilen die Webseitenbetreiber also einen Auftrag zur Datenverarbeitung nach § 11 BDSG. Aber was bedeutet das eigentlich für sie?

Wichtigste Folge ist die fortgesetzte Pflicht des Auftraggebers, also des Webseitenbetreibers, den Auftragnehmer, also Google, regelmäßig auf die Einhaltung der getroffenen technischen und organisatorischen Maßnahmen zu überprüfen. Die Ergebnisse dieser Überprüfung muss der Webseitenbetreiber auch dokumentieren.

Die Idee mutet merkwürdig an, aber tatsächlich hat sich die Google, Inc. nun von jedem Seitenbetreiber, der Google Analytics einsetzt, regelmäßig überprüfen zu lassen. Google hat sich dazu ein Verfahren ausgedacht, wonach der Webseitenbetreiber vorformulierte schriftliche Ausführungen von einem Wirtschaftsprüfer erhält.

Webseitenanbieter sichern mit Vertragsschluss Google zu, die Google Analytics Nutzungsbedingungen einzuhalten. Wie sie u.a. der Bedingung nachkommen, die aus Analytics erhobenen Daten getrennt von anderen personenbezogenen Daten bereitzuhalten, bleibt allerdings ihrem eigenen technischen Know-how überlassen. Besonders vor dem Hintergrund, dass Webseitenbetreiber durch die Vertragsunterzeichnung eine Haftungsübernahme für sämtliche Schäden durch eine vertrags- bzw. gesetzeswidrige Nutzung der Daten erklären, ist den Webseitenbetreibern daher eine gewissenhafte und erfindungsreiche Befolgung der Nutzungsbedingungen anzuraten.

Schließlich nimmt sich Google das Recht heraus, die derzeit kostenlose Nutzung des Dienstes, von „Zeit zu Zeit“ einseitig ändern zu dürfen. Ratsam ist es daher, von „Zeit zu Zeit“ auch die Webseite http://www.google.com/analytics auf eine Änderung der Zahlungsbedingungen zu checken. Ein fortgesetzter Gebrauch des Dienstes durch den Webseitenbetreiber nach einer Bekanntgabe neuer Zahlungsmodalitäten auf der Webseite gilt nämlich als Annahme der Änderungen.

Fazit

Google Analytics ist nutzbar. Irgendwie, und jedenfalls nicht einfach so, sondern mit einem irritierenden Aufwand.

Die nun behördlich abgesegnete Lösung mutet deshalb seltsam an. Sowohl Webseitenbetreiber als auch Google selbst müssen sich nun durch einen ritualisierten Austausch von immer gleichen Verträgen und Prüfberichten in Papierform quälen.

Gerade diese Schriftform ist ein typischer Datenschutzanachronismus. Das Verfahren mutet also bloße Förmelei an, in der als konstruktiver Ansatz bestenfalls die Errichtung einer gewissen Hemmschwelle für die Webseitenbetreiber gesehen werden kann.

Weder der Datenschutz, noch die Webseitenbetreiber, noch Google selbst dürften über die Lösung jubeln. Allenfalls für Datenschutzexperten ist schließlich der Weg über eine sog. Auftragsdatenverarbeitung mit einem in den USA beheimateten Unternehmen interessant. Denn zwar kann ein solcher Vertrag durchaus weltweit abgeschlossen werden. Aber die typischerweise mit dem Vertragsschluss bezweckte Regelung der Verantwortlichkeit ist nur innerhalb von EU / EWR sinnvoll.

Herzlichen Dank an unsere wissenschaftliche Mitarbeiterin Alexandra Heliosch für die Mitarbeit an diesem Beitrag!

4 Comments

Nachdem das ULD seine Pressemitteilung mitsamt dem zugehörigen Arbeitspapier veröffentlichte, weht vom Norden her eine kühle Datenschutzbrise durch das gesamte Bundesgebiet, deren Ausläufer sogar das südliche Bayern erreichen

Reaktionen weiterer Datenschutzbeauftragter

Mittlerweile hat sich der Landesbeauftragte für den Datenschutz in Niedersachen öffentlich der Ansicht des nördlichen Nachbarn angeschlossen  Auf seiner Homepage veröffentlichte er „Informationen für Webseitenanbieter mit Sitz in Niedersachen“, in denen er auf die datenschutzrechtlichen Verstöße hinweist, die sich „allein aus der Verwendung eines Facebook Like-It-Buttons“ auf der Anbieterwebseite ergeben können. Gleichzeitig betont der niedersächsische Landesbeauftragte, dass nicht Ziel des Datenschutzes ist, Social PlugIns generell zu verbieten, jedoch appelliert er an die Beachtung des Grundsatzes der Datensparsamkeit und der Verantwortung der Webseitenbetreiber, die für eine Entfernung sprechen.

Ähnliche Töne sind auch aus den von Niedersachen eingeschlossenen Staatstaaten zu vernehmen. So äußerte sich die Datenschutzbeauftragte des Landes Bremen in einem Interview mit Radio Bremen, dass sie sich „wünschen“ würde, „dass Bremen bei sozialen Netzwerk Facebook aussteigt“ oder alternative technische Lösungen gesucht werden, die den Verbleib mit dem Datenschutz konform machen. Konkrete Handlungsanweisungen an die Webseitenbetreiber wurden aber nicht veröffentlicht, vielmehr soll das weitere Vorgehen erst nach einer Analyse mit der Bremer Finanzbehörde erfolgen und anschließend bekannt gegeben werden.

Auch Hamburgs Datenschutzbeauftragter erklärte gegenüber der “Welt”, dass er empfiehlt, von offiziellen Webseiten wie hamburg.de sowie von den Hamburger Senatswebseiten entsprechende Social-Network-PlugIns zu entfernen. „Von den öffentlichen Stellen erwartet man die Einhaltung gesetzlicher Vorschriften“, so der Datenschutzbeauftragte. Ganz anschließen will sich der Hamburger Datenschutzbeauftragte den Vorreitern aus Schleswig-Holstein, die in jedem Fall einen datenschutzrechtlichen Verstoß in der Funktion solcher Symbole sehen, scheinbar nicht. Die Herausnahme der Buttons soll erst einmal so lange andauern, wie die datenschutzrechtliche Konstellation nicht geklärt ist. Zum gegenwärtigen Zeitpunkt ist ein entsprechendes Facebook,und Twitter-PlugIn auf der Homepage des offiziellen hamburg.de Portals weiterhin vorhanden.

Auch Abseits des kühlen Nordens schließen sich weitere Landesdatenschutzbeauftragte einer Entfernung von entsprechenden Fanpages staatlicher Stellen auf Facebook sowie der Like-It-Buttons, an. Bereits kurz nach der Bekanntgabe der Ergebnisse des ULD veröffentlichte der Landesdatenschutzbeauftragte des Landes Rheinland-Pfalz eine Pressemitteilung, in der er sich der Ansicht des ULD anschließt, wonach bestimmte Funktionen von Facebook gegen geltendes Datenschutzrecht nach dem TMG und dem Bundesdatenschutzgesetz verstoßen. Zwar stellte der Datenschutzbeauftragte in einer Untersuchung fest, dass nur wenige öffentliche Stellen des Landes Rheinland-Pfalz tatsächlich eine Fanpage bei Facebook betreiben oder Social-PlugIns wie den „Gefällt mir-Button“ auf ihren Webseiten einsetzen, jedoch wird er dennoch mit den Webseitenbetreibern in Kontakt treten, um die Internetauftritte „datenschutzkonform“ zu gestalten. In Rheinland-Pfalz beschränkt sich die Debatte nicht allein auf das eigentlich zuständige Datenschutzressort. So hatte nahezu parallel auch der rheinland-pfälzische Justiz- und Verbraucherminister eingelenkt und den Bund aufgefordert, den Datenschutz in sozialen Netzwerken zu verbessern. „Eine Stärkung des Datenschutzes und der Privatsphäre von Nutzerinnen und Nutzern sozialer Netzwerke im Internet ist dringend notwendig. Es ist zwar richtig, dass zum Beispiel ein Unternehmen wie Facebook seinen Sitz in Irland hat, aber deswegen lediglich darauf zu verweisen, man habe keine rechtliche Handhabe und hoffe auf eine europäische Regelung scheint mir doch zu kurz gefasst. Selbstverständlich ist die Bundesregierung in der Bringschuld bei dieser Frage“, so der Minister.

Einem aktuellen Beitrag des Fachmagazin Werben und Verkaufen (w&v Nr. 34/2011, S. 8 ) zur Folge, soll auch der Datenschutzbeauftragte Mecklenburg-Vorpommerns in die Debatte eingelenkt haben und sich ebenfalls für die Herangehensweise des ULD ausgesprochen haben. Das Magazin führt indes auch an, dass die verbleibenden Bundesländer, wie Brandenburg, Baden Württemberg und Nordrhein-Westfalen das Thema für „relevant“ halten, vorerst aber noch die Ergebnisse des ULD überprüfen möchten. Entsprechende offizielle Mitteilungen sind den Webseiten der jeweiligen Landesdatenschutzbeauftragten allerdings nicht zu entnehmen.

Im gleichen Zuge soll auch der Bundesdatenschutzbeauftragte Peter Schaar gegenüber w&r geäußert haben, dass er den Vorstoß des ULD begrüße und Folgen der Erkenntnisse für das eigene Zuständigkeitsgebiet prüfe.

Eine zurückhaltende Stimmung ist indes aus dem Freistaat Bayern zu vernehmen. Aus einem Interview des Präsidenten des bayrischen Landesamts für Datenschutzaufsicht Thomas Kranig mit internetworld.de geht hervor, dass die bayrischen Webanbieter vorerst keine Sanktionen für das beibehalten eines Like-It-Buttons auf ihren Portalen fürchten müssen. „Wir vom Bayerischen Landesamt für Datenschutzaufsicht halten an dem Vorgehen fest, mit den anderen Aufsichtsbehörden Argumente auszutauschen und zu versuchen, zu einer gemeinsamen Lösung zu kommen. (…) Wenn wir zu dem Ergebnis kommen, dass wir den Gefällt-mir-Button für rechtswidrig halten, bedeutet das für uns auch, dass wir etwas dagegen unternehmen.“

Die übrigen Bundesländer enthalten sich bislang der Debatte. Die Ende September angesetzte Datenschutzkonferenz bleibt folglich abzuwarten.

Rechtliche Debatte

Die durch das Arbeitspapier des ULD vorgenommene Bewertung der Rechtswidrigkeit des Like-It-Buttons sieht sich seither auch rechtlicher Kritik gegenüber. Kollege Härting nahm die Stellungnahme des ULD zum Anlass, die Vorgehensweise und rechtliche Bewertung des ULD zu würdigen. Härting kommt zu dem Schluss, dass einerseits schon die Ergebnisse des Arbeitspapiers Grund zum Zweifeln geben, da sie sich der rechtlich umstrittenen Debatte um die „Personenbezogenheit der „IP-Adresse“ gänzlich entziehen. Ob durch die Übermittlung der IP-Adresse tatsächlich personenbezogene Daten bezogen werden und Rückschlüsse auf den Anwender erlauben, sei aber eine zentrale Frage bei der Überprüfung der datenschutzrechtlichen Zulässigkeit der Like-It-Buttons. Andererseits geht Härting auch mit der Art und Weise, wie das ULD mit den Ergebnissen und der Konsequenzen an die Öffentlichkeit getreten ist, streng ins Gericht und wertet die öffentliche Aufforderung an die Unternehmen den Like-It-Button zu entfernen als ungerechtfertigten Eingriffs in Art. 12 Abs. 1 GG und damit als  verfassungswidrig. Auch prangert Härting, ebenso wie der Kieler Kollege Strunk (hoffentlich trifft ihn nicht die “Rache” des ULD), die vorgenommene Bußgeldandrohung an und verweist das ULD auf § 43 BDSG als richtige Rechtsgrundlage für derartige öffentliche Androhungen. Der hingegen vom ULD verwendete § 16 TMG sei in Schleswig-Holstein gemäß § 38 Abs. 6 Medienstaatsvertrages Hamburg/Schleswig-Holstein (MedienStV) der Landesmedienanstalt vorbehalten. Angeregt durch diese Debatte, hat das ULD mittlerweile eine Stellungnahme veröffentlicht, welche die Zuständigkeitsrüge als „rechtsirrig“ abweist. Danach liege in Schleswig Holstein die Sonderkonstellation vor, dass für die Verfolgung von Ordnungswidrigkeiten nach § 16 TMG eine geteilte Zuständigkeit bestehe. Soweit es sich um Verstöße handelt, die originär dem Innenministerium zuzuordnen sind, hat das ULD gem. § 45 Abs. 1 LDSG-SH alle „der Datenschutzaufsichtsbehörde im Innenministerium obliegenden Aufgaben“ übernommen, somit auch die vorliegende Konstellation und kann Bußgelder nach § 16 TMG androhen.

Weitere interessante Beiträge, die sich mit der Richtigkeit der datenschutzrechtlichen Bedenken der „Gefällt mir“-Buttons beschäftigen und zu übereinstimmenden Ergebnissen bezüglich einer Verneinung einer pauschalen Unzulässigkeit gelangen, sind u.a. der Beitrag des Mainzer Kollegen S. Schmidt sowie die rechtliche Auseinandersetzung mit dem Thema von Dipl. Jur. Jens Ferner.

Der Rüge einer verfassungsrechtlich bedenklichen Vorgehensweise des ULD durch öffentliche die Aufforderung der Webseitenanbieter zur Entfernung der Like-It-Buttons hält, wie auch von Rechtsanwalt Stadler angeführt, der Interessenverband Digitale Gesellschaft“ provokant gegen. Danach sei, dass das ULD nicht direkt an Facebook herantreten kann, ein „Verschulden der Politik. (…) Das ULD macht nun schlicht seinen Job: es übt indirekt Druck auf Facebook aus“.

Erste Lösungsansätze

Es war nur eine Frage der Zeit, wann auch technische Lösungsansätze der angeblichen datenschutzrechtlichen Like-It-Button-Problematik entgegentreten. So befürwortet Jens Ferner den ZusatzPlugin. Dieser stellt eine zusätzliche Hürde dar, und „aktiviert“ den Facebook-Like-It-Button erst nach dem Klick auf eine entsprechende Einwilligung durch den Anwender. Durch die zusätzliche Einwilligung mache der Nutzer deutlich, dass er der Weiterleitung seiner personenbezogenen Daten zustimme. Eine neuerliche Aufruhr bekommt die Diskussion durch die Idee von heise-online. Das Portal entwickelte eine „2-Klicks für mehr Datenschutz“ Initiative. Danach bietet heise-online, anstelle der üblichen Like-It-Buttons, erstmals nur „deaktivierte“ Buttons an, die für sich genommen nur optische Symbole ohne Verbindung zu den ihnen zugeordneten Servern von Facebook & Co darstellen. Das sich anschließende zweistufige Klicksystem, basiert darauf, dass der Anwender diesen Button durch den ersten Klick aktiviert und damit seine Zustimmung zur Kommunikation und Datenweitergabe des hinter dem Button stehenden Servers, bspw. Facebook gibt, Anschließend kann der Anwender mit einem zweiten Klick seine „Empfehlung“ übermitteln. Die so erfolgte Zustimmung zur Datenübermittlung ist nur für die jeweilige Webseite auf der sich der Nutzer befindet bindend und nur für den angewählten Dienst. Beim Aufruf weiterer heise-online-Webseiten erscheint wieder ein deaktivierter Button. „So kann man die sozialen Netze nutzen, ohne dass diese gleich komplette Surf-Profile erstellen können“, so die Beschreibung der Funktionsweise. Heise-online weist ergänzend darauf hin, dass auch die Möglichkeit einer dauerhaften Einwilligung in die Datenübermittlung zu einem bestimmten Netzwerk besteht. Durch das Setzen eines entsprechenden Häkchens, welches sich unterhalb der Einstellungen (erkennbar an einen Zahlenradsymbol) befindet, kann die Deaktivierung des Like-It-Buttons aufgelöst werden. Der ausgewählte Button ist dann immer direkt aktiv, solange der Anwender die Aktivierung innerhalb der Einstellungen nicht wieder selbst deaktiviert.

Ob die Lösungsansätze tatsächlich eine vermeintliche Vereinbarkeit des Like-It-Buttons mit dem Datenschutz herstellen können und ob dieses überhaupt notwendig ist, bleibt folglich abzuwarten. Fakt ist, dass das 2-Klick-System bei den Verantwortlichen von Facebook zunächst auf negative Resonanz gestoßen ist. Facebook ist zunächst mit einer Beschwerde aufgrund eines angeblichen Verstoßes gegen die Plattform Polices an heise-online herangetreten. Infolgedessen hat heise-online das Design des zuerst anzuklickenden „deaktivierten“ Buttons verändert und diesen optisch vom Original des Facebook-Buttons abgehoben. Dadurch tue dieser nicht mehr, wie von Facebook gerügt, so als sei er einer, ohne tatsächlich einer zu sein.

Und wie reagiert Facebook?

Facebook veröffentlichte am Freitag eine technische Lösung, die es mit dem Browser Chrome ermöglicht, jede beliebige Website zu liken, ohne dass ein “Like-Button” auf der Website vorgesehen sein muss… Darüber hinaus weiß das Landesblog, dass Facebook eine Einladung des Innen- und Rechtsausschuss des schleswig-holsteinischen Landtages angenommen hat, um am 7. September gemeinsam mit den Parlamentariern über die aufgeworfenen Datenschutzfragen zu diskutieren.

Was bleibt ist also eine zähe Diskussion…wir bleiben dran!

Herzlichen Dank an unsere wissenschaftliche Mitarbeiterin Alexandra Heliosch für die Mitarbeit an diesem Beitrag!

3 Comments

Wir befinden uns im Jahre 2011 n. Chr. Die ganze Welt ist von Facebook besetzt …die ganze Welt? Nein! Ein von unbeugsamen Galliern bevölkertes Dorf hört nicht auf, dem Eindringling Widerstand zu leisten. Und das Leben ist nicht leicht für Facebook, das als Besatzung in den befestigten Lagern Kiel, Dithmarschen, Elbmarschen und Holsteinische Schweiz liegt…

Angeführt wird der Widerstand vom Schleswig-Holsteinischen Datenschutzbeauftragten Thilo Weichert, der in einer am Freitag veröffentlichten Pressemeldung alle Schleswig-Holsteinischen Unternehmen und öffentliche Stellen auffordert, ihre Fanpages bei Facebook und Social-Plugins wie den „Gefällt mir“-Button auf ihren Webseiten zu entfernen. Das Unabhängige Landeszentrum für Datenschutz (ULD) begründet dieses Aufforderung wie folgt:

Nach eingehender technischer und rechtlicher Analyse kommt das ULD zu dem Ergebnis, dass derartige Angebote gegen das Telemediengesetz (TMG) und gegen das Bundesdatenschutzgesetz (BDSG) bzw. das Landesdatenschutzgesetz Schleswig-Holstein (LDSG SH) verstoßen. Bei Nutzung der Facebook-Dienste erfolgt eine Datenweitergabe von Verkehrs- und Inhaltsdaten in die USA und eine qualifizierte Rückmeldung an den Betreiber hinsichtlich der Nutzung des Angebots, die sog. Reichweitenanalyse. Wer einmal bei Facebook war oder ein Plugin genutzt hat, der muss davon ausgehen, dass er von dem Unternehmen zwei Jahre lang getrackt wird. Bei Facebook wird eine umfassende persönliche, bei Mitgliedern sogar eine personifizierte Profilbildung vorgenommen. Diese Abläufe verstoßen gegen deutsches und europäisches Datenschutzrecht. Es erfolgt keine hinreichende Information der betroffenen Nutzerinnen und Nutzer; diesen wird kein Wahlrecht zugestanden; die Formulierungen in den Nutzungsbedingungen und Datenschutzrichtlinien von Facebook genügen nicht annähernd den rechtlichen Anforderungen an gesetzeskonforme Hinweise, an wirksame Datenschutzeinwilligungen und an allgemeine Geschäftsbedingungen.

Der Datenschutzbeauftragte erwartet, dass dieser Aufforderung bis Ende September 2011 Folge geleistet wird und kündigt für den Fall, dass Schleswig-Holsteinische Websitebetreiber ihre Fanpages bei Facebook online lassen oder auf der eigenen Website weiter „Gefällt mir“-Buttons belassen, Sanktionen an. Dies können bei Unternehmen beispielsweise Untersagungsverfügungen und Bußgelder von bis zu 50.000,- Euro sein.

Der Datenschutzbeauftragte kündigt zudem an, das Facebook-Angebot weiter analysieren zu wollen, um die technische und rechtliche Analyse des ULD, die zu der aktuellen Pressemitteilung geführt hat, fortzuschreiben.

Nach unserem Kenntnisstand hat sich bislang noch kein weiterer Landesdatenschutzbeauftragter dieser neuen Gangart angeschlossen. Wir werden dies weiter verfolgen.

No Comments

Über die hessischen Pläne zur Verschärfung der Datenschutzvorschriften des Telemediengesetzes (TMG) hatten wir bereits kritisch berichtet. Gestern hat der Gesetzentwurf den Bundesrat passiert und muss nun im Bundestag beraten werden. Der Entwurf sieht unter Anderem vor, dass Anbieter von sozialen Netzwerken stets die restriktivsten Datenschutz- und Privatsphärenoptionen als Standardeinstellung vorsehen müssen und verbietet grundsätzlich den Zugriff externer Suchmaschinen auf die Inhalte solcher Netzwerke. Zwar sind Ausnahmen hiervon möglich, die entsprechende Vorschrift ist jedoch so unpräzise formuliert, dass Streitigkeiten über ihre Reichweite vorprogrammiert sind.

No Comments

Als Reaktion auf unseren letzten Artikel zu den datenschutzrechtlichen Aspekten von Geolocation erreichte uns ein Hinweis auf ein spannendes Experiment der ZEIT:

Der Grünen-Politiker Malte Spitz klagte von der Telekom sechs Monate seiner Vorratsdaten ein und überreichte diese zur weiteren Aufbereitung der ZEIT. Die ZEIT erstellte hiermit ein Bewegungsprofil und kombinierte die Bewegungsdaten mit öffentlich verfügbaren Informationen aus Twitter, dem Blog und der Website von Malte Spitz. So kann jedermann nachsehen und -lesen, was Malte Spitz wann und wo machte.

No Comments

Dank der Ausstattung von Smartphones mit GPS-Chips (Global Positioning System) kann nun auch jeder Fußgänger, Jogger und Fahrradfahrer seine Position, Strecke und Geschwindigkeit auch ohne besondere Navigationsgeräte bestimmen. Gut entwickelte Apps bieten dem User zahlreiche hilfreiche Funktionen. Der Aufenthaltsort ist mithilfe von GPS oder WLAN bis auf ca. 4-15 Meter exakt zu bestimmen. Dabei können die Ortungsdaten jederzeit vom App-Anbieter und auch vom Telekommunikationsanbieter – durch Ortung des Smartphones – gesammelt und abgespeichert werden. Dies führt dazu, dass diese Anbieter genau wissen, wo man sich wann gerade aufhält, welchen Weg man zur Arbeit nutzt, wo man gerne mittags isst, ob man regelmäßig ins Stadion geht, welchen Arzt man aufsucht, welche Kirche man besucht oder wo genau man seine Nächte verbringt. Daraus ergeben sich für die Anbieter äußerst detaillierte Bewegungsprofile, von denen der User regelmäßig nichts mitbekommt. Zwar lässt sich Geolocation abschalten, viele User vergessen dies aber oder haben gar keine Kenntnis von dieser Abschaltfunktion.

Datenschützer haben daher schon länger zahlreiche Bedenken gegen Geolocation geäußert. Nun hat sich auch die europäische Artikel-29-Datenschutzgruppe mit dieser Problematik befasst. Bei der Artikel-29-Datenschutzgruppe handelt es sich um das unabhängige Beratungsgremium der Europäischen Kommission, die sich mit Fragen des Datenschutzes auseinandersetzt.

Sowohl App-Anbieter als auch Telekommunikationsanbieter können den Smartphone-User identifizieren:

Der Telekommunikationsanbieter kann die georteten Geodaten anhand der gespeicherten Kundendaten problemlos dem Smartphone-User zuordnen. Für den Erwerb von Apps muss der Smartphone-User in der Regel Name, Adresse und Bankverbindung angeben, so dass auch der App-Anbieter die Geodaten und Bewegungsprofile durch Verknüpfung dieser Daten einer bestimmten Person – nämlich dem Smartphone-User – zuordnen kann.

Daher hat die Art-29-Datenschutzgruppe im Hinblick auf Telekommunikations- und Anbieter von Geolocation-Apps zu Recht angenommen, dass es sich bei den Geodaten des Smartphone-Users um personenbezogene Daten handelt und die Datenschutzgesetze Anwendung finden. Denn der Betroffene hat das Recht grundsätzlich selbst über die Preisgabe und Verwendung seiner persönlichen Daten zu bestimmen und zu wissen wer, was, wann und bei welcher Gelegenheit über ihn weiß. Mangels Erlaubnistatbestandes dürfen die Bewegungsdaten grundsätzlich nicht ohne die vorherige Einwilligung des Handynutzers erhoben, gespeichert oder verwertet werden. Andernfalls sind Erhebung, Speicherung und Verwertung datenschutzrechtlich unzulässig.

Die Einwilligung des Smartphone-Users muss ausdrücklich und vorab erfolgen. Eine konkludente Zustimmung durch Vertragsabschluss – sei es durch den Kauf der App oder den Abschluss des Mobilfunkvertrages – ist gerade nicht ausreichend. Ebenso ist eine Einwilligung nicht durch bloße Akzeptanz der AGB möglich. Eine solche Einwilligung muss freiwillig erteilt werden, wobei der Einwilligende vollumfänglich über die Datenerhebung informiert sein muss.

Die Einwilligung soll in regelmäßigen Abständen aktualisiert werden, um sicher zu gehen, dass der User nach wie vor an dem Service interessiert und mit der Ortung einverstanden ist. Als Zeitraum sollte ein Jahr angemessen sein. Darüber hinaus sollte die Einwilligung jederzeit leicht widerrufbar und die Daten einsehbar und löschbar sein.

Die datenverarbeitende Stelle muss sicherstellen, dass ihre User wissen, dass sie ihre Daten sammelt und zu welchen Zwecken. Der User muss „Herr seiner Daten“ bleiben und selbst entscheiden können, ob er einwilligt oder nicht.

Der User würde daher am sinnvollsten geschützt, wenn Smartphone-Anbieter Ihre Geräten mit der Ortungsfunktion ab Werk ausgeschaltet verkaufen, so dass der User bei jeder einzelnen Inanspruchnahme des Systems selbst aktiv die Einschaltung vornehmen kann/muss. Die sicherste Möglichkeit wäre eine Displayanzeige, die ähnlich wie ein GPS-Icon oder ein Bluetooth-Icon fortwährend anzeigt, ob die Lokationsfunktion gerade ein- oder ausgeschaltet ist. Nur auf diesem Wege wäre gewährleistet, dass der User sich darüber bewusst ist, dass sein aktueller Standort in diesem Moment ermittelt und gespeichert wird.

Ob aus der unverbindlichen Empfehlung der Art.29-Datenschutzgruppe eine Richtlinie wird, bleibt abzuwarten. Da aktuell aber die Geräte meist noch ab Werk mit eingeschalteter Geolocation-Funktion angeboten werden, müssen User selbst aktiv werden, wenn sie ihre Ortung vermeiden wollen, und genau kontrollieren, ob und wann sie die Geolocation-Funktion Ihres mobilen Gerätes ein- beziehungsweise ausschalten.

Zudem sollte der User sich bewusst machen, wer denn alles Zugriff auf seine Geodaten hat. Denn bei der Erlangung von Geodaten sind die Anbieter der jeweiligen App, die Entwickler des genutzten Betriebssystems, die Kontrolleure des konkreten Geolocation-Angebots, sowie soziale Netzwerke oder andere Kommunikationsmedien, die beispielsweise „geotagging“ (Verortung von Fotos) anbieten, und nicht zu letzt der Telekommunikationsanbieter eingebunden.

Vielen Dank an unsere wissenschaftliche Mitarbeiterin Frau Kristina Krupp für die wertvolle Recherche und Mitarbeit an diesem Beitrag.

1 Comment

Einbruch in das Playstation-Netzwerk bei Sony und Verlust von Millionen Spielekundendaten, Hack des auf IT-Sicherheit spezialisierten Unternehmens RSA, daraufhin Cyber-Attacken auf RSA-Kunde Lockheed-Martin, chinesischer E-Mail Diebstahl bei Morgan Stanley, angeblich Passwort-System von Googles Handy-Betriebssystem geknackt … Die Serie der Datenpannen bei international agierenden Großunternehmen scheint nicht abzureißen; die Aufmerksamkeit der Medien war nie größer. Aber was sind die rechtlichen Folgen?

Der Verlust von Kundendaten bedeutet in aller Regel einen beträchtlichen Imageschaden für das Unternehmen. Es ist dann die Rede von einem PR-Desaster, und die Seriosität des Unternehmens wird angezweifelt. Sogar ein Umsatzrückgang kann die Folge sein. So kostete der Hackerangriff auf das Playstation-Netzwerk Sony laut eigenen Angaben 1,3 Milliarden Euro, teilweise schätzen Analysten den Schaden sogar noch höher.

Angesicht solch verheerender Nachwirkungen dürfte die Versuchung bei Unternehmen groß sein, eventuelle Datenlecks zu verheimlichen.

Doch aufgepasst: Seit 1. September 2009 besteht gemäß § 42a des Bundesdatenschutzgesetzes (BDSG) eine ausdrückliche Verpflichtung zur Information der Betroffenen (Kunden, Mitarbeiter …) und Datenschutzbehörden im Falle von Datenverlusten!

Unternehmen müssen also sich selbst als Datensünder an den Pranger stellen. Bei einem Verstoß drohen Bußgelder bis zu 300.000 Euro.

Wann besteht eine Mitteilungspflicht?

Trotzdem besteht die Mitteilungspflicht nicht in jedem Fall eines Datenlecks. Vielmehr besteht eine solche Pflicht nur bei Verlust bestimmter Datentypen. Im Einzelnen sind dies:

• Informationen über die ethnische Herkunft, politische Meinungen, religiöse oder philosophische Überzeugungen, eine eventuelle Gewerkschaftszugehörigkeit, die Gesundheit oder das Sexualleben
• Informationen, die einem Berufsgeheimnis unterliegen (Anwaltsdaten, ärztliche Daten etc.)
• Strafrechtlich relevante Daten
• Daten zu Bank- und Kreditkartenkonten

Wichtig ist, dass die Pflicht auch nur gilt, wenn die Daten personenbezogen sind, d.h. mit einer konkreten Person in Verbindung gebracht werden können. Handelt es sich um vollständig anonymisierte Daten, besteht kein Risiko für die Betroffenen. Folglich existiert keine Mitteilungspflicht. Bei verschlüsselten Daten kommt es darauf an, ob eine Entschlüsselung für Dritte realistisch möglich ist.

Außerdem besteht die Mitteilungspflicht nicht schon beim bloßen Verlust von Daten. Vielmehr muss das Unternehmen dann auch feststellen, dass tatsächlich Dritte Kenntnis von den Daten erlangt haben. Auch das ist in der Praxis eine wichtige Einschränkung.

Zwar ist laut Gesetz weiterhin eine „schwerwiegende Beeinträchtigung der Rechte oder schutzwürdigen Interessen der Betroffenen“ notwendig. Die sperrige Wendung macht es schon deutlich: Hier ist eine Abwägung im Einzelfall erforderlich.

Wem muss was mitgeteilt werden?

Worst Case. Rien ne va plus. Jemand hat sich tatsächlich Zugriff auf die genannten Daten verschafft. Was tun?

Gesetzliche Pflicht ist eine sofortige persönliche Benachrichtigung der Betroffenen und der zuständigen Datenschutzbehörde, d.h. des jeweiligen Landesdatenschutzbeauftragten. Sollten, wie im Falle Sony, eine Vielzahl von Personen betroffen oder deren Kontaktdaten nicht bekannt und die persönliche Benachrichtigung daher mit unverhältnismäßigem Aufwand verbunden sein, kann sie durch eine Information der Öffentlichkeit in Form einer halbseitigen Anzeige in mindestens zwei bundesweit erscheinenden Tageszeitungen oder durch eine zur Information der Betroffenen ebenso geeignete Maßnahme ersetzt werden. Die Pflicht zur gesonderten Informierung der Datenschutzbehörden bleibt bestehen.

Die Betroffenen müssen bei der Benachrichtigung darüber informiert werden, auf welche Weise die Daten in fremde Hände gelangt sind und wie etwaige „nachteilige Folgen“ gemildert werden können. In der Benachrichtigung der Behörde müssen auch noch die möglichen nachteiligen Folgen und die daraufhin vom Unternehmen getroffenen Maßnahmen konkret benannt werden.

Sicherheit und Aufklärung gehen vor

Aber: Das Unternehmen darf vielleicht mit der Benachrichtigung warten. Nämlich dann, wenn eine sofortige Benachrichtigung die  Aufklärung des Sachverhalts oder den schnellstmöglichen Schließen der Sicherheitslücke behindern würden. So soll insbesondere verhindert werden, dass das bereits bestehende Datenleck weiteren Dritten eine einfache Angriffsfläche bietet. Weil die Behörden aber einer gesetzlichen Verschwiegenheitspflicht unterliegen, sind sie immer sofort nach Feststellung einer Drittkenntnisnahme zu informieren. Mit diesen Sicherheits- und Aufklärungserwägungen kann sich also ein Unternehmen niemals herausreden, wenn es völlig passiv geblieben ist.

Was bedeutet das für mein Unternehmen?

Ein Datenverlust ist neben dem Imageschaden auch ein rechtliches Problem. Pflichten können entstehen und bei deren Nichtbeachtung können Bußgelder zu 300.000 Euro anfallen. In der Aufarbeitung reicht also keine ausgefeilte Unternehmenskommunikation. Vielmehr ist eine datenschutzrechtlich korrekte Handhabung der Situation erforderlich. Ob eine Mitteilungspflicht besteht, kann nur nach sorgfältiger rechtlicher Prüfung festgestellt werden. Verschiedene Anknüpfungspunkte existieren dabei, um jedenfalls die unangenehme Mitteilungspflicht an Betroffene oder die Öffentlichkeit zu umgehen oder hinauszuzögern.

No Comments

Spätestens seit Veröffentlichung der Studie des Unabhängigen Landeszentrums für Datenschutz Schleswig-Holstein (ULD) zum Datenschutz in Onlinespielen ist bekannt, dass auch die staatlichen Datenschutzwächter die (Online-)spieleindustrie auf dem radar haben. Die ist Anlass genug, um – zugegeben etwas allgemeiner – zu fragen, obder Datenschutz  in seiner derzeitigen gesetzlichen Ausgestaltung noch zeitgemäß  ist? Wer als Anwalt im Bereich des Datenschutzes berät, merkt vor allem eines: Der Beratungsbedarf nimmt sehr stark zu. War Datenschutz noch vor wenigen Jahren selten mehr als ein Thema für den akademischen Elfenbeinturm, sind heute die Anstrengungen der Unternehmen zur Erreichung von datenschutzrechtlicher Compliance groß. Doch je ernster die Wirtschaft den Datenschutz nimmt, desto deutlicher wird seine kaum erfüllbare und aus heutiger Sicht vielleicht überholt wirkende Prämisse, nach der der Einzelne der Herr seiner Daten sein soll. Tatsächlich formieren sich inzwischen sogar Bewegungen, die gegen den Schutz der Daten des Einzelnen zu Felde ziehen und eine Epoche der Post-Privacy ausrufen

Geburtsstunde des Datenschutzes

Seinen Anfang nahm der Datenschutz mit dem sogenannten Volkszählungsurteil (BVerfGE 65,1 ff.) des Bundesverfassungsgerichts (BVerfG). Den Verfassungsbeschwerden gegen die für das Jahr 1984 geplante Volkszählung gab das Gericht statt. Die Karlsruher Verfassungshüter erfanden in ihrem Urteil ein neues Grundrecht auf Datenschutz: das Recht der informationellen Selbstbestimmung. Dazu kombinierte das Gericht zwei Annahmen:

1. In der vernetzen Welt droht der Verlust über die Kontrolle über unserer Daten.

[Die Entscheidung über den fremden Umgang mit den eigenen Daten] ist vor allem deshalb gefährdet, weil bei Entscheidungsprozessen nicht mehr wie früher auf manuell zusammengetragene Karteien und Akten zurückgegriffen werden muß, vielmehr heute mit Hilfe der automatischen Datenverarbeitung Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren Person technisch gesehen unbegrenzt speicherbar und jederzeit ohne Rücksicht auf Entfernungen in Sekundenschnelle abrufbar sind. Sie können darüber hinaus – vor allem beim Aufbau integrierter Informationssysteme – mit anderen Datensammlungen zu einem teilweise oder weitgehend vollständigen Persönlichkeitsbild zusammengefügt werden, ohne daß der Betroffene dessen Richtigkeit und Verwendung zureichend kontrollieren kann.

2. Dieser Kontrollverlust würde uns hemmen und damit der Gesellschaft schaden.

Wer nicht mit hinreichender Sicherheit überschauen kann, welche ihn betreffende Informationen in bestimmten Bereichen seiner sozialen Umwelt bekannt sind, und wer das Wissen möglicher Kommunikationspartner nicht einigermaßen abzuschätzen vermag, kann in seiner Freiheit wesentlich gehemmt werden, aus eigener Selbstbestimmung zu planen oder zu entscheiden.“

Die Annahmen aus heutiger Sicht

Der erste Schritt – die Realisierung der Gefahr des Kontrollverlustes – war eine treffende Vorausschau des Bundesverfassungsgerichtes schon zu Beginn der 1980‘er Jahre in die erst später durch und durch digitalisierte Welt. Aber war möglicherweise der zweite Schritt eine Fehleinschätzung: Ja, wir haben die Kontrolle über unsere Daten verloren, aber nein, das hemmt uns aber nicht?

Tatsächlich war jedenfalls das Bürgerbild, welches der BVerfG-Entscheidung zugrunde lag, der politisch interessierte und emanzipierte Bürger. In einer Zeit voller Demonstrationen gegen staatliches Treiben wie NATO Doppelbeschluss, Brokdorf, Wackersdorf und die Startbahn West erschien Teilen der Gesellschaft ihr Staat wenig vertrauenswürdig. Da musste es Widerstand gegen die staatliche Datenerfassung in Form einer Volkszählung geben. Der Bürger ist heute hingegen politisch weniger interessiert. Datenschutz ist als Abwehrrecht gegen den Staat nicht mehr sehr gefragt.

Auch sieht der Bürger heute auch einen Nutzen in der fremden Verwendung seiner Daten: Es agiert ja eher die Privatwirtschaft mit den Daten der Gesellschaft. Die Bürger empfinden aber diese privaten Unternehmen noch weniger als Bedrohung: Google ist ein Must-Have, Facebook eine nette Sache mit all den Freunden, und Amazon mitsamt seinen passenden Empfehlungen im Alltag richtig praktisch.

Ist der Bürger also bereit, den Kontrollverlust über seine Daten als Preis für die Nutzung der hilfreichen Medien zu akzeptieren? Die größeren Datenskandale der letzten Jahre waren für die betroffenen Unternehmen sehr unangenehm. Aber nicht unbedingt für die betroffenen Einzelpersonen. Und verliert jemand aufgrund von Facebook-Fotos seinen Job, ist das eine nette Fußnote aber kein grundsätzliches Problem. Kurz: Datennutzung durch Unternehmen tut nicht weh.

Quo vadis Datenschutz?

Braucht der Datenschutz eine Korrektur? Weil er zu streng ist? Ist das grundsätzliche Verbot (mit Erlaubnisvorbehalt), fremde Daten zu erheben und verarbeiten noch haltbar?

Bemerkenswerterweise steuert der Gesetzgeber derzeit jedenfalls in die entgegengesetzte Richtung: Die Obergrenzen für Bußgelder bei Datenschutzverstößen wurden erhöht auf stattliche EUR 50.000,00 und EUR 300.000,00; die Anforderungen an die sogenannte Auftragsdatenverarbeitung, ein wichtiges Tool für Outsourcings, sind stark verschärft.

Nun geht der Gesetzgeber noch weiter: In der geplanten Neuregelung zum Datenschutz von Beschäftigten soll das Bundesdatenschutzgesetz (BDSG) die Möglichkeit einschränken, dass sich Betroffene per Einwilligung mit der Verarbeitung ihrer Daten bereit erklären. Selbst wenn also Personen damit unverstanden wären, dürften ihre Daten nicht verarbeitet werden.

Aber ging es nicht genau darum: Selbstbestimmung als Recht? Der Betroffene soll selbst bestimmen dürfen, ob, wie und wann seine Daten von Dritten verwendet werden. Tatsächlich hatte das Bundesverfassungsgericht seinerzeit ein Recht entworfen, welches die Möglichkeit vorsah, seine Daten vertraulich zu halten; oder aber darüber zu verfügen. Allein für den Fall, dass die persönlichen Daten vertraulich bleiben sollten, war ein rechtlicher Rahmen erforderlich – der Datenschutz.

Selbstbestimmung oder Datenschutzpflicht?

Heute zeigt sich, dass ein großer Teil der Gesellschaft eher frei über seine Daten verfügen möchte. Dem muss der Datenschutz Rechnung tragen und die Selbstbestimmung der Nutzer respektieren. Der Gesetzgeber aber verschärft derzeit den Datenschutz immer weiter, nun sogar hinein zu einer Art Zwangsbeglückung der Betroffenen.

Vielleicht ist der Datenschutz noch nicht  ”so Eighties” . Aber der Datenschutz darf nicht zum Selbstzweck werden. Der Datenschutz muss so   weit vorhanden sein, wie ihn die Bedürfnisse der Bevölkerung erforderlich machen. Aber der Bürger ist nicht dafür da, um es dem Datenschutz recht zu machen.

3 Comments