Archiv des Monats August 2005

Allumfassende Speicherung von Kundendaten durch Amazon

Pressemitteilung von 25.08.2005:

Erstmals ist es einem Kunden von Amazon.de gelungen, im Wege eines Auskunftersuchens einen Einblick in die Datenspeicherpraxis des Unternehmens zu gewinnen. Amazon hat Millionen von Kunden in Europa und weltweit. Der Konzern hat sich insbesondere als Internet-Buchhändler einen Namen gemacht.

Aus der nun vorliegenden Auskunft ist zu schließen, dass das Unternehmen über seine Kunden so viele Daten wie nur möglich erfasst und speichert. Gespeichert werden offenbar:
- alle Eingaben und Klicks, die der Kunde jemals auf der Amazon-Website macht (sogenannter Click-Stream, z.B. Adressen, Zahlungsdaten, Suchwörter, betrachtete Waren),
- alle Bestellungen und Verkäufe über Amazon,
- jede Email an und von Amazon
ohne jede zeitliche Beschränkung. Gespeichert werden die Daten in Seattle, USA. In den USA sind Daten von Europäern gesetzlich kaum geschützt.

Den europäischen Datenschutzgesetzen zufolge darf Amazon Daten über Kunden nur insoweit speichern wie dies zur Vertragserfüllung erforderlich ist. Daten über Käufe und Verkäufe dürfen danach solange gespeichert werden, bis der Kaufpreis gezahlt ist. Die Kunden-Bestandsdaten (Adresse, Zahlungsdaten) dürfen gespeichert werden, solange die Geschäftsbeziehung besteht. Außerdem muss Amazon nach deutschem Recht Geschäftsbriefe (einschließlich geschäftlicher Emails) sieben Jahre lang aufbewahren. Diese Aufzeichnungen dürfen aber nur für steuerliche Zwecke genutzt werden. Im Übrigen ist eine Datenspeicherung Amazons nicht erforderlich und unzulässig. Dies betrifft den weitaus größten Teil der derzeit von Amazon gespeicherten Daten.

Die derzeitige Datenspeicherungspraxis von Amazon lässt sich mit einem Kaufhaus vergleichen, in dem jeder Kunde von einer Videokamera verfolgt und die Videobänder unbegrenzt aufbewahrt werden. Dass Internet-Buchhändler ebenso gut mit einigen wenigen Kundendaten auskommen können, zeigen deutsche Unternehmen wie buch.de.

Amazon-Kunden sollten sich bewusst sein, welche Folgen ein Einkauf bei Amazon für ihre Privatsphäre hat. Deswegen ist die Daten-Auskunft von Amazon nun auf www.daten-speicherung.de für jedermann einsehbar. Außerdem hat jeder Amazon-Kunde ein gesetzliches Recht auf Auskunft über seine Daten.

Erklärung über die Datenverarbeitung („Datenschutzerklärung“) von Amazon.de:
http://www.amazon.de/exec/obidos/tg/browse/-/3312401/ref=cs_nav_bn_3_2/028-1407393-3206941
Erklärung über die Datenverarbeitung („Datenschutzerklärung“) von Buch.de:
http://www.buch.de/buch-resources/base/templates/info/Datenschutz.html

Kommentieren

Zwingende Erhebung von Bestandsdaten durch GMX

Mail an Bundesbeauftragten für Datenschutz gesandt:

Sehr geehrte Damen und Herren,

die zwingende Erhebung von Bestandsdaten durch die GMX GmbH als Voraussetzung für die Bereitstellung kostenloser Emailaccounts halte ich für unzulässig und bitte Sie, gegen diese Praxis einzuschreiten.

Die Erhebung von Bestandsdaten ist bei kostenlosen Emailadressen, wie sie die GMX GmbH anbietet und wie ich sie nutze, weder für die Vertragsbegründung, -abwicklung noch zu Abrechnungszwecken erforderlich. Abrechnungszwecke scheiden bei kostenlosen Emailadressen aus. Auch zur Vertragsabwicklung sind persönliche Daten nicht erforderlich. Die GMX GmbH kann mit ihren Kunden in Kontakt treten, indem sie die vergebene Emailadresse verwendet. Im Übrigen liegt eine Kontaktmöglichkeit ausschließlich im Interesse des Kunden, zumal die GMX GmbH kostenlose Accounts jederzeit kündigen kann (siehe AGB). Es reicht daher, Kunden die Möglichkeit zu geben, Kontaktdaten anzugeben. Sie dürfen hierzu aber nicht gezwungen werden, wie es derzeit geschieht. Dies ist mit § 95 TKG unvereinbar.

Nach den §§ 3a BDSG, 95 TKG ist GMX verpflichtet, die anonyme Inanspruchnahme seines Freemaildienstes zu ermöglichen, weil die Erhebung von Bestandsdaten nicht zur Bereitstellung des Dienstes erforderlich ist. Ein anonymes Angebot der Dienste ist GMX auch technisch möglich und zumutbar. Die technische Möglichkeit eines anonymen Angebots ist unstreitig. Eine Unzumutbarkeit ist nicht erkennbar; die Schwelle ist hier hoch anzusetzen, um dem klaren Willen des Gesetzgebers nachzukommen, der wollte, dass die anonyme Bereitstellung von Telekommunikationsdiensten den Regelfall darstellt.

Die Zumutbarkeit des anonymen Angebots des Freemaildienstes ergibt sich schon aus der Vielzahl anonymer Emaildienste im Internet. Um nur zwei deutschsprachige Beispiele für Dienste, bei denen die Angabe persönlicher Daten freiwillig ist, zu nennen: freemail.abacho.de und www.inetmx.de. Dass andere Anbieter oft die Angabe persönlicher Daten verlangen mögen, wie GMX argumentiert, bedeutet nicht, dass diese Praxis rechtlich zulässig ist.

Bei Dauerschuldverhältnissen ist im „wirklichen“ Leben eine anonyme Abwicklung durchaus verbreitet. Als Beispiel kann der Kauf einer Monatskarte für den ÖPNV genannt werden. Auch die Deutsche Post AG speichert nicht, wer Briefkästen zum Empfang von Briefsendungen bereit hält. Dass eventuell eine rechtswidrige Nutzung erfolgen mag oder Schadensersatzansprüche entstehen mögen, gibt im „wirklichen“ Leben keinen Anlass zu einer vorsorglichen Datenerhebung und -speicherung. Im Internet kann dies nicht anders sein. Hier ist der Nutzer sogar besonders schutzbedürftig, weil eine umfassende Profilbildung möglich ist.

GMX rechtfertigt seine Datensammelei mit einer Reihe weiterer Argumente, die aber allesamt nicht durchgreifen:

1. Missbrauchsbekämpfung

Es ist nicht erkennbar, wie die Erhebung von Bestandsdaten zur Bekämpfung von Missbrauch beitragen soll. Jede Person, die beabsichtigt, einen Emailaccount zu missbrauchen, wird selbstverständlich falsche Angaben machen, z.B. eine beliebige Person aus dem Telefonbuch eintragen.

Dass die vorsorgliche Erhebung personenbezogener Daten – trotz der vielfäligen Umgehungsmöglichkeiten – zur Abschreckung von Missbrauch geeignet sein soll, bleibt eine unbewiesene Behauptung von GMX. Es ist nicht erkennbar, dass sich durch die Datenerhebung an der Netzkriminalität oder beispielsweise an der Flut unerwünschter Emails irgendentwas geändert hätte oder ändern könnte. Offensichtlich sind hier nur technische Schutzmaßnahmen wirksam, nicht der Versuch einer Abschaffung der anonymen Emailnutzung. Im Übrigen ist auch mit der Möglichkeit des anonymen Versands von Briefsendungen „dem Missbrauch Tür und Tor geöffnet“, ohne dass die Post deswegen die Daten sämtlicher Absender von Briefen speichern würde.

2. Kontaktaufnahme bei technischen Störungen

Zur Kontaktaufnahme mit dem Kunden genügt es, eine Email an die vergebene Emailadresse zu verschicken. Weitere Bestandsdaten sind dazu nicht erforderlich.

3. Kündigung

Zur Kündigung eines Vertrags ist es nicht erforderlich, über persönliche Daten des Kunden zu verfügen. Die Kündigung kann vielmehr per Email ausgesprochen werden. Wenn der Kunde nicht freiwillig andere Kontaktdaten angibt, erklärt er sich konkludent bereit, Erklärungen mittels der Emailadresse entgegenzunehmen.

Dass eine Kündigung nach den GMX-AGB schriftlich erfolgen muss, begründet ebenfalls keine Erforderlichkeit der Erhebung von Bestandsdaten. Hier genügt es, in den AGB die Kündigung per Email zu erlauben, falls der Kunde keine Bestandsdaten angegeben hat. Auch wird es GMX nicht schwer fallen, den Zugang der Kündigung in ein Postfach nachzuweisen, das sich auf dem eigenen Server befindet.

4. Schutz Minderjähriger

Um Minderjährige vor jugendgefährdenden Werbebannern (sofern diese überhaupt zulässig sind) zu schützen, ist die Erhebung des Geburtsdatums nicht erforderlich. Es genügt vielmehr ein Feld, in dem abgefragt wird, ob der Nutzer minderjährig ist.

Die Speicherung des Geburtsdatums ist selbst dann nicht erforderlich, wenn die Erhebung dieses Datums Benutzer zur wahrheitsgemäßen Angabe des Alters anhalten könnte, wie GMX behauptet. In diesem Fall würde es nämlich genügen, das Datum zu erheben, ohne es anschließend zu speichern. Es genügt die Speicherung der Angabe, ob der Kunde volljährig ist.

Insgesamt ist festzuhalten, dass der Gesetzgeber die Erhebung von Bestandsdaten nur für Dienste zulassen wollte, deren Angebot dies erfordert (§ 95 TKG). Nur für die Bereitstellung von Rufnummern hat er die Erhebung von Bestandsdaten unabhängig von der Erforderlichkeit angeordnet (§ 111 TKG), nicht aber für die Bereitstellung von Emailkonten. Hier sollte die anonyme Bereitstellung der Regelfall bleiben. Es lassen sich immer irgend welche Fallkonstellationen denken, in denen die Verfügbarkeit personenbezogener Daten nützlich sein kann. Dies kann aber nicht zu einer faktischen Aufhebung des Datenschutzrechts führen, das den Grundsatz der Datensparsamkeit postuliert (§ 3a BDSG).

Wegen der Vielzahl von Nutzern, welche die Dienste von GMX in Anspruch nehmen, ist es wichtig, für eine Einhaltung des geltenden Rechts zu sorgen. Ich würde mich daher freuen, wenn Sie sich der Sache annehmen.

Mit freundlichen Grüßen,

Weiterlesen

Kommentieren


 
Stoppt die Vorratsdatenspeicherung! Jetzt klicken & handeln!Willst du auch bei der Aktion teilnehmen? Hier findest du alle relevanten Infos und Materialien: