{"id":3561,"date":"2011-10-01T12:46:40","date_gmt":"2011-10-01T10:46:40","guid":{"rendered":"http:\/\/www.daten-speicherung.de\/?p=3561"},"modified":"2014-09-16T12:41:07","modified_gmt":"2014-09-16T10:41:07","slug":"datenschutzbeauftragte-einbindungen-in-deutsche-websites-weithin-unzulaessig","status":"publish","type":"post","link":"https:\/\/www.daten-speicherung.de\/index.php\/datenschutzbeauftragte-einbindungen-in-deutsche-websites-weithin-unzulaessig\/","title":{"rendered":"Datenschutzbeauftragte: Einbindungen in deutsche Websites weithin unzulässig [ergänzt am 10.12.2011]"},"content":{"rendered":"

Schon 2009 stellten die Datenschutz-Aufsichtsbehörden klar<\/a>, dass Anbieter von Internetportalen und -diensten die IP-Adresse ihrer Nutzer nicht unverkürzt speichern dürfen. In einer Entschließung<\/a> vom 28.\/29.09.2011 zu sozialen Netzwerken machen die Datenschutzbeauftragten nun deutlich, dass Anbieter auch Dritten eine unverkürzte Speicherung von IP-Adressen nicht ermöglichen dürfen, indem sie deren Code in das eigene Portal einbinden:<\/p>\n

Die aktuelle von Social-Plugin-Anbietern vorgesehene Funktionsweise ist unzulässig, wenn bereits durch den Besuch einer Webseite und auch ohne Klick auf beispielsweise den \u201eGefällt-mir\u201c-Knopf eine Übermittlung von Nutzendendaten in die USA ausgelöst wird, auch wenn die Nutzenden gar nicht bei der entsprechenden Plattform registriert sind. [\u2026] Die Datenschutzbeauftragten des Bundes und der Länder fordern daher alle öffentlichen Stellen auf, von der Nutzung von Social-Plugins abzusehen, die den geltenden Standards nicht genügen.<\/p><\/blockquote>\n

Obwohl die Datenschutzkonferenz nur für öffentliche Stellen zuständig ist, gilt für Privatpersonen und Unternehmen nichts anderes. Besonders der schleswig-holsteinische Landesdatenschutzbeauftragte hat darauf aufmerksam gemacht<\/a>, dass die Verantwortung für die Zulässigkeit von Einbindungen bei dem einbindenden Portalbetreiber liegt<\/a> (sog. Auftragsdatenverarbeitung) und nicht bei Facebook und Co. Bei unzulässigen Einbindungen drohen deutschen Betreibern Geldbußen bis zu 50.000 Euro (\u00a7 16 TMG<\/a>).<\/p>\n

Für diese Rechtslage gibt es sehr gute Gründe: Durch direkte Einbindungen ermöglichen es deutsche Anbieter Facebook, Twitter, Google und Co., jedem ihrer Nutzer beim Surfen über die Schulter schauen und personenbeziehbare Surfprotokolle z.B. in den USA anzulegen und unkontrollierbar weiterzuverwenden und weiterzuverkaufen, selbst wenn der Nutzer den externen Inhalt gar nicht nutzen möchte. Solange sich der Nutzer damit nicht einverstanden erklärt hat (z.B. durch Klick auf einen externen Link), ist eine solche personenbeziehbare Surfprotokollierung unzulässig. Übrigens sehen<\/a> es 62% der deutschen Internetnutzer kritisch, dass ihr Verhalten im Internet (z.B. beim Surfen) erfasst wird.<\/p>\n

Rechtslage<\/strong><\/p>\n

Das Telemediengesetz verpflichtet Anbieter von Internetportalen unter Bußgeldandrohung dazu, „durch technische und organisatorische Vorkehrungen sicherzustellen, dass […] die anfallenden personenbezogenen Daten über den Ablauf des Zugriffs oder der sonstigen Nutzung unmittelbar nach deren Beendigung gelöscht […] werden“ (\u00a7 13 TMG<\/a>). Dieses Verbot einer personenbeziehbaren Surfprotokollierung gilt nicht nur für den eigenen Server der Anbieter bzw. den Server des von ihnen genutzten Hosters.<\/p>\n

Auch Code von Drittanbietern darf nur dann in die eigene Website eingebunden werden, wenn sichergestellt ist, dass diese Drittanbieter die IP-Adressen der Nutzer oder personenbeziehbare Cookies nicht unverkürzt protokollieren. Selbst bei deutschen Drittanbietern wie Sevenload ist dies oft nicht gewährleistet. Erst recht kann bei ausländischen Firmen nicht davon ausgegangen werden, dass diese deutsches Datenschutzrecht beachten.<\/p>\n

Das Einbindungsverbot gilt nicht nur für die von den Datenschutzbeauftragten jetzt angesprochenen Social Plugins etwa von Twitter und Facebook. Unzulässig ist auch die Einbindung externer Bilder (z.B. von Flickr) und Videos (z.B. von Youtube) von Servern, die unzulässig speichern. Bisher ist mir leider noch keine Foto- oder Videoplattform bekannt, die eine anonymisierte Einbindung ermöglichte. Übrigens: Der auf daten-speicherung.de eingebundene Server vorratsdatenspeicherung.de speichert Ihre IP-Adresse nicht.<\/p>\n

Lösungsmöglichkeiten für Anbieter<\/strong><\/p>\n

Betreibern von Internetplattformen stehen verschiedene Möglichkeiten zur Ersetzung rechtswidriger Einbindungen zur Verfügung:<\/p>\n

    \n
  1. Verschieben<\/strong>: Externe Inhalte können auf den eigenen Server verschoben werden. Bei Bildern ist dies leicht möglich. Auch Videos kann man auf dem eigenen Server hosten, indem man einen kostenlosen Flash Video Player installiert (Auswahl hier<\/a>). Wirspeichernnicht.de verlinkt<\/a> zudem auf einige Möglichkeiten, wie man die Buttons von Facebook, Twitter und Google+ über den eigenen Server einbinden kann.<\/li>\n
  2. Anonymisierung<\/strong>: Ein auf dem eigenen Server installiertes Proxyskript<\/a> oder ein externer Anonymisierungsdienst wie Anonymouse<\/a> kann eine anonymisierte Einbindung externer Inhalte ermöglichen.<\/li>\n
  3. Links<\/strong>: Einbindungen können durch externe Links ersetzt werden. Jeder Nutzer kann dann selbst entscheiden, ob er dem Anbieter vertraut oder nicht. Bei Videos kann z.B. ein Vorschaubild auf den eigenen Server gelegt und mit dem Videohoster verlinkt werden.<\/li>\n<\/ol>\n

    Sicherlich erfordern diese Lösungsmöglichkeiten eine Umgewöhnung. Aber nur indem Deutschland die Einbindung von Anbietern verbietet, die jeden unserer Klicks personenbeziehbar aufzeichnen, können diese dazu gezwungen werden, diese Praxis abzustellen. Schon gelungen ist dies beispielsweise bei Google Analytics, welches dazu gezwungen werden konnte<\/a>, eine Möglichkeit zur datenschutzkonformen Einbindung ohne IP-Logging anzubieten.<\/p>\n

    Marktlücke Einbindungen<\/strong><\/p>\n

    Bis die Branchengrößen einlenken, werden findige Programmierer und Anbieter gebraucht, die die Marktlücke für legale Einbindungen in Deutschland schließen:<\/p>\n