Wann darf ich personenbezogene Daten zu Werbezwecken nutzen?

Die im August abgelaufene Übergangsfrist über die Verwendung personenbezogener Daten (die vor dem 1. September 2009 erhoben wurden) hat in vielen Vertriebs- und Marketingabteilungen für Aufregung gesorgt, da viele befürchteten, dass sie keine Werbung mehr an Ihre Kunden schicken dürfen. Zentrale datenschutzrechtliche Grundlage (neben § 7 UWG für das Wettbewerbsrecht) ist § 28 Abs. 3 BDSG. Eine Norm, bei der der klassische Schulspruch „Ein Blick ins Gesetz erleichtert die Rechtsfindung“ einen schweren Stand hat. Es ist daher zu begrüßen, dass Bayerische Landesamt für Datenschutzaufsicht nun als federführende Aufsichtsbehörde in der Arbeitsgruppe „Werbung und Adresshandel“ klar Anwendungshinweise (pdf) herausgegeben hat.

Die Anwendungshinweise des LDA erklären die einzelnen, teilweise verschachtelten (oder gar versteckten?) Zulässigkeitsvoraussetzungen für die Verwendung personenbezogener Daten gut. Zwar lassen die Hinweise auch weiterhin Interpretationspielraum an der einen oder anderen Stelle zu, sind jedoch bereits eine erste Hilfe für alle Werbetreibenden. Leider sind die datenschutzrechtlichen Anforderungen nur die eine Seite der Medaille. Die andere Seite, die wettbewerbsrechtlichen Voraussetzungen, die sich nicht mit den datenschutzrechtlichen Anforderungen decken, werden leider nur am Rande erwähnt.

Ein Leben ohne Google…

Morgen, am 1. März 2012, treten die neuen Datenschutzbestimmungen für alle Google Dienste in Kraft. Durch diese neuen zentralen Datenschutzbestimmungen soll der „Wildwuchs“ zwischen den einzelnen Diensten gestutzt werden. Das gleiche „Datenschutzniveau“ soll künftig für alle Dienste gelten. Das alleine ist nicht verwerflich. Europäische Datenschützer laufen jedoch Sturm, weil Google gleichzeitig die Daten aller Dienste verknüpfen und daraus detaillierte Nutzerprofile generieren will. Die berechtigte Kritik hat der Kollege Stadler bereits vor einigen Wochen anschaulich zusammengestellt.

Google zeigt sich jedoch unbeeindruckt und spielt auf Zeit. Da Politik und Datenschützer sich die Zähne ausbeißen, ist der Internet-Nutzer auf sich alleine gestellt. Er hat die Wahl:

  1. Die Profilbildung und umfangreiche Datensammlung akzeptieren
  2. Seine Google Accounts bis heute „aufzuräumen“ etwa die Web-Historie oder bei Youtube oder
  3. Man löscht zusätzlich seinen gesamten Google Account

Ich habe mich heute für die dritte Alternative entschieden. Nicht weil ich in Google den großen übermächtigen „evil“ Feind sehe, sondern weil ich auch künftig Herr meiner personenbezogenen Daten bleiben will. So oder so eine Herausforderung. Gerade im Internet. Aber dazu am Ende mehr.

Ich war nie ein großer Nutzer der registrierungspflichtigen Google Dienste. Der GMail-Account war hauptsächliche Newsletter-Grab, Googles Geisterstadt+ hatte ich bereits vor einigen Tagen verlassen, da nach einer anfänglichen Neugier der Mehrwert eines zusätzlichen SocialMedia Accounts schnell verpufft war.

Google bietet alles in allem gute Produkte an, doch wen man mal anfängt sich das Google Dashboard genauer anzusehen, dann findet man viele Daten und Altlasten. Google hat ohne Zweifel bereits heute jede Menge personenbezogene Daten über mich. Aber will ich, dass Google all diese Daten, die teilweise bis 5-6 Jahre alt sind, zu einem Profil verknüpft und anhand dieser Daten Werbung und Suchergebnisse personalisiert? Gerade die mit Google+ eingeführte personalisierte Suche bietet dabei das Potential die Informationsfreiheit des Nutzers einzuschränken, wenn dies in einiger Zeit mal anhand des eigenen Profils erfolgen könnte… eine (für mich) beunruhigende Entwicklung.

Das große Problem bei der künftigen Datenhandhabe, bei der eh schwer überschaubaren Datenerhebung wird es wohl künftig noch viel schwieriger (etwa durch das Löschen von Altdaten) die Personalisierung zu beeinflussen oder gar abzuschalten. Das ist allerdings Voraussetzung dafür, dass ich als Nutzer, Herr meiner personenbezogenen Daten bleibe. Ich muss die Entscheidungsfreiheit haben, welche personenbezogenen Daten von mir, von wem, zu welchem Zweck und wie lange verwendet werden. Um Herr seiner Daten  zu bleiben, sollte man sich zudem nicht in die (unfreiwillige) Abhängigkeit eines übermächtigen Diensteanbieters begeben. Googles Dienste sind gut, aber sie sind nicht unersetzbar. Die Entscheidung war daher schnell getroffen.

Ein Leben ohne Google? Bislang fühlt es sich gut an.

Quo vadis Datenschutz?

Im öffentlichen Fokus des Datenschutzrechts stand letztes Jahr eindeutig der Datenschutz bei SocialMedia. Da war zunächst die überraschende Ankündigung des hamburgischen Datenschutzbeauftragten, dass Google Analytics nach knapp zweijährigem Streit nun endlich datenschutzkonform nutzbar sei. Die Ankündigung war überraschend, weil die Zeichen in den Monaten zuvor  eher auf Konfrontation zwischen Google und dem Datenschützer standen. Doch die präsentierte Lösung erscheint bei genauerem Hinsehen mehr als fragwürdig. Nicht nur erschwert es den Nutzern aufgrund formaler Hürden den Einsatz von Google Analytics, auch wirft die Lösung neue Fragen auf, ob das gewählte Verfahren tatsächlich datenschutzkonform oder lediglich ein „politischer“ Kompromiss ist.

Das große Thema des Jahres war allerdings der Streit zwischen Facebook und dem schleswig-holsteinischen Datenschutzbeauftragten Weichert. Nach Auffassung des Datenschützers ist der Einsatz von Facebook Seiten und des Like-Buttons datenschutzrechtlich unzulässig, da hier bereits mit der IP-Adresse personenbezogene Daten in unzulässiger Weise erhoben und verarbeitet würden. Weichert bringt damit die alte Diskussion über den Personenbezug von IP-Adressen wieder in volle Fahrt. Aber auch die Frage der Verantwortlichkeit bei der Erhebung von Daten über iFrames wird dabei neu thematisiert.

Beide Fälle haben verdeutlicht, dass es nicht darum geht, komplexe technische Sachverhalte datenschutzgerecht abzubilden oder lange bestehende Rechtsfragen gerichtlich zu klären, sondern über medienwirksame Aktionen eigene Rechtsansichten durchzusetzen. Ob dies auf Dauer erfolgreich sein wird, bleibt abzuwarten. Mit dem Ergebnis von Google Analytics vor Augen, sollte man jedoch nicht allzu viel Klarheit im Datenschutzrecht erwarten.

Währenddessen schreiten technische Entwicklung und Nutzergewohnheiten unbeirrt fort, ohne dem Anschein nach große Rücksicht auf Datenschutz zu nehmen. Insbesondere im Bereich der Smartphones nehmen die Datensammlungen von Geräteherstellern, Netzprovidern und App-Anbietern drastisch zu. Beispielhaft wurde hier etwa die Datensammlung des beliebten Messengers Whats App analysiert. Aber weitere Dienste sind auf dem Weg und bieten hohes Konfliktpotential mit dem Datenschutz. Der große Hype seit Einführung des iPhone 4S sind ganz klar Spracherkennung und -steuerung. Apple hat mit Siri eindrucksvoll gezeigt, wie mächtig eine sprachliche Steuerung von Geräten sein kann und auf der CES stellen weitere Hersteller ähnliche Steuerungen vor, egal ob Smartphone, Computer oder TV.  Was ist an Sprachsteuerung datenschutzrechtlich problematisch? In vielen Fällen, erfolgt die Analyse des Sprachbefehls nicht auf dem jeweiligen Gerät sondern in mächtigen Rechenzentren, wo die gesprochenen Befehle zudem gespeichert werden.

Die Sprachsteuerung scheint dabei allerdings nur ein erster Schritt bei der „Vermenschlichung“ und persönlichen Bindung von technischen Geräten zu sein. Gesichtserkennung und umfangreiche Profilbildung, mit denen Dienste den Nutzer unabhängig vom genutzten Gerät erkennen, nehmen am Horizont bereits Anlauf. Die Datenschutz relevanten Entwicklungen nehmen daher rasant zu. Die Diskussion über die Entwicklung des Datenschutzes wird dabei dem Anschein nach zunehmends radikaler. Auf der einen Seite scheinen Nutzer bereit zu sein, mehr Daten von sich Preis zu geben um die neuartigen Dienste, die auch eine Erleichterung des Alltags sein können, zu nutzen. Auf der anderen Seite wird mit einem veralterten Datenschutz argumentiert, der letztlich zu einem Verbot solcher Entwicklungen führt.

Datenschützer, Bürger und Politiker müssen sich offen den Entwicklungen stellen und hinterfragen ob Datenschutz als Verbotsgesetz noch zeitgemäß ist, oder ob damit mittlerweile nicht eine Bevormundung der Bürger erfolgt und die geschützte persönliche Handlungsfreiheit nicht bereits unzulässig eingeschränkt wird.

Warum iFrames keine Auftragsdatenverarbeitung sind…

Im Streit um die datenschutzrechtliche Zulässigkeit des Facebook Like-Buttons macht der Unterausschuss „Neue Medien“ des Bundestags heute ein Expertengespräch zu diesem Thema ab. Im Vorfeld wurden den eingeladenen Experten, zu denen auch der schleswig-holsteinische Datenschutzbeauftragte Thilo Weichert gehört, vorbereitende Fragen gestellt. Thilo Weichert hat diese Fragen auch bereits beantwortet und seine Antworten veröffentlicht (pdf).

Unter den Fragen findet man den Einwand, dass die kritisierte Einbindung des Like-Buttons, nicht nur diesen betrifft sondern eine Reihe von Diensten (etwa Youtube).  Die Antwort von Herrn Weichert: Die in diesen Fällen verwendete iFrames Technologie stelle ein Fall der Auftragsdatenverarbeitung gemäß § 11 BDSG dar.

Diese Auffassung ist meines Erachtens nicht nur gewagt, sondern auch nicht mit dem rechtlichen Gedanken der Auftragsdatenverarbeitung vereinbar. Warum?

Zunächst muss man sich klar machen, was ein iFrame überhaupt ist? Letztlich handelt es sich um eine Weiterentwicklung der seit den Anfangstagen des Internets bekannten (und rechtlich viel diskutierten) Frame-Technolgie. Der Einzige Unterschied besteht darin, dass der fremde Seiteninhalt nicht als Teil einer Tabelle geladen wird, sondern als Objekt. Vergleichbar mit einem Bild. Darüberhinaus besteht die Möglichkeit ganz präzise bestimmte Inhalte (statt ganze Webseiten) einzubinden. Insoweit ist der iFrame kein „Novum“ sondern kann auch im Hinblick auf die juristische Bewertung, als Fortentwicklung von Frames (mit allen Vor- und Nachteilen) gesehen werden.

Was bedeutet das für die datenschutzrechtliche Beurteilung? Frames standen aus juristischer Sicht insbesondere wegen der Zueigenmachung fremder Inhalte in der Diskussion. Datenschutzrecht spielte dabei keine oder nur eine äußerst untergeordnete Rolle. Eine Auftragsdatenverarbeitung findet jedoch bei einem klassischen Frame nicht statt, allein weil im Zweifel der Betreiber der per Frame eingebundenen Webseite davon keine Kenntnis hat und damit auch keine Daten im „Auftrag“ verarbeitet. Das mag bei Social Plugins etwas anders sein, da diese Webseitenbetreibern gerade zum Zwecke der Einbindung angeboten werden.

Eine Auftragsverarbeitung findet dennoch nicht statt, da die Grundvoraussetzung der Auftragsdatenverarbeitung nicht gegeben ist. Damit eine Auftragsdatenverarbeitung vorliegt, muss der Auftragsdatenverarbeiter die personenbezogenen im Auftrag und auf Weisung des Auftraggebers verarbeiten. Der Auftragnehmer hat nur eine Hilfs- und Unterstützungsfunktion und ist bei der Verarbeitung von den Vorgaben des Auftraggebers abhängig  (So etwa Wedde in Däubler/Klebe/Wedde/Weichert,(!) Kommentar zum BDSG, § 11, Rn. 5). Anders gesagt, die Auftragsdatenverarbeitung scheidet zwangsläufig aus, sobald die verarbeitende Stelle ein eigenes Interesse an der Verarbeitung und diese (Weiter-) Verarbeitung auch eigenständig durchführt.

Gerade dies ist jedoch bei den Social Plugins der Fall. Weder Facebook noch YouTube verarbeiten personenbezogene Daten streng im Auftrag des Webseitenbetreibers und schon gar nicht als Hilfs- oder Unterstützungsfunktion. Im Gegenteil. Sie verarbeiten diese im eigenen Interesse und ohne jeglichen Einfluss des Webseitenbetreibers. Dieser mag zwar „Zweckveranlasser“ sein, da dieser Begriff dem Datenschutzrecht in seiner aktuellen Gestaltung fremd ist, macht dies den Webseitenbetreiber nicht automatisch zum Auftraggeber einer Auftragsdatenverarbeitung.

Eine Auftragsdatenverarbeitung wird daher beim Einsatz von iFrames regelmäßig ausscheiden. Nur in Einzelfällen wird möglicherweise eine Auftragsdatenverabeitung vorliegen.

 

Update: Henning Tillmann zeigt anschaulich, dass es sich hier nur um alten Wein in neuen Schläuchen handelt.