Datenschutzbeauftragte: Einbindungen in deutsche Websites weithin unzulässig [ergänzt am 10.12.2011]

Schon 2009 stellten die Datenschutz-Aufsichtsbehörden klar, dass Anbieter von Internetportalen und -diensten die IP-Adresse ihrer Nutzer nicht unverkürzt speichern dürfen. In einer Entschließung vom 28./29.09.2011 zu sozialen Netzwerken machen die Datenschutzbeauftragten nun deutlich, dass Anbieter auch Dritten eine unverkürzte Speicherung von IP-Adressen nicht ermöglichen dürfen, indem sie deren Code in das eigene Portal einbinden:

Die aktuelle von Social-Plugin-Anbietern vorgesehene Funktionsweise ist unzulässig, wenn bereits durch den Besuch einer Webseite und auch ohne Klick auf beispielsweise den „Gefällt-mir“-Knopf eine Übermittlung von Nutzendendaten in die USA ausgelöst wird, auch wenn die Nutzenden gar nicht bei der entsprechenden Plattform registriert sind. […] Die Datenschutzbeauftragten des Bundes und der Länder fordern daher alle öffentlichen Stellen auf, von der Nutzung von Social-Plugins abzusehen, die den geltenden Standards nicht genügen.

Obwohl die Datenschutzkonferenz nur für öffentliche Stellen zuständig ist, gilt für Privatpersonen und Unternehmen nichts anderes. Besonders der schleswig-holsteinische Landesdatenschutzbeauftragte hat darauf aufmerksam gemacht, dass die Verantwortung für die Zulässigkeit von Einbindungen bei dem einbindenden Portalbetreiber liegt (sog. Auftragsdatenverarbeitung) und nicht bei Facebook und Co. Bei unzulässigen Einbindungen drohen deutschen Betreibern Geldbußen bis zu 50.000 Euro (§ 16 TMG).

Für diese Rechtslage gibt es sehr gute Gründe: Durch direkte Einbindungen ermöglichen es deutsche Anbieter Facebook, Twitter, Google und Co., jedem ihrer Nutzer beim Surfen über die Schulter schauen und personenbeziehbare Surfprotokolle z.B. in den USA anzulegen und unkontrollierbar weiterzuverwenden und weiterzuverkaufen, selbst wenn der Nutzer den externen Inhalt gar nicht nutzen möchte. Solange sich der Nutzer damit nicht einverstanden erklärt hat (z.B. durch Klick auf einen externen Link), ist eine solche personenbeziehbare Surfprotokollierung unzulässig. Übrigens sehen es 62% der deutschen Internetnutzer kritisch, dass ihr Verhalten im Internet (z.B. beim Surfen) erfasst wird.

Rechtslage

Das Telemediengesetz verpflichtet Anbieter von Internetportalen unter Bußgeldandrohung dazu, „durch technische und organisatorische Vorkehrungen sicherzustellen, dass […] die anfallenden personenbezogenen Daten über den Ablauf des Zugriffs oder der sonstigen Nutzung unmittelbar nach deren Beendigung gelöscht […] werden“ (§ 13 TMG). Dieses Verbot einer personenbeziehbaren Surfprotokollierung gilt nicht nur für den eigenen Server der Anbieter bzw. den Server des von ihnen genutzten Hosters.

Auch Code von Drittanbietern darf nur dann in die eigene Website eingebunden werden, wenn sichergestellt ist, dass diese Drittanbieter die IP-Adressen der Nutzer oder personenbeziehbare Cookies nicht unverkürzt protokollieren. Selbst bei deutschen Drittanbietern wie Sevenload ist dies oft nicht gewährleistet. Erst recht kann bei ausländischen Firmen nicht davon ausgegangen werden, dass diese deutsches Datenschutzrecht beachten.

Das Einbindungsverbot gilt nicht nur für die von den Datenschutzbeauftragten jetzt angesprochenen Social Plugins etwa von Twitter und Facebook. Unzulässig ist auch die Einbindung externer Bilder (z.B. von Flickr) und Videos (z.B. von Youtube) von Servern, die unzulässig speichern. Bisher ist mir leider noch keine Foto- oder Videoplattform bekannt, die eine anonymisierte Einbindung ermöglichte. Übrigens: Der auf daten-speicherung.de eingebundene Server vorratsdatenspeicherung.de speichert Ihre IP-Adresse nicht.

Lösungsmöglichkeiten für Anbieter

Betreibern von Internetplattformen stehen verschiedene Möglichkeiten zur Ersetzung rechtswidriger Einbindungen zur Verfügung:

  1. Verschieben: Externe Inhalte können auf den eigenen Server verschoben werden. Bei Bildern ist dies leicht möglich. Auch Videos kann man auf dem eigenen Server hosten, indem man einen kostenlosen Flash Video Player installiert (Auswahl hier). Wirspeichernnicht.de verlinkt zudem auf einige Möglichkeiten, wie man die Buttons von Facebook, Twitter und Google+ über den eigenen Server einbinden kann.
  2. Anonymisierung: Ein auf dem eigenen Server installiertes Proxyskript oder ein externer Anonymisierungsdienst wie Anonymouse kann eine anonymisierte Einbindung externer Inhalte ermöglichen.
  3. Links: Einbindungen können durch externe Links ersetzt werden. Jeder Nutzer kann dann selbst entscheiden, ob er dem Anbieter vertraut oder nicht. Bei Videos kann z.B. ein Vorschaubild auf den eigenen Server gelegt und mit dem Videohoster verlinkt werden.

Sicherlich erfordern diese Lösungsmöglichkeiten eine Umgewöhnung. Aber nur indem Deutschland die Einbindung von Anbietern verbietet, die jeden unserer Klicks personenbeziehbar aufzeichnen, können diese dazu gezwungen werden, diese Praxis abzustellen. Schon gelungen ist dies beispielsweise bei Google Analytics, welches dazu gezwungen werden konnte, eine Möglichkeit zur datenschutzkonformen Einbindung ohne IP-Logging anzubieten.

Marktlücke Einbindungen

Bis die Branchengrößen einlenken, werden findige Programmierer und Anbieter gebraucht, die die Marktlücke für legale Einbindungen in Deutschland schließen:

  • So gibt es meines Wissens noch keinen Videohoster, der auf das Speichern von IP-Adressen verzichtete. Nur eine speicherfreie Videosuche wird schon angeboten (von Ixquick und Startpage).
  • Die für Social Plugins entwickelte Lösung, externe Inhalte erst nach einem Klick zu laden, muss auch für die Einbettung von Videos (z.B. von Youtube) entwickelt werden.
  • Für technisch unbedarfte Anbieter und solche ohne Serverzugriff sollte auch eine installationsfreie Lösung zur Klick-Einbindung externer Inhalte angeboten werden. Man könnte dazu einen Dienst bereit stellen, der den Einbindungscode z.B. von Youtube in einen Einbindungscode umwandelt, welcher zunächst ausschließlich Inhalte lädt, die auf einem IP-speicherfreien deutschen Server liegen. Erst nach einem Klick werden dann die externen Inhalte geladen.

Weitere Informationen für Diensteanbieter

Schutzmöglichkeiten für Nutzer

Als Nutzer kann man Browser-Plugins wie RequestPolicy, Disconnect oder Adblock (in Verbindung mit einer Privacy-Blocklist) nutzen, um zu verhindern, dass Facebook und Co. beim Surfen über die Schulter schauen.

Ergänzung vom 10.12.2011:

Nun hat auch der für private Stellen zuständige Düsseldorfer Kreis der Aufsichtsbehörden in einem Beschluss vom 08. Dezember 2011 klargestellt:

Das direkte Einbinden von Social Plugins, beispielsweise von Facebook, Google+ oder Twitter, in Websites deutscher Anbieter, wodurch eine Datenübertragungan den jeweiligen Anbieter des Social Plugins ausgelöst wird, ist ohne hinreichende Information der Internetnutzerinnen und -nutzer und ohne ihnen die Möglichkeit zu geben, die Datenübertragung zu unterbinden, unzulässig. […]

In Deutschland ansässige Unternehmen, die durch das Einbinden von Social Plugins eines Netzwerkes auf sich aufmerksam machen wollen oder sich mit Fanpages in einem Netzwerk präsentieren, haben eine eigene Verantwortung hinsichtlich der Daten von Nutzerinnen und Nutzern ihres Angebots. Es müssen zuvor Erklärungen eingeholt werden, die eine Verarbeitung von Daten ihrer Nutzerinnen und Nutzer durch den Betreiber des sozialen Netzwerkes rechtfertigen können. Die Erklärungen sind nur dann rechtswirksam, wenn verlässliche Informationen über die dem Netzwerkbetreiber zur Verfügung gestellten Daten und den Zweck der Erhebung der Daten durch den Netzwerkbetreiber gegeben werden können.

Im Klartext: Deutsche Anbieter dürfen Social Plugins und Fanpages nur mit Einwilligung des Nutzers verwenden. In dem bloßen Aufruf einer Seite liegt keine Einwilligung in eine Verarbeitung der eigenen Daten über die Dauer des Nutzungsvorgangs hinaus.

1 Stern2 Sterne3 Sterne4 Sterne5 Sterne (noch nicht bewertet)
Loading...
9.515mal gelesen

Beitrag per E-Mail versenden Beitrag per E-Mail versenden Seite drucken Seite drucken

Verwandte Artikel

Weitere Artikel zum Thema Datenschutz im Privatsektor, Internet-Unternehmen, Juristisches, Metaowl-Watchblog

Kommentieren Sie diesen Artikel


 
Stoppt die Vorratsdatenspeicherung! Jetzt klicken & handeln!Willst du auch bei der Aktion teilnehmen? Hier findest du alle relevanten Infos und Materialien: