Die Bedeutung der Einwilligung für den Datenschutz in sozialen ...
Die Bedeutung der Einwilligung für den Datenschutz in sozialen ...
Die Bedeutung der Einwilligung für den Datenschutz in sozialen ...
Sie wollen auch ein ePaper? Erhöhen Sie die Reichweite Ihrer Titel.
YUMPU macht aus Druck-PDFs automatisch weboptimierte ePaper, die Google liebt.
Der Hamburgische Beauftragte <strong>für</strong><br />
<strong>Datenschutz</strong> und Informationsfreiheit<br />
<strong>Die</strong> <strong>Bedeutung</strong> <strong>der</strong> <strong>E<strong>in</strong>willigung</strong> <strong>für</strong> <strong>den</strong> <strong>Datenschutz</strong><br />
<strong>in</strong> <strong>sozialen</strong> Netzwerken<br />
Prof. Dr. Johannes Caspar<br />
(Vortrag auf <strong>der</strong> Konferenz „Onl<strong>in</strong>e Privacy: Consent<strong>in</strong>g to your Future“, Malta, März 2013)<br />
E<strong>in</strong> Bericht aus <strong>der</strong> Behör<strong>den</strong>praxis<br />
Viele soziale Netzwerke machen ihre Geschäfte mit <strong>den</strong> Daten <strong>der</strong> Nutzer. <strong>Die</strong>s ist ke<strong>in</strong>e<br />
Kritik, son<strong>der</strong>n e<strong>in</strong>e Feststellung. Für die Nutzer s<strong>in</strong>d ihre persönlichen Daten die<br />
E<strong>in</strong>trittskarte <strong>in</strong> die Welt <strong>der</strong> sche<strong>in</strong>bar grenzenlosen Kommunikation. <strong>Die</strong> kommerzielle<br />
Auswertung von Nutzerdaten ermöglicht die Ausforschung des Verhaltens im Internet. Durch<br />
die Verb<strong>in</strong>dung von verschie<strong>den</strong>en Datenquellen lassen sich detaillierte Profile e<strong>in</strong>zelner<br />
Personen erzeugen. <strong>Die</strong> Erhebung verschie<strong>den</strong>er Arten von Daten aus <strong>den</strong><br />
unterschiedlichsten Quellen im Zusammenhang mit <strong>der</strong> Nutzung von <strong>sozialen</strong> Netzwerken<br />
kann letztlich zu Fremdbestimmung und <strong>in</strong>formationeller Ausgrenzung führen. Hier droht <strong>der</strong><br />
irreversible Verlust, selbst über die Preisgabe und Verwendung <strong>der</strong> personenbezogenen<br />
Daten entschei<strong>den</strong> zu können.<br />
Was ist nun die stärkste Waffe <strong>der</strong> Nutzer gegenüber e<strong>in</strong>er datenschutzrechtlichen<br />
Fremdbestimmung nach Registrierung <strong>in</strong> e<strong>in</strong>em <strong>sozialen</strong> Netzwerk? Das zentrale Instrument<br />
des E<strong>in</strong>zelnen ist se<strong>in</strong>e <strong>in</strong>dividuelle Entscheidung als Ausdruck se<strong>in</strong>er Bestimmungsmacht,<br />
was das Netzwerk se<strong>in</strong>en Informationen machen darf. So sollte es je<strong>den</strong>falls se<strong>in</strong>. In <strong>der</strong><br />
Praxis gibt es jedoch Probleme.<br />
1. Opt-Out- und Opt-In-Strategien<br />
Zu unterschei<strong>den</strong> s<strong>in</strong>d zwei Ansätze, die <strong>für</strong> <strong>den</strong> <strong>Die</strong>nsteanbieter verschie<strong>den</strong> hohe<br />
Voraussetzungen <strong>für</strong> die Datenerhebung bedeuten und daher beson<strong>der</strong>en<br />
Präferenzen unterliegen. Das Opt-Out ist das Liebl<strong>in</strong>gsmodell <strong>der</strong> Anbieter, da hier <strong>in</strong><br />
www.datenschutz-hamburg.de<br />
E-Mail: mailbox@datenschutz.hamburg.de<br />
Klosterwall 6 - D-20095 Hamburg - Tel.: 040 - 4 28 54 - 40 40 - Fax: 040 - 4 28 54 – 40 00<br />
Vertrauliche Informationen sollten auf elektronischem Weg nur verschlüsselt an uns übermittelt wer<strong>den</strong>.<br />
Unser öffentlicher PGP-Schlüssel ist im Internet verfügbar (F<strong>in</strong>gerpr<strong>in</strong>t: 53D9 64DE 6DAD 452A 3796 B5F9 1B5C EB0E).
erster L<strong>in</strong>ie <strong>der</strong> Nutzer selbst aktiv wer<strong>den</strong> muss und die Verantwortung <strong>für</strong> die <strong>für</strong> ihn<br />
passen<strong>den</strong> E<strong>in</strong>stellungen trägt. Das Opt-Out-Verfahren ermöglicht <strong>den</strong><br />
<strong>Die</strong>nsteanbietern, die Vore<strong>in</strong>stellungen zum Schutz <strong>der</strong> Privatsphäre <strong>der</strong> Nutzer so zu<br />
wählen, dass sie ihrem eigenen Geschäftszweck am besten gerecht wird. Es ist dann<br />
Sache des E<strong>in</strong>zelnen, aktiv zu wer<strong>den</strong>, um z.B. die Vore<strong>in</strong>stellungen zum Zwecke<br />
e<strong>in</strong>es verbesserten <strong>Datenschutz</strong>es zu se<strong>in</strong>en Gunsten zu än<strong>der</strong>n.<br />
Das Opt-Out ist aus unterschiedlichen Grün<strong>den</strong> problematisch. Zunächst muss <strong>der</strong><br />
Nutzer die vom Anbieter vorgegebenen Prozesse <strong>der</strong> Datenverarbeitung dul<strong>den</strong>,<br />
ohne sich im E<strong>in</strong>zelnen über die Tragweite bewusst se<strong>in</strong> zu können. Häufig wird im<br />
Zuge se<strong>in</strong>er Registrierung, dessen Zustimmung zu <strong>den</strong> allgeme<strong>in</strong>en<br />
<strong>Datenschutz</strong>bestimmungen zumeist unterstellt.<br />
Denn <strong>in</strong> <strong>der</strong> Praxis s<strong>in</strong>d die <strong>Datenschutz</strong>- und Nutzungsbestimmungen <strong>der</strong> <strong>sozialen</strong><br />
Netzwerke häufig unverständlich und weitgehend <strong>in</strong>transparent. Oft fehlen klare und<br />
transparente Information <strong>der</strong> Nutzer, wie sie ihre Profile<strong>in</strong>stellungen möglichst<br />
datenschutzkonform vore<strong>in</strong>stellen können.<br />
Gerade mit Blick auf K<strong>in</strong><strong>der</strong> und Jugendliche s<strong>in</strong>d die Vorgaben hier oft viel zu<br />
komplex, so dass die E<strong>in</strong>sichtsfähigkeit <strong>für</strong> e<strong>in</strong> selbstverantwortliches<br />
<strong>Datenschutz</strong>management <strong>der</strong> Betroffenen häufig nicht vorhan<strong>den</strong> ist.<br />
<strong>Die</strong> datenschutzrechtlichen Gefahren von Opt-Out-Lösungen können durch die<br />
Beachtung des Grundsatzes privacy by default wesenlich abgemil<strong>der</strong>t wer<strong>den</strong>. Es ist<br />
daher zu begrüßen, dass <strong>der</strong> Entwurf <strong>der</strong> EU- <strong>Datenschutz</strong> Grundverordnung künftig<br />
<strong>in</strong> Artikel 23 e<strong>in</strong>e eigene Vorschrift über die Pflicht zu datenschutzfreundlichen<br />
Vore<strong>in</strong>stellungen vorsieht. Ob diese eher <strong>in</strong>direkte Regelung ausreicht, um Betreiber<br />
von <strong>sozialen</strong> Netzwerken künftig dazu zu verpflichten, <strong>für</strong> die Nutzer das Maximum an<br />
datenschutzfreundlichen E<strong>in</strong>stellungen vorzunehmen, wird sich zeigen. Dazu bedraf<br />
es weiterer Anstrengungen. Vor allem im Bereich <strong>der</strong> rechtlichen Regulierung von<br />
Technik.<br />
E<strong>in</strong>en besseren Schutz genießen die Nutzer im Bereich von Opt-In-Verfahren. Hier<br />
trägt <strong>der</strong> <strong>für</strong> die Verarbeitung Verantwortliche die Beweislast, dass die betroffene<br />
Person ihre <strong>E<strong>in</strong>willigung</strong> zur Datenverarbeitung erteilt hat. Ob e<strong>in</strong>e wirksame<br />
<strong>E<strong>in</strong>willigung</strong> vorliegt, ist <strong>in</strong> <strong>der</strong> Praxis nicht immer e<strong>in</strong>deutig. <strong>Die</strong> Gesichtserkennung,<br />
die durch die Facebook Inc. zunächst seit Ende 2010 <strong>in</strong> <strong>den</strong> USA, dann seit Mitte<br />
2011 auch <strong>in</strong> Europa zur Ermöglichung von Markierungsvorschlägen <strong>für</strong> Nutzer<br />
e<strong>in</strong>gesetzt wird, zeigt dies deutlich.<br />
2
Durch das biometrische Verfahren wird die Gesichtsbiometrie registrierter Personen<br />
erfasst und automatisch ausgewertet. Facebook selbst hatte bei E<strong>in</strong>führung dieser<br />
Funktion die Nutzer nicht darüber <strong>in</strong>formiert, dass ihre Gesichter biometrisch<br />
ausgewertet wer<strong>den</strong>. Später wurde dann e<strong>in</strong>e Möglichkeit zur Deaktivierung <strong>der</strong><br />
Funktion <strong>in</strong> <strong>den</strong> Privatsphäree<strong>in</strong>stellungen geschaffen. Aufgrund des sich<br />
entwicklen<strong>den</strong> Wi<strong>der</strong>stands bei weiten Teilen <strong>der</strong> Nutzer, verbaucher- und<br />
<strong>Datenschutz</strong>behör<strong>den</strong> wies Facebook die Nutzer e<strong>in</strong>malig auf die Gesichtserkennung<br />
und die Möglichkeit zur Deaktivierung h<strong>in</strong>g.<br />
Facebook war <strong>der</strong> Auffassung, damit alles Erfor<strong>der</strong>liche getan zu haben, um e<strong>in</strong>e<br />
<strong>E<strong>in</strong>willigung</strong> <strong>der</strong> Betroffenen herbeizuführen. Frei nach dem Motto: Wer nicht<br />
deaktiviert, <strong>der</strong> willigt eben e<strong>in</strong>. Das Verhalten des Nutzers, die Gesichtserkennung<br />
nicht zu deaktivieren, wird hier als <strong>E<strong>in</strong>willigung</strong> gewertet.<br />
Ich habe sehr deutlich darauf h<strong>in</strong>gewiesen, dass das Unterlassen e<strong>in</strong>er Handlung –<br />
die Deaktivierung – nicht <strong>in</strong> e<strong>in</strong>e <strong>E<strong>in</strong>willigung</strong> des Nutzers umgedeutet wer<strong>den</strong> kann.<br />
Es hat sehr jedoch lange gedauert, bis Facebook diese - nicht von allen europäischen<br />
<strong>Datenschutz</strong>beauftragten - später aber auch von <strong>der</strong> Artikel 29-Gruppe geteilte<br />
Rechtsauffassung akzeptiert hat.<br />
So war es zunächst erfor<strong>der</strong>lich, e<strong>in</strong> Verwaltungsverfahren mit e<strong>in</strong>er anschließen<strong>den</strong><br />
Anordnung gegen Facebook zu erlassen, die darauf abzielte, dass Facebook e<strong>in</strong>e<br />
<strong>E<strong>in</strong>willigung</strong> <strong>der</strong> Nutzer e<strong>in</strong>holen o<strong>der</strong> aber die biometrischen Daten löschen musste.<br />
Hierauf hat Facebook schließlich reagiert. <strong>Die</strong> Funktion <strong>der</strong> Gesichtserkennung<br />
wurde e<strong>in</strong>gestellt und die bis dah<strong>in</strong> gespeicherten Daten <strong>der</strong> Betroffenen gelöscht.<br />
Dass e<strong>in</strong>e <strong>E<strong>in</strong>willigung</strong> künftig unzweifelhaft e<strong>in</strong>e explizite Willensbekundung <strong>in</strong> Form<br />
e<strong>in</strong>er Erklärung o<strong>der</strong> e<strong>in</strong>er sonstigen e<strong>in</strong>deutigen Handlung erfor<strong>der</strong>t, macht nun auch<br />
erfreulicherweise <strong>der</strong> Entwurf <strong>der</strong> EU-<strong>Datenschutz</strong>grundverordnung deutlich.<br />
Erlauben Sie mir noch e<strong>in</strong>e kle<strong>in</strong>e Anmerkung am Rande: Das gesamte behördliche<br />
Verfahren um die ohne <strong>E<strong>in</strong>willigung</strong> erfolgte Gesichtserkennung durch Facebook<br />
zeigt deutlich das Dilemma des europäischen <strong>Datenschutz</strong>es: Hier<strong>für</strong> verantwortlich<br />
s<strong>in</strong>d nicht nur unterschiedliche Me<strong>in</strong>ungen über aufsichtsbehördliche Zuständigkeiten,<br />
son<strong>der</strong>n auch unterschiedliche Auffassungen über die Auslegung europäischen<br />
Rechts. <strong>Die</strong> EU-<strong>Datenschutz</strong>grundverordnung (General data protection regulation)<br />
lässt be<strong>für</strong>chten, dass die ausschließlich aufsichtsbehördliche Zuständigkeit <strong>der</strong><br />
Behörde am Ort <strong>der</strong> Hauptnie<strong>der</strong>lassung des Verantwortlichen zu e<strong>in</strong>em Forum-<br />
Shopp<strong>in</strong>g <strong>der</strong> großen Internet-Konzerne führen wird. <strong>Die</strong>se wer<strong>den</strong> auch unter dem<br />
Gesichtspunkt <strong>der</strong> materiellen Auslegung und Vollzugs des Rechts vor Ort ihre<br />
3
Sitzwahl treffen. E<strong>in</strong> Race to the bottom droht. Es sollte daher darüber nachgedacht<br />
wer<strong>den</strong>, die beteiligten Aufsichtsbehör<strong>den</strong> <strong>in</strong>sbeson<strong>der</strong>e <strong>für</strong> <strong>den</strong> Fall e<strong>in</strong>es<br />
Untätigbleibens <strong>der</strong> fe<strong>der</strong>führen<strong>den</strong> Behörde mit e<strong>in</strong>em Selbste<strong>in</strong>trittsrecht unter<br />
beraten<strong>der</strong> Beteiligung des Europäischen <strong>Datenschutz</strong>ausschusses auszustatten.<br />
<strong>Die</strong>s würde verh<strong>in</strong><strong>der</strong>n, dass datenverarbeitende Unternehmen ihre<br />
Hauptnie<strong>der</strong>lassung künftig am Ort <strong>der</strong> verme<strong>in</strong>tlich schwächsten Aufsichtsbehörde<br />
wählen.<br />
2. Weitergabe personenbezogener Daten durch Dritte auf Veranlassung des Netzwerks<br />
als Problem<br />
E<strong>in</strong>e Beson<strong>der</strong>heit stellt die Weitergabe von Daten Dritter an <strong>den</strong> Netzwerkbetreiber<br />
ohne e<strong>in</strong>e <strong>E<strong>in</strong>willigung</strong> <strong>der</strong> Betroffenen dar. Konkret g<strong>in</strong>g es <strong>in</strong> <strong>der</strong> Vergangenheit<br />
dabei um das sogenannte Friend-F<strong>in</strong>dung-Verfahren von Facebook. Danach erhält<br />
Facebook üver dritte Personen Daten, <strong>in</strong>dem die Plattform die Nutzer dazu e<strong>in</strong>lädt,<br />
persönliche Kontakte, die beim Email-Provi<strong>der</strong> o<strong>der</strong> auf dem Handy gespeichert s<strong>in</strong>d,<br />
Facebook zur Verfügung zu stellen. Facebook gleicht sodann die Kontaktdaten Dritter<br />
gegen Daten von Facebook-Mitglie<strong>der</strong>n ab, um danach entwe<strong>der</strong> die E<strong>in</strong>ladung e<strong>in</strong>es<br />
Kontaktes <strong>in</strong> das Netzwerk bei Nicht-Facebook-Nutzern o<strong>der</strong> die Zusendung e<strong>in</strong>er<br />
Freundschaftswerbung <strong>in</strong>nerhalb des Netzwerks bei Facebook-Nutzern<br />
vorzuschlagen. Viele Personen fan<strong>den</strong> es zutiefst beunruhigend, von Facebook<br />
angeschrieben zu wer<strong>den</strong>, obwohl sie mit dem <strong>sozialen</strong> Netzwerk bislang gar nichts<br />
zu tun hatten. Das von Facebook praktizierte Verfahren des Friend-F<strong>in</strong>dung<br />
ermöglicht es nicht nur <strong>für</strong> <strong>den</strong> eigenen <strong>Die</strong>nst Werbung bei Nichtnutzern zu treiben,<br />
son<strong>der</strong>n auch durch großflächiges Auslesen von Adressbüchern Beziehungsprofile<br />
unterschiedlicher Personen, die bei dem Netzwerk gar nicht angemeldet s<strong>in</strong>d,<br />
herzustellen.<br />
Im Juli 2010 habe ich e<strong>in</strong> Bußgeldverfahren gegen Facebook Inc. wegen <strong>der</strong><br />
Erhebung, Speicherung und Nutzung <strong>der</strong> Daten von Nichtnutzern zu<br />
Market<strong>in</strong>gzwecken ohne <strong>der</strong>en <strong>E<strong>in</strong>willigung</strong> e<strong>in</strong>geleitet. Im Laufe dieses Verfahrens<br />
ist es zu längeren Verhandlungen mit Facebook gekommen. Es konnte e<strong>in</strong>e<br />
Vere<strong>in</strong>barung erzielt wer<strong>den</strong>, durch die das Friend-F<strong>in</strong>d<strong>in</strong>g-Verfahren <strong>in</strong> vielen<br />
Punkten europaweit datenschutzkonform umgestaltet wurde. Zu nennen s<strong>in</strong>d <strong>in</strong><br />
diesem Zusammenhang folgende wesentliche Än<strong>der</strong>ungen:<br />
Facebook weist im Zusammenhang mit <strong>der</strong> Erhebung <strong>der</strong> Daten auf die<br />
beson<strong>der</strong>e Verantwortung <strong>der</strong> jeweiligen Nutzer <strong>für</strong> das Importieren <strong>der</strong><br />
Adresse und <strong>der</strong> Versendung e<strong>in</strong>er E<strong>in</strong>ladung h<strong>in</strong>.<br />
4
Der Nutzer erhält ferner zur eigenständigen Verwaltung <strong>der</strong> importierten<br />
Adressen e<strong>in</strong> Adressbuch, das ihm die eigenständige Adressverwaltung<br />
ermöglicht. Damit ist <strong>den</strong> Nutzern selbst die Weitergabe <strong>der</strong> Adressen<br />
zuzurechnen.<br />
Zum Schutz von Nicht-Mitglie<strong>der</strong>n des Netzwerks, <strong>der</strong>en Daten im Rahmen<br />
des Friend-F<strong>in</strong>d<strong>in</strong>g-Verfahren durch die Nutzer auf Facebook importiert<br />
wer<strong>den</strong>, hat Facebook akzeptiert, dass die Adressen nur zum Zweck <strong>der</strong><br />
Freundessuche verwendet wer<strong>den</strong> dürfen.<br />
Ferner ist <strong>der</strong> e<strong>in</strong>gela<strong>den</strong>e Nicht-Facebook-Nutzer über e<strong>in</strong>en L<strong>in</strong>k <strong>in</strong> <strong>der</strong><br />
E<strong>in</strong>ladung genau darüber zu <strong>in</strong>formieren, welchen H<strong>in</strong>tergrund die<br />
Übersendung <strong>der</strong> E<strong>in</strong>ladung hat.<br />
Schließlich wird ihm e<strong>in</strong> Opt-Out zur Verfügung gestellt, das dem Empfänger<br />
die Gelegenheit gibt, <strong>der</strong> Verwendung se<strong>in</strong>er Email-Adresse <strong>für</strong> die<br />
Freundessuche <strong>für</strong> die Zukunft zu wi<strong>der</strong>sprechen.<br />
<strong>Die</strong> Entwicklung e<strong>in</strong>es Opt-Out <strong>in</strong> diesem Zusammenhang – und nicht etwa e<strong>in</strong>er<br />
<strong>E<strong>in</strong>willigung</strong> - erschien tragfähig, zumal die Adressweitergabe an Facebook eben auf<br />
Geheiß <strong>der</strong> Nutzer selbst erfolgt und <strong>in</strong>soweit e<strong>in</strong>e datenschutzrechtliche<br />
Verantwortlichkeit von Facebook nicht besteht.<br />
Damit ist es auch beim Friend-F<strong>in</strong>d<strong>in</strong>g-Verfahren gelungen, Facebook europaweit auf<br />
e<strong>in</strong> verän<strong>der</strong>tes Verfahren festzulegen, das <strong>den</strong> Anfor<strong>der</strong>ungen des <strong>Datenschutz</strong>es<br />
entspricht.<br />
3. Fazit<br />
Abschließend bleibt festzustellen, dass <strong>in</strong> <strong>der</strong> Vergangenheit Probleme mit <strong>der</strong><br />
<strong>E<strong>in</strong>willigung</strong> gerade bei <strong>der</strong> Nutzung von Facebook durch <strong>den</strong> E<strong>in</strong>satz rechtlicher<br />
Instrumente, aber ohne gerichtliche Ause<strong>in</strong>an<strong>der</strong>setzungen beigelegt wer<strong>den</strong> konnten.<br />
Es zeigt sich, dass die Frage <strong>der</strong> <strong>E<strong>in</strong>willigung</strong> sehr vielgestaltig ist. Künftig ist durch die<br />
EU-<strong>Datenschutz</strong>verordnung e<strong>in</strong>e materielle Stärkung des <strong>Datenschutz</strong>rechts zu<br />
erwarten. <strong>Die</strong>s gilt <strong>für</strong> die explizite <strong>E<strong>in</strong>willigung</strong> wie auch <strong>für</strong> <strong>den</strong> Grundsatz privacy by<br />
default. Ob dies auch beim Rechtsvollzug gilt, ist angesichts des bürokratischen<br />
Kohärenzverfahrens und <strong>der</strong> ausschließlichen Zuständigkeit <strong>der</strong> Aufsichtsbehörde am<br />
Ort <strong>der</strong> Hauptnie<strong>der</strong>lassung noch fraglich. Hier ist e<strong>in</strong> tragfähiges Modell, etwa auf <strong>der</strong><br />
Basis e<strong>in</strong>es Selbste<strong>in</strong>trittsrechts von Aufsichtsbehör<strong>den</strong>, zu for<strong>der</strong>n. Nur so wird sich e<strong>in</strong>e<br />
e<strong>in</strong>heitlicher an an e<strong>in</strong>em hohen Standard des <strong>Datenschutz</strong>es ausgerichteter<br />
Rechtsvollzug künftig absichern lassen.<br />
5