Einsatz von Akismet verstößt gegen Datenschutz

Eigentlich liegt es auf der Hand, aber erst durch dieses Posting wachgerüttelt, ist es erst klar geworden: Die Verwendung von Akismet dürfte gegen das Bundesdatenschutzgesetz verstoßen. Wie in dem Artikel von Playground aufgelistet wird, werden zum Zwecke der SPAM-Bekämpfung eine Reihe von Daten beim Kommentieren an den Akismet-Server übermittelt und dort verarbeitet bevor das PlugIn dann entscheidet, ob es sich bei einem Kommentar um SPAM oder einen zulässigen Kommentar handelt. Das schöne daran. Akismet funktioniert sehr zuverlässig, denn es erhält Daten von tausenden von Blogs.

Die Idee stammt aus der Schmiede der WordPressgründer. Diese sitzt natürlich in den USA und, wie ich hier in den letzten Monaten gelernt habe, hat man für das nun folgende weder Verständnis noch Gespür.

Akismet überträgt von dem heimischen Blog an den Akismet-Server in den USA für jeden Kommentar u.a. die E-Mail Adresse, die IP, den Namen, den Inhalt des Kommentars, die UserID von angemeldeten Usern, Serverdaten und und und. Aus dem langen Streit wissen wir, das IPs personenbezogene Daten sein können, E-Mail Adressen und Namen sicherlich und die Kombination von alle dem sowieso. Nach dem hohen deutschen (bzw. europäischen) Datenschutzniveau stellt sich daher die Frage, ob die Übermittlung an Akismet überhaupt rechtens ist.

Dabei kommen nach dem BDSG eigentlich nur 2 Konstellationen in Betracht:

1. Auftragsverarbeitung
2. Oder eine Übermittlung die nach §§ 28-30 BDSG gerechtfertigt ist.

1. Auftragsverwaltung

Eine Auftragsverwaltung liegt etwa im klassischen Outsourcingfall vor. Originäre Aufgaben eines Unternehmens werden an ein anderes ausgelagert. Das ursprüngliche Unternehmen bleibt aber bei dem ganzen Prozess Herr der Daten. Akismet errechnet für den jeweiligen Blogbetreiber, ob es sich bei dem abgegebenen Kommentar um SPAM handelt oder nicht. Von daher könnte man auf die Idee kommen, dass es sich um einen Fall der Auftragsdatenverarbeitung handelt. Doch die Daten, die von den Kommentaren an Akismet gesendet werden, werden dort mit Daten von anderen Webseiten vermengt. Es ist daher keine reine Auftragsdatenverarbeitung.

2. Übermittlung nach §§ 28 ff BDSG

Bliebe also die normale Datenübermittlung nach BDSG. Diese ist zunächst in § 28 Abs. 1 BDSG geregelt. Dafür müsste aber zunächst einer der drei Fälle vorliegen. Als solches kommt eigentlich nur Nr. 2 in Betracht. Die SPAM Bekämpfung dürfte jedenfalls ab einem gewissen Ausmaß und Bekanntheit des Blogs die Wahrung eines berechtigten Interesses sein. Jedoch ist eine Übermittlung nur dann zulässig wenn keine schutzwürdigen Interessen des Betroffenen vorliegen. Im vorliegenden Fall werden die Daten in die USA übermittelt. Die USA hat kein von der EU anerkanntes Schutzniveau. Daher wird nach § 4b BDSG in diesem Fall der Spieß umgedreht. Es liegen keine schutzwürdigen Interessen des Betroffenen vor, die einer Übermittlung entgegenstehen, wenn eine entsprechendes Datenschutzniveau nachgewiesen wurde.

Dies wäre etwa der Fall, wenn Automattic dem Safe-Harbor beitreten würde.

Sofern ich also mit meiner Beurteilung richtig liege, ist die Übermittlung der Kommentardaten durch das Akismetplug-in in die USA datenschutzrechtlich höchst problematisch. Die Konsequenz wäre übrigens, dass eine Datenschutzbelehrung nicht ausreichen würde, die Übermittlung wäre dann nur noch mit ausdrücklicher Einwilligung möglich.