- Daten-Speicherung.de – minimum data, maximum privacy - https://www.daten-speicherung.de -

Datenspeicherung bei Ebay [ergänzt am 18.11.2009]

Ich hatte von Ebay Auskunft über die zu meiner Person gespeicherten Daten verlangt, soweit ich sie nicht ohnehin auf „Mein Ebay“ abrufen kann. Ebay verweigerte insbesondere eine Auskunft über den gespeicherten „Clickstream“, weil dies einen unverhältnismäßigen Aufwand mit sich brächte. Die zuständige Aufsichtsbehörde (Innenministerium Brandenburg) entschied, dass der Aufwand von Ebay darzulegen wäre, sah aber keinen Anlass zum Einschreiten.

Daraufhin sandte ich am 17.07.2005 die folgende Mail an das Innenministerium Brandenburg:

Sehr geehrter Herr …,

ich danke für Ihre ausführliche Stellungnahme vom 08.07.2005 zu der Frage meines Auskunftsersuchens gegenüber Ebay. Da es sich um Fragen allgemeinen Interesses handelt, wäre es sicherlich sinnvoll, Ihre Ausführungen in Ihren Tätigkeitsbericht aufzunehmen.

1. Inhaltlich stimme ich Ihnen zu, dass § 4 Abs. 7 TDDSG den § 34 BDSG [1] nicht verdrängt. Auch halte ich die dort in Bezug genommenen Ausnahmetatbestände für richtlinienkonform. Ich argumentiere lediglich, dass diese eng auszulegen sind und dass der Verwender den Nachweis eines evtl. unverhältnismäßigen Aufwandes erbringen muss.

Es freut mich, dass auch Sie der Auffassung sind, dass der Aufwand von Ebay darzulegen wäre. Da dies bisher nicht geschehen ist, gehe ich davon aus, dass Sie das Unternehmen zur Auskunfterteilung anweisen werden.

2. Die Ansicht von Ebay, dass Buchführungspflichten nach dem HGB oder der AO eine Aufbewahrung der Transaktionsdaten gebieten, halte ich für unzutreffend. Dies zeigt sich schon am Vergleich mit einem Buchladen: Zwar müssen in Handelsbüchern die Warenbestände und die Zahlungsflüsse festgehalten und diese Daten aufbewahrt werden. Nicht nach dem HGB erforderlich ist es hingegen, die Information aufzubewahren, welcher Kunde wann welche Bücher gekauft hat. Ansonsten würde jeder Buchladen gegen das Gesetz verstoßen, denn normalerweise wird die Identität der Kunden in Buchläden nicht aufgezeichnet. Nur weil dies im Bereich des Fernabsatzes wegen des Erfordernisses der postalischen Versendung zwangsläufig anders ist, dürfen die Kunden in ihrer Privatsphäre hier nicht stärker beeinträchtigt werden als sonst.

Dass Ebay die per Email verschickten Abrechnungen nach dem HGB aufbewahrt, sehe ich ein. Nicht geboten oder erforderlich ist aber die Aufbewahrung der Transaktionsdatensätze selbst. Hierbei handelt es sich nicht um Belege. Umgekehrt begründet die Aufbewahrung dieser Datensätze die besondere Gefahr, dass auf Jahre hinaus das Konsumverhalten der Nutzer nachvollziehbar und analysierbar bleibt. Diese Gefahr besteht bei Rechnungen und Belegen nicht im gleichen Maße, weil diese nicht automatisiert verarbeitet und Interessenprofile erstellt werden können.

3. Hinsichtlich der IP-Adressen ist es richtig, dass Ebay nicht dargelegt hat, dass diese Daten nicht personenbezogen gespeichert würden. Eine anonymisierte Speicherung würde für das Unternehmen auch keinen Sinn machen, so dass davon nicht ausgegangen werden kann. Ich gehe daher davon aus, dass Sie Ebay auch insoweit zur Auskunfterteilung verpflichten werden.

4. Richtig ist es auch, dass Sie die Datenschutz-Information des Unternehmens kritisch untersuchen. Die Pflicht zur Information über den „Umfang“ der Speicherung gebietet insbesondere auch eine Information über den zeitlichen Umfang der Speicherung und Aufbewahrung. Ebay teilt jedoch für keinen einzigen Datentyp mit, wie lange dieser (jedenfalls typischerweise) gespeichert wird. Ob eine Speicherung einen Monat oder zehn Jahre lang erfolgt, ist daher für Nutzer nicht zu erkennen. Dies ist mit der gesetzlichen Informationspflicht und ihrem Zweck nicht zu vereinbaren.

Bei Fragen stehe ich gerne zu Ihrer Verfügung.

Mit freundlichen Grüßen, …

Am 21.05.2006 versandte ich die folgende Mail:

Sehr geehrter Herr …,

vielen Dank für Ihre Zwischennachricht. Es freut mich, dass Sie trotz Ebays Verzögerungstaktik am Ball bleiben. Ich bin zuversichtlich, dass es am Ende der seit 2003 (!) laufenden Bemühungen noch gelingen wird, zu erfahren, welche Daten Ebay über mich speichert.

1. Nur für den Fall, dass Sie erwägen, einen Auskunftsanspruch abzulehnen, bitte ich Sie, mir zuvor die neuerliche Stellungnahme Ebays zuzusenden, damit ich mich dazu äußern kann (§ 28 VwVfG [2]). Nur auf diese Weise habe ich die Möglichkeit, falsche Tatsachenbehauptungen Ebays zu widerlegen.

2. Im Übrigen weise ich zu der Frage, ob der mit einer Auskunfterteilung verbundene Aufwand unverhältnismäßig wäre, noch auf das Urteil des Landgerichts Ulm vom 1.12.2004 (Az. 1 S 89/04 [3], MMR 2005, S. 265 [4]) hin, in dem es heißt: „Zwar kann sich, soweit es um die Benachrichtigungspflicht geht, der von der Forschungsstelle zu betreibende Aufwand ggf. schon aus der Vielzahl der Fälle ergeben (Gola/Schomerus, a.a.O., § 33 Rdnr. 36). Die Auskunftspflicht besteht jedoch auch in einem solchen Falle, denn Auskunftsersuchen sind erfahrungsgemäß die seltene Ausnahme (Gola/Schomerus, a.a.O., § 34 Rdnr. 18).“

Offensichtlich hat Ebay noch nie einem einzigen seiner Nutzer umfassende Auskunft erteilt. Der mit einer erst- und einmaligen Auskunfterteilung seit dem zehnjährigen Bestehen von Ebay verbundene Aufwand ist dem Unternehmen durchaus zumutbar.

Ohnehin setzt sich ein Unternehmen mit 12.500 Mitarbeitern (http://investor.ebay.com/faq.cfm) und einem Jahresgewinn von zuletzt 1,089 Mrd. US$ (in Zahlen: 1.089.000.000,00 US$, siehe http://investor.ebay.com/news/Q405/EBAY0118-123321.pdf [5]) dem Vorwurf der Lächerlichkeit aus, wenn es behauptet, es verursache ihm einen unverhältnismäßigen Aufwand, einem seiner 180 Millionen Kunden (http://investor.ebay.com/news/Q405/EBAY0118-123321.pdf) Auskunft über die zu seiner Person bzw. seinem Pseudonym gespeicherten Daten zu erteilen.

3. Ferner muss nochmals hervorgehoben werden, dass die Frage der Verhältnismäßigkeit des Aufwands nur unter den Voraussetzungen des § 33 Abs. 2 Nr. 2 BDSG [6] überhaupt zum Tragen kommen kann. Schon diese Voraussetzungen sind nicht gegeben.

a) Es gibt keine Aufbewahrungsvorschriften für den Klickstream. Die Normen des HGB und der AO können schon deshalb nicht einschlägig sein, weil der Klickstream finanziell vollkommen irrelevant ist, jedenfalls über die ohnehin gespeicheren Rechnungen hinaus. Würde man dies anders sehen, müsste jedes Internetunternehmen in Deutschland den Klickstream seiner Kunden aufzeichnen und jahrelang aufbewahren; jede andere Praxis wäre rechtswidrig. Dies kann nicht ernsthaft vertreten werden.

b) Auch dienen die Daten nicht „ausschließlich der Datensicherung oder der Datenschutzkontrolle“. Als Zweck der Datenspeicherung nennt Ebay selbst: „Sie [die Daten] helfen uns, das Navigationsverhalten unserer Mitglieder besser zu verstehen. Weiterhin helfen Sie uns bei der Durchsetzung unserer AGB, bei der Unterbindung betrügerischen Verhaltens und werden unter Umständen für Beweiszwecke benötigt.“ (http://pages.ebay.de/help/policies/privacy-appendix.html) Die Daten dienen mithin nach eigenen Angaben Ebays keineswegs „ausschließlich der Datensicherung oder der Datenschutzkontrolle“.

Zu behaupten, die Daten dienten der Datensicherung, wäre im Übrigen schon deshalb widersinnig, weil es in Wahrheit die grenzenlose Datensammelei selbst ist, die ein Sicherheitsrisiko für die Nutzerdaten darstellt. Zumal amerikanische Behörden mit der Begründung der Terrorismusbekämpfung schrankenlos auf die dort gespeicherten Daten zugreifen dürfen (sog. „National Security Letters“, http://www.datenschutz.de/news/detail?nid=1359 [7]). Schon daraus, dass die amerikanischen Behörden routinemäßig die über bestimmte Nutzer gespeicherten Daten von Ebay anfordern, ergibt sich, dass dies nicht gerade in meinem Fall unverhältnismäßigen Aufwand verursachen kann.

4. Schließlich darf nicht außer Acht bleiben, dass Ebay selbst bestimmt, wieviele Daten es über seine Nutzer speichert. Es kann nicht angehen, dass Ebay zuerst Datenberge anhäuft und sich dann darauf beruft, diese seien so umfangreich, dass keine Auskunft mehr erteilt werden könne. Dann soll Ebay eben seine Datensammlungspraxis einschränken.

5. Falls sich Ebay auf den Aufwand beruft, der mit der Durchsuchung externer Datenträger verbunden sei, muss sich das Unternehmen ganz besonders die Frage stellen lassen, weshalb es Daten in dieser Form überhaupt speichert. Denn auf externen Datenträgern stehen die Daten auch nicht mehr praktikabel zu den o.g. Eigenzwecken Ebays zur Verfügung.

6. Um den Aufwand Ebays zu minimieren, erkläre ich mich ausdrücklich mit einer Auskunfterteilung per Email oder CD-Rom einverstanden. Ein Ausdruck ist nicht erforderlich.

7. Falls Sie trotz allem zu der Auffassung gelangen sollten, dass Unverhältnismäßigkeit anzunehmen sei, soll Ebay wenigstens über einen repräsentativen Teil der Daten Auskunft erteilen. Beispielsweise über die Daten der sechs am längsten zurückliegenden Monate (damit ich endlich auch die Speicherdauer erfahre). Eine solche repräsentative Teilauskunft wird Ebay in jedem Fall zumutbar sein.

Ich stelle vorsorglich noch einmal den Gegenstand meines Auskunftsersuchens klar: Sämtliche zu meiner Person oder meinem Pseudonym gespeicherte Daten mit Ausnahme derjenigen, die ich über „Mein Ebay“ selbst einsehen kann. Zu beauskunften sind damit u.a. der gespeicherte Klickstream einschließlich eingegebener Suchworte sowie verschickte oder empfangene Nachrichten und Emails.

Mit freundlichen Grüßen,

Bislang erhielt ich noch keine Auskunft über die bei Ebay gespeicherten Daten.

Ergänzung vom 18.11.2009:

Der Bundesfinanzhof hat entschieden, dass nach der Abgabenordnung nur Daten aufzubewahren sind, die „für die Besteuerung […] von Bedeutung sind“ (Az. VIII R 80/06 [8]). Bei Surfprotokollen ist das offensichtlich nicht der Fall.