Datenschutz: Aufsichtsbehörden erklären Facebook „Fanpage“ und „Gefällt mir“-Button für illegal

Offenbach (02.11.2011) - Viele Unternehmen haben heute eine Fanpage und einen Facebook „Gefällt mir“-Button auf ihren Internetseiten. Beides ist im Interesse der Kundengewinnung bzw. Kundenbetreuung für die Marketingabteilungen sehr wichtig geworden. Das "Unabhängige Landeszentrum für Datenschutz Schleswig Holstein" (ULD) hat jetzt Maßnahmen gegen Unternehmen angekündigt, die Facebook einsetzen. Verwiesen wird dabei auf die EU-Datenschutzrichtlinie (2002/58/EG ff.), das Bundesdatenschutzgesetz (BDSG) und das Telemediengesetz (TMG).

Stark vereinfacht kann die Datenschutz-Situation auf folgenden Sachverhalt konzentriert werden:

• Beim Einsatz des "Gefällt mir"-Button werden personenbezogene Daten des Nutzers durch einen vorgegebenen Programmcode an Facebook übertragen. Und zwar ohne das der Nutzer dies verhindern kann.

• Es werden von bei Facebook angemeldeten oder nicht angemeldeten Nutzern und von Facebook-Verweigerern Daten über ihr Nutzungsverhalten gespeichert und an Dritte weitergegeben.

• Es ist vor dem Aufruf von Fanpages z.Z. nicht möglich, den Nutzer über die Nutzung seiner Daten aufzuklären und ihn zustimmen zu lassen.

• Es werden die Unternehmen belangt, da diese für den Einsatz verantwortlich sind. Facebook kann als nicht in der EU ansässiger Dienstleister nicht belangt werden.

Jedem Nutzer werden auch ohne Drücken des Buttons schon beim Besuch einer Internetseite mit einem Facebook-Button 4 Cookies mit einer Laufzeit bis zu 2 Jahren installiert (Facebook Nutzer bekommen zusätzlich noch 26 Java-Programmdateien). Dabei ist das Cookie „datr“ eine Art Nutzer-ID, woran Facebook und seine Partner immer wieder erkennen können, welche Internetseiten dieser PC/Browser bzw. Facebook-Nutzer wann und wie lange benutzt hat, um damit Persönlichkeits- und Verhaltensprofile aller (!) Nutzer zu erstellen.

Anders ausgedrückt: Der Betreiber einer Internetseite mit dem „Gefällt mir“-Button erlaubt Facebook, personenbezogene Daten des Nutzers zu erheben und diese explizit ohne Zustimmung an einen Dritten weiter zu geben.

Der Nutzer kann dies nicht ablehnen (oder dem zustimmen) und der Betreiber der Internetseite sagt ihm auch nicht, was eigentlich genau übertragen, gespeichert und mit anderen Daten verknüpft wird: Das scheitert schon daran, dass er es nicht genau weiß.

Die Folge: ein Verstoß gegen EU-Gesetze und das BDSG.

Im Internet wird vielfach als Lösung vorgeschlagen, sich die Zustimmung des Nutzers für eine Datenübertragung an Facebook und Dritte durch eine „Vorseite“ vor dem Drücken des „Gefällt mir“- Buttons einzuholen.
Dazu müsste der Internetbetreiber (Diensteanbieter) die übertragenen Daten und deren Verwendung durch Facebook und Partner genau und verständlich sowie die Auswirkungen einer Zustimmung erläutern. Dies ist faktisch nicht möglich, da Facebook dies keinem mitteilt und die bekannten Infos äußerst komplex sind. Ein Verweis auf die Allgemeinen Geschäftsbedingungen (AGB) oder die Datenschutzerklärung von Facebook ist auch nicht ratsam, da diese nicht einmal minimalen rechtlichen Anforderungen entsprechen.
Durch die Datenverarbeitung durch einen Dritten (Facebook und dessen Partner) müsste der Dienstanbieter weiterhin einen Auftragsdatenverarbeitungsvertrag (ADV) mit Facebook abschließen.

Die rechtliche Folge für Internetbetreiber ist so oder so, dass Unternehmen sich die Handlungen ihres Dienstleisters Facebook zurechnen lassen müssen.

Leider gilt ähnliches auch für die Fanpage: Erleichtert wird die Situation zwar, dass Facebook-Nutzer in aller Regel bereits den Facebook AGBs und der Datenschutzerklärung zwar zugestimmt haben, aber fraglich ist, ob diese Zustimmung rechtlichen Bestand hat. Also müsste das Unternehmen den Nutzer so rechtzeitig belehren, bevor (!) dieser die Fanpage besucht (siehe oben).

In der letzten Oktoberwoche wurden Facebook und Google durch einige Datenschützer der Länder, der EU und des Bundesdatenschutzbeauftragten angehört. Die Datenschutzbeauftragten blieben - nicht überraschend - bei ihrer Ansicht, dass auch für US-Unternehmen die EU-Gesetze gelten und mahnten Änderungen an.

Also was tun als Unternehmen?
Einfach ausgedrückt: Sich nicht von den möglichen Bußgeldern nach TMG und BDSG von jeweils bis zu 50.000 € aus der Ruhe bringen lassen und die Situation von ihrem Datenschutzbeauftragten beobachten lassen.

Da - trotz in Stellungbringen von Facebook-Lobbyisten - ein Kompromiss ohne Aufgabe des jetzigen Facebook-Geschäftsmodells nicht in Sicht scheint, ist Unternehmen dringend zu empfehlen, sich über andere Werbemöglichkeiten Gedanken machen.

Jürgen Rosenow
All-in-Media GmbH
Gesellschaft für Datenschutz und Datensicherheit
info@all-in-media.com

Presse-Kontakt:

All-in-Media GmbH

Markwaldstraße 11

D-63073 Offenbach am Main / Frankfurt

T: 069 / 56999220

F: 069 / 56999221

E: presse@all-in-media.com

www.all-in-media.com  

Verantwortlich: Jürgen R. Rosenow, Tel. 069 / 56999220  

Ansprechpartner: Jürgen R. Rosenow

E-Mail: presse@all-in-media.com Tel. 069 / 56999220  

Über die All-in-Media GmbH

Das All-in-Media Angebot reicht von der Stellung eines externen Datenschutzbeauftragten bis zur Beratung in Datenschutz-, Datensicherheits-, IT-Prozessfragen und ist herstellerunabhängig. Die von uns betreuten Unternehmen haben eine Größe von 20 bis 2.500 Mitarbeitern und kommen aus den Branchen Telekommunikation, Versicherung, Industrie, Medien, Dienstleister, Hotel, Handwerk, Steuerberatende Berufe und IT-Unternehmen. Die All-in-Media GmbH ist Mitglied im Berufsverband der Datenschutzbeauftragten Deutschlands.

Mehr über die All-in-Media GmbH: www.all-in-media.com