Die Kontroverse um Datenschutz im Internet wurde zuletzt von einem Aufreger dominiert: Die datenschutzrechtliche Zulässigkeit des Facebook-Gefällt-mir-Buttons und der Facebook-Fanseiten. Besuchen Internetnutzer eine Webseite, die das Tool einbindet oder eine Fanseite, werden Nutzerdaten an Facebook übermittelt. Zudem wird der Nutzer auf weiteren Wegen durch das Internet von Facebook verfolgt. Das Unabhängige Landeszentrum für Datenschutzrecht (ULD) in Schleswig-Holstein erkannte darin einen Verstoß gegen Datenschutzrecht, wobei die Verantwortlichkeit der Webseitenbetreiber sowie die Zuständigkeit des ULD jedoch umstritten sind. Das ULD mahnte zahlreiche öffentliche Stellen ab (vgl. Hofmann, Grundrechte-Report 2012, S. 29 ff.). Bei Redaktionsschluss waren drei Verfahren beim Verwaltungsgericht Schleswig anhängig. Das ULD begrüßte dies, damit endlich Rechtssicherheit geschaffen werde. Das Vorgehen des ULD gegen die greifbaren Webseitenbetreiber ist wohl zu Teilen auch als Hilferuf an den Gesetzgeber zu deuten, dass man dem eigentlichen Problem – der Datensammelwut von Facebook – nur beikommen könne, wenn endlich ein tragfähiges Datenschutzrecht für das digitale Zeitalter entwickelt werde.

Kein Ausweg aus Facebook?

Facebook sammelt indes weiter fleißig Daten seiner einer Milliarde Nutzer. So hat Facebook laut dem Audit-Bericht der irischen Datenschutzbehörde von September 2012 nicht nachweisen können, dass es Nutzerprofile und -daten unwiederbringlich innerhalb von 40 Tagen nach dem Begehren durch den Nutzer löscht. Eine Lösung deutete sich Ende 2012 aber für die scharf kritisierte Gesichtserkennung an. Bislang hielt Facebook für den Dienst, auf hochgeladenen Fotos abgebildete Personen automatisch zu identifizieren, eine Datenbank mit biometrischen Merkmalen vor, ohne eine Einwilligung für die Speicherung und Nutzung dieser Merkmale eingeholt zu haben. Facebook erklärte, die Funktion endgültig abzuschalten und die Datenbank zu löschen. Die bisherige Möglichkeit, nachträglich Widerspruch gegen die Nutzung biometrischer Merkmale einzulegen, genügte nicht dem deutschen und europäischen Datenschutzrecht. Facebook wird sich wohl nicht endgültig von diesem Feature verabschieden. Das Unternehmen hat im Juni 2012 für ca. 80 – 100 Millionen US-Dollar das Start-up Face.com gekauft, das sich dafür rühmt, die genaueste Gesichtserkennungssoftware der Welt zu besitzen, die neben dem Geschlecht einer Person nun auch deren Alter und Stimmung erkennen will.

Neue Transparenz! Das heißt: Bessere Sicht auf alte Probleme

Die neuen Nutzungsbedingungen, mit denen Facebook als Reaktion auf die Kritik von Datenschützern mehr Transparenz schaffen wollte, sind ein Schlag ins Wasser. Facebook hatte diese seinen Nutzern nach Protesten zur Abstimmung gestellt. Fast 87 Prozent stellten sich gegen die neuen Regelungen. Um bindend zu sein, hätte der Beschluss jedoch von 1/3 der Facebook-Nutzer getragen werden müssen, also von mehr als 250 Millionen Menschen; an der Abstimmung beteiligt hatten sich jedoch nur etwas weniger als 350.000 Personen. Bereits die Abstimmung litt unter fehlender Transparenz. Nur die Facebook-Nutzer erfuhren davon, die die Seite „Facebook Site Governance“ per „Gefällt mir“-Button gewürdigt hatten. Dies traf nur auf ca. 2 Millionen Facebook-Nutzer zu. Wenigstens das Transparenz-Problem kann als gelöst gelten: Im Dezember 2012 hat Facebook das Mitbestimmungsrecht der Nutzer über Änderungen von Nutzungsbedingungen gänzlich abgeschafft. Die seit Juni 2012 geltenden Bestimmungen enthalten neben einigen Klarstellungen zur Datenerhebung und -verwendung auch eine Ausweitung der Speicherdauer sowie der öffentlichen Zugänglichmachung zahlreicher personenbezogener Daten. An diversen Stellen wird das Einwilligungserfordernis weiterhin ignoriert. Künftig soll zudem die Durchsuchbarkeit von Facebook weiter erleichtert werden.

Noch mehr Datendiebe – Ausfor­schen…

Mit dem wachsenden Umfang der erfassten Daten werden zunehmend Begehrlichkeiten von Dritten geweckt. Im Juni 2012 wurde bekannt, dass die SCHUFA künftig Zugriff auf die in sozialen Netzwerken preisgegebenen Daten nehmen wolle, um so die Kreditwürdigkeit einer Person besser bewerten zu können. Nach aufbrandendem Protest  hat die SCHUFA schnell das vorläufige Ende des Projekts angekündigt, ohne sich jedoch inhaltlich davon zu distanzieren. Die interessierenden Daten waren neben Adress- und Kontaktdaten solche, aus denen Rückschlüsse auf das Vermögen einer Person gezogen werden könnten. Hierbei handelt es sich um eindeutig personenbezogene Daten, weshalb für eine solche Nutzung ein Rechtfertigungstatbestand vorliegen müsste. Während eine Einwilligung nicht vorliegt, stellt das Gesetz sowohl an die Sammlung als auch an die Auswertung der Daten strenge Anforderungen. Sich auf die allgemeine Zugänglichkeit zu berufen, scheint jedenfalls angesichts des ständigen Ignorierens der Einwilligungserfordernisse bei Datenerhebungen zu kurz gedacht.

… und jagen

Auch die Strafverfolgungsbehörden nutzen soziale Netzwerke für ihre Zwecke. Bis vor kurzem veröffentlichte die Polizei in Niedersachsen Fahndungen direkt auf Facebook. Im Januar 2012 war diese Praxis eingestellt worden, da behördliche Daten nicht ohne gesetzliche Legitimation auf Servern im Ausland liegen dürfen. Seither liefert die Facebook-Fahndung „nur“ einen Link mit ersten Informationen, der auf die Seite der Polizei führt, sodass weitere personenbezogene Daten auf dem polizeieigenen Server verbleiben sollten, wo sie von den „Freunden“ der Polizei eingesehen werden können. Dass Facebook ohne gewisse technische Vorkehrungen, die zuletzt zumindest seitens der Polizei noch nicht implementiert waren, verlinkte Seiten durch seine Roboter durchsuchen lässt und damit Daten auch weiterhin auf dem Facebook-Server im Ausland liegen, scheint die Technikabteilung des LKA übersehen zu haben. Ein anderes Konzept sieht vor, die Fahndungsseiten der Polizei künftig bei Facebook einzubetten, sodass dort die Kommentar- und Chatfunktion genutzt werden können. Problematisch werden solche als Treibjagd ausgestalteten Massenfahndungen spätestens dann, wenn sich der Gesuchte am Ende als unschuldig erweist. Die betreffenden Daten finden sich weiterhin im Netz und dürften regelmäßig die Grenzen Facebooks überschreiten. Tatsächlich schien z.B. die Polizei in Hannover teilweise nach dem Prinzip „Wir schießen mal in den Busch und schauen was sich bewegt“ zu fahnden. Im Falle einer Brandstiftung lieferte sie einen Link auf einen Karton, der bei einem Brandanschlag auf einem Bundeswehrgelände genutzt wurde, verbunden mit der Frage: „Wer kann Angaben zu Personen machen, die solche Kartons – möglicherweise in größerer Stückzahl – gekauft oder besessen haben?“. Das hierbei unweigerlich auch Unschuldige angeschwärzt werden können, liegt auf der Hand. In einem anderen Fall verlautbarte die hannoversche Polizei öffentlich, dass man sich um eine namentlich genannte Internetseite mit kinderpornografischen Inhalten bereits kümmere. Generell erhöht ein solches Vorgehen die Bekanntheit einer solchen Seite. Auch der „shitstorm“ auf die Seite ließ nicht lange auf sich warten. Die weitere polizeiliche Prüfung ergab schließlich, dass auf der verlinkten Seite keine Kinderpornografie im strafrechtlichen Sinne zu finden sei. Darüber hinaus drängt die Strafverfolgung auf eine unmittelbare Kooperation. Die „Junge Polizei“ fordert, Facebook müsse gewährleisten, dass künftig Accounts realen Nutzern zuordenbar seien und die Ermittlungsbehörden schnelleren Zugriff auf die Daten der Nutzer bekämen, insbesondere um illegale Facebook-Parties zu bekämpfen. Ein datenschutzrechtlich tragfähiges Konzept blieb man schuldig. Das Ansinnen steht zudem im Gegensatz zur datenschutzrechtlichen Forderung einer pseudonymen Nutzungsmöglichkeit für Facebook. Die AGB von Facebook, die derzeit einen Klarnamenzwang auch für das Profil vorsehen, verstoßen gegen § 13 Telemediengesetz. Die Datenschutzbehörden drohen mit einem Zwangsgeld; ein Prozess ist möglich. Facebook beruft sich stets darauf, dem Datenschutzrecht in Irland, wo es einzig Daten von EU-Bürgern verarbeite, zu genügen. In anderen Bereichen ist die Kooperation zwischen Facebook und den Behörden angelaufen. Facebook kann die privaten Chats seiner Nutzer anhand von Schlüsselbegriffen scannen. In Zusammenschau mit den persönlichen Daten der Nutzer werden die Inhalte ausgewertet und können bei Verdachtsfällen den Behörden übermittelt werden. In dem Scannen der privaten Kommunikation liegt ein immenses Potenzial zur Totalüberwachung und tendenziell eine Kollision mit dem Fernmeldegeheimnis und weiteren datenschutzrechtlichen Grundsätzen.

Do it yourself!

Das Geschäftsgebaren von Facebook, das mähdrescherartige Abernten von Nutzerdaten und die gefahrträchtigen Begehrlichkeiten, die das Netzwerk und dessen Datenbestand auf Seiten Dritter wecken, sind zwei Seiten einer Medaille. Es ist Aufgabe der supranationalen Gesetzgebung, ein dem digitalen Zeitalter angemessenes Datenschutzrecht zu entwickeln. Die geplante europäische Datenschutz-Grundverordnung könnte ein einheitliches und fähigeres Datenschutzrecht bedeuten.  Bis dahin kann nur stets erinnert werden: Facebook ist ein Geschäft. Facebook will Geld verdienen. Facebook verdient Geld mit den Daten der Nutzer. Das ist das Geschäftsmodell. Facebook selbst ist kein Gesetz. Niemand wird gezwungen, einen Facebook-Account zu nutzen. Effektiver Datenschutz ist zurzeit in erster Linie eine Frage der Datenschutzkompetenz der Nutzer und der bewussten Nutzerentscheidung.

Der Beitrag Die Sammelleidenschaft von Facebook: Kein schönes Hobby, ein fragwürdiges Geschäft erschien zuerst auf Humanistische Union.

Das Internet wird mittlerweile von Social Media dominiert. Soziale Netzwerke, Blogging-Dienste, Foren und themenspezifische Bewertungs- und Multimediaplattformen werden von Nutzern mit persönlichen Inhalten versehen. Einerseits bedeutet diese Möglichkeit, sich nahezu ohne Hürden und unbegrenzt zu entäußern, eine Teilhabe am gesellschaftlichen Austausch und im besten Fall eine Demokratisierung und Dehierarchisierung des öffentlichen und durch Artikel 5 Absatz 1 GG geschützten Meinungsbildungsprozesses. Andererseits bildet der einzelne durch das digitale Interagieren teilweise bewusst, größtenteils jedoch unbewusst ein detailreiches virtuelles Persönlichkeitsprofil aus, das vor dem Zugriff Dritter kaum effektiv zu schützen ist.

Soziale Netzwerke als Daten­monster

Das gilt insbesondere für die Nutzung sozialer Netzwerke. Was die Nutzer dort nicht von sich aus offenbaren, trägt der Anbieter weithin unbemerkt und auf rechtlich fragwürdige Weise zusammen. Dies bedeutet eine Aushöhlung des in Artikel 2 Absatz 1 in Verbindung mit Artikel 1 Absatz 1 GG gewährleisteten Rechts auf informationelle Selbstbestimmung. Es garantiert, selbstständig darüber zu entscheiden, ob überhaupt und in welchem Umfang, personenbezogene Daten an Dritte gelangen. Vor allem das soziale Netzwerk Facebook erweist sich angesichts seiner Marktmacht als Datenkrake, die nahezu vollständige Sozialprofile von ihren Nutzern erstellt. Facebook hat in Deutschland derzeit rund 20 Millionen, weltweit ca. 800 Millionen Mitglieder. An deren Daten besteht vielfältiges Interesse. Unternehmen nutzen die Daten bereits für interessenspezifisches Marketing, Arbeitgeber können eh nicht genug über ihre Bewerber wissen und staatliche Stellen müssten sich nicht selbst um die Erlangung sensibler Informationen kümmern.

Die Sammelwut von Facebook beginnt bei den Inhalten, die der einzelne willentlich in sein Profil aufnimmt (laut Nutzungsbedingungen unter dem richtigen Namen), über die Freundes-Liste und die öffentlichen und „privaten“ Chats bis hin zu den Nutzungsdaten, die das Nutzerverhalten außerhalb des eigentlichen Netzwerks abbilden. Facebook forciert diese Entwicklung: Seit langem weitet es sog. Privacy-Einstellungen sukzessive aus. Das bedeutet, dass  Voreinstellungen von Facebook so gesetzt sind, dass eine Vielzahl von Profil-Inhalten und Aktivitäten durch „Freunde“, zu weiten Teilen auch durch fremde Facebook- oder allgemein Internetnutzer eingesehen werden können. Auch standardmäßig aktiviert ist z. B. die Facebook-Gesichtserkennung: Wenn ein Nutzer Fotos hochlädt, schlägt Facebook Namen zu abgebildeten Personen vor. Hierdurch werden eventuelle Verletzungen des Rechts am eigenen Bild durch Facebook zumindest vertieft. Grundlage für die Funktion ist eine Datenbank, in der Facebook biometrische Merkmale sammelt. Facebook müsste für die Speicherung und Nutzung dieser Merkmale vorab die ausdrückliche Einwilligung der Nutzer einholen, was es nicht tut. Nach gescheiterten Gesprächen droht die Hamburgische Datenschutzbehörde nun mit Bußgeldern und Ordnungsverfügungen. Facebook meint hingegen pauschal, das europäische Datenschutzrecht sei gewahrt.

Der gläserne Mensch 2.0

Die brodelnde Unzufriedenheit mit dem Datenschutz in sozialen Netzwerken entlud sich jüngst in einer Kontroverse um die Zulässigkeit von Social Plugins, insbesondere dem Facebook „Gefällt mir“-Button. Diesen können Website-Anbieter als externen Dienst in ihr Angebot einbetten. Betritt ein nicht bei Facebook registrierter Nutzer die Seite, wird seine IP-Adresse an Facebook übermittelt. War das Nicht-Mitglied vorher bereits auf der Facebookseite, hat es einen Cookie eingepflanzt bekommen, mittels dessen er 90 Tage verfolgt werden kann; bei einer späteren Facebookregistrierung könnten die gesammelten Daten dem Profil zugeordnet werden. Bei angemeldeten Facebook-Nutzern wird zumindest der Besuch der Website unter zeitlicher Angabe und Nennung des Usernames an Facebook übermittelt und kann mit dort bereits vorhandenen Daten (Adresse, Beruf, Freunde, politische Einstellung usw.) zusammengeführt werden; Facebook speichert diese Daten zwei Jahre und erstellt über die weit verbreiteten Plugins schließlich ein umfassendes Bewegungsprofil des identifizierbaren Nutzers im Internet. Durch die Betätigung des Buttons wird das Nutzer-Profil schließlich um die Würdigung erweitert.

Das Unabhängige Landeszentrum für Datenschutz (ULD) Schleswig-Holstein wies im August 2011 daraufhin, dass die Einbindung der Plugins gegen deutsches und europäisches Datenschutzrecht verstoße und forderte alle Websitebetreiber in Schleswig Holstein unter Bußgeldandrohung dazu auf, Plugins bis Ende September abzuschalten. Zur Begründung führte es an, dass durch deren Einbettung einwilligungslos, ohne gesetzlichen Erlaubnistatbestand sowie unter Vernachlässigung von Informationspflichten Verkehrs- und Inhaltsdaten an Facebook USA weitergegeben würden und eine qualifizierte Rückmeldung an den Betreiber hinsichtlich der Nutzung seines Angebots erfolge  (Reichweitenanalyse); der Website-Betreiber sei datenschutzrechtlich verantwortlich, da er durch den Entschluss, das Plugin zu nutzen, die Datenerhebung initiiere und diese zu eigenen Zwecken nutze, nämlich zur Bewerbung des eigenen Angebots. Weitere Landesbeauftragte für Datenschutz schlossen sich dieser Rechtsauffassung an. Allerdings hat bisher kaum eine der gemahnten Seite den „Gefällt mir“-Button entfernt. Schärfere behördliche Maßnahmen sollen daher folgen.

Ob den Websitebetreibern die datenschutzrechtliche Verantwortlichkeit zuzuweisen ist, wird kontrovers diskutiert. Als ein Weckruf an den Gesetzgeber, ein handhabbares Datenschutzrecht für den digitalen und grenzüberschreitenden Datenverkehr zu entwickeln, ist das Tätigwerden des ULD jedoch zu begrüßen. So sind die existierenden Regelwerke zur Erfassung aller datenschutzrelevanten Prozesse in Social Media nicht geeignet und ihre Durchsetzung kaum möglich. Facebook hat sich jüngst wenigstens insofern bewegt, als Datenspeicherung- und -verwendung künftig transparenter ablaufen sollen. Die Anforderungen an Zweckbindung und Einwilligung werden hierdurch jedoch nicht gewahrt. Insofern bleibt Facebook hinsichtlich der problematischen Datenverarbeitungsprozesse stur und verstärkt stattdessen seine Lobbyarbeit. Auf europäischer Ebene soll ab Januar 2012 über die Novellierung des Datenschutzrechts beraten werden. Derzeit geplant sind unter anderem Regelungen für eine Anwendbarkeit des Datenschutzrechts des Nutzer- nicht des Anbieterstandorts, umfassende und praktische Löschungsoptionen sowie restriktivere Privacy-Voreinstellungen. Die Bundesregierung möchte die Ergebnisse abwarten.

Der Beitrag Von lahmenden Jägern und gierigen Sammlern – Facebook & Co. stellen das Datenschutzrecht vor neue Herausforderungen erschien zuerst auf Humanistische Union.