- Daten-Speicherung.de – minimum data, maximum privacy - https://www.daten-speicherung.de -

Datenkrake eBay mauert bei Auskunftersuchen

Seit 2003 versuche [1] ich, von eBay Auskunft über die Daten zu erhalten, die dort im Laufe der Jahre über mich angesammelt worden sind. Seit ebenso vielen Jahren weigert sich eBay mit wechselnden Begründungen. Jetzt liegt eine neue Stellungnahme von eBay vor:

„Den Ausführungen von […] habe ich entnommen, dass es ihm vor allem darum geht, Auskunft über seinen angeblich durch uns gespeicherten „Klickstream“, sowie die verschickten und empfangenen Nachrichten zu erhalten. Offensichtlich unterliegt […] hinsichtlich des „Klickstreams“ einem profundem Missverständnis.

Er zitiert mehrmals aus der Ziffer 2 der eBay Datenschutzinformationen „Allgemeine Hinweise zum Umgang mit Ihren Daten“. Dort heißt es:

„Hinzu kommt, dass ihr Computer automatisch Informationen wie IP-Adresse, Browser-Typ, und Zugriffszeit an eBay übermittelt, wenn Sie die eBay-Website benutzen. Auch diese Informationen werden von uns, zum Teil in anonymisierter Form, gespeichert. Sie helfen uns, das Navigationsverhalten unserer Mitglieder besser zu verstehen. Weiterhin helfen Sie uns bei der Durchsetzung unserer AGB, bei der Unterbindung betrügerischen Verhaltens und werden unter Umständen für Beweiszwecke benötigt.“

Offenbar hat […] bedauerlicherweise den Nebensatz „zum Teil in anonymisierter Form“ übersehen und unterstellt uns wohl daher, dass wir jedwede Nutzung der eBay Seite personenbezogen speichern. Dies ist jedoch unzutreffend.

Bei über 19 Millionen unterschiedlichen Nutzern alleine auf www.ebay.de [2] z.B. in November 2006 wäre es vollkommen abwegig, die aufgerufenen eBay Seiten oder eingegebene Suchworte personenbezogen zu speichern. Genau diese Informationen werden schon aus wirtschaftlichen Gründen nur anonymisiert und akkumuliert gespeichert.

Da wir die Daten, die […] als „Klickstream“ bezeichnet, allenfalls anonymisiert speichern, können wir auch keine Auskunft hierüber erteilen.

Eine personenbezogene Speicherung der IP-Adresse findet dagegen statt, soweit die Nutzung der eBay Seite in Zusammenhang mit einer konkreten Transaktion oder einer rechtlich oder einer unter Sicherheitsaspekten relevanten Handlung steht, so zum Beispiel bei der Einstellung eines Angebots, bei der Abgabe eine Gebots, der Änderung des Passworts oder der Registrierung eines Mitgliedskontos. Insoweit dient die personenbezogene Speicherung dieser Daten sehr wohl der Einhaltung gesetzlicher Aufbewahrungsfristen und Zwecken der Datensicherheit.

Was die empfangenen und verschickten Nachrichten und eMails angeht, kann […] sich problemlos selbst über „Mein eBay“ unter „Meine Nachrichten“ einen Überblick verschaffen. Unabhängig davon, dass diese Informationen nicht unter den Auskunftsanspruch nach BDSG fallen, gehe ich davon aus, dass sich […] Anfrage insoweit erledigt hat, da er selbst in seinem Auskunftsersuchen Informationen ausgenommen hat, die über „Mein eBay“ für ihn einsehbar sind.

Der Vollständigkeit halber erlaube ich mir noch den Hinweis, dass die von […] zitierte Aussage im Urteil des LG Ulm und der Kommentierung von Gola/Schomerus, dass „Auskunftsersuchen erfahrungsgemäß die seltene Ausnahme sind“, für eBay unzutreffend ist. Alleine bei eBay Deutschland sind mehr als 20 Millionen Mitglieder registriert. Insoweit ist es nicht verwunderlich, dass sich die Anzahl der Auskunftsersuchen im Jahr 2006 im vierstelligen Bereich bewegt hat und insoweit ein erheblicher Aufwand mit der Bearbeitung verbunden war.“

Meine Antwort an die Datenschutzaufsicht:

1. eBay betreibt Desinformation, wenn es behauptet, es speichere nur anonymisierte und keine personenbezogenen Nutzungsdaten.

Unstreitig dürfte sein, dass eBay das gesamte Nutzungsverhalten der Besucher – also jeden Klick und jede Eingabe – mitsamt der vollständigen IP-Adresse des Nutzers speichert (sogenannter Klickstream). Eine Erläuterung des Begriffs „Klickstream“ findet sich auf http://www.wi3.uni-erlangen.de/anwendungen/wiwiki/wiki/Clickstream. [3]

2. Diese Daten sind nicht „anonymisiert“, sondern personenbezogen, weil sie die Bestimmung des jeweiligen Nutzers ermöglichen können (gerade zu diesem Zweck speichert eBay ja die ungekürzte IP-Adresse mit!).

a) Verwendet der Nutzer eine gleichbleibende, „statische“ IP-Adresse, so ist die Zuordnung zur Person des Nutzers mithilfe öffentlicher Datenbanken im Internet problemlos möglich.

b) Verwendet der Nutzer eine temporäre, „dynamische“ IP-Adresse, so ist die Zuordnung unter Zuhilfenahme der Daten des jeweiligen Zugangsanbieters möglich. Solche Datenabfragen erlaubt § 113 TKG [4] etwa der Polizei und Geheimdiensten.

Dass bei Anbietern von Telediensten gespeicherte IP-Adressen personenbezogene Daten darstellen, hat das Landgericht Berlin bereits entschieden (Az. 27 O 616/05 [5] vom 10.11.2005, CR 2006, 418 [6]). In Bezug auf einen Anbieter von Inhalten im Internet hat es ausgeführt: „Bei den begehrten Daten Namen und Anschrift handelt es sich, anders als die dynamischen IP-Adressen, die als Nutzungsdaten anzusehen sind, auch um sogenannte Bestandsdaten (vgl. Spindler u.a., TDG, 2004, § 3 TDDSG, Rn. 5).“ Nach § 15 [7] Telemediengesetz sind Nutzungsdaten stets personenbezogen.

Auch die „Orientierungshilfe zum Umgang mit personenbezogenen Daten bei Internetdiensten“ http://www.datenschutz.hessen.de/_old_content/tb31/k25p03.htm [8]) des Arbeitskreis Medien der deutschen Konferenz der Datenschutzbeauftragten des Bundes und der Länder führt unter Punkt 3.1 zutreffend aus, dass bei Anbietern von Telediensten gespeicherte IP-Adressen personenbezogene Daten darstellen.

3. Entgegen den Behauptungen eBays besteht Grund zu der Annahme, dass nach dem Anmelden (Login) auf eBay nicht nur die IP-Adresse, sondern auch der Benutzername (oder eine Kennung, die auf diesen schließen lässt) generell im Klickstream mit gespeichert wird. Es liegt nämlich eine Auskunft [9]der Firma Amazon über die dort gespeicherten Klickstreamdaten vor, die ich dieser E-Mail als Anhang beifüge. Aus dieser Auskunft ergibt sich, dass die jeweilige Kundenkennung („CUSTOMER_ID“) und die Sitzungsnummer („SESSION_ID“) bei jedem Seitenaufruf mit gespeichert werden. Aus beiden Datentypen kann die datenverarbeitende Stelle auf die Person des Nutzers bzw. auf dessen Pseudonym schließen.

Ich rege an, dass Sie sich von eBay einen repräsentativen Klickstream-Auszug vorlegen lassen, um kontrollieren zu können, welche personenbezogenen Daten hierin tatsächlich enthalten sind.

4. Unabhängig von dieser Frage gilt: Selbst wenn eBay mein Nutzungsverhalten nur „in Zusammenhang mit einer konkreten Transaktion oder einer rechtlich oder einer unter Sicherheitsaspekten relevanten Handlung“ speichern würde – dies immerhin räumt es ein –, dann soll es mir wenigstens über diese Daten Auskunft erteilen. Ich will selbst beurteilen können, ob es sich um „rechtlich relevante Handlungen“ gehandelt hat und wie viele Jahre die Daten zurück reichen. Dass die zu meinem Pseudonym […] gespeicherten Nutzungsdaten personenbezogen sind, kann eBay ja wohl schwerlich bestreiten. Diese Daten kann ich auch nicht über „Mein eBay“ abrufen.