31. März 2021
Die “Schutzgemeinschaft für allgemeine Kreditsicherung”, kurz Schufa, könnte verkauft werden. Der Finanzinvestor EQT hat sein Interesse an der Auskunftei bekundet und damit den Stein ins Rollen gebracht. Auch andere Private-Equity-Investoren wie die US-amerikanische Hellman & Friedman sollen zu den Interessenten gehören. Die Eigentümer der Schufa sind zu großen Teilen Banken und Einzelhandelsunternehmen. Konkret soll es sich bei den verkaufsbereiten Eigentümern um die Commerzbank und die Deutsche Bank handeln. Im Verkaufsfall könnte die Schufa mit 2 Milliarden Euro bewertet werden. Allerdings befinden sich die Gespräche noch in einem frühen Stadium.
Die Schufa ist eine Kreditauskunftei, die 1927 mit dem Ziel gegründet wurde, Bonitätsauskünfte zu erteilen. Die Informationen über die Bonität verkauft die Schufa Holding AG an Unternehmen und die Bewerteten. Zu diesem Zweck hält sie Daten von 68 Millionen Deutschen sowie 6 Millionen Unternehmen bereit. Jeder, der einmal einen Mietvertrag oder Handyvertrag abschließen oder ein Auto finanzieren wollte, kann davon ausgehen, mit der Schufa in Kontakt gekommen zu sein.
Ob es zu einem Verkauf kommt oder nicht, ein Politikum könnte sich auf jeden Fall daraus entwickeln. Datenschützer werden den weiteren Prozess aufmerksam verfolgen, wenn sich ein amerikanischer Finanzinvestor in diesen immensen Datenschatz einkaufen könnte. In der jüngeren Vergangenheit hat die Schufa einige Kritik erfahren, als sie mit dem Projekt “Check Now” Kontoauszüge von Kunden auswerten wollte. Die Kritik hat allerdings dazu geführt, dass “Check Now” in der bisher geplanten Form eingestellt wird. Noch kritischer war eine parlamentarische Anfrage der Linken, die die Frage aufwirft, ob Bonitätsauskünfte der Schufa (und anderer) mit den Menschenrechten vereinbar seien.
29. März 2021
Immer wieder zeigt sich in Umfragen, dass sich Internet-Nutzer von sog. Cookie-Bannern in ihrem Nutzungserlebnis eingeschränkt fühlen, oder diese wegen ihrer Komplexität nicht verstehen und deswegen oft ungeprüft akzeptieren. Auch die Politik beschäftigt sich seit dem Aufkommen der Cookie-Banner wiederholt mit der Frage, wie diese in Zukunft gestaltet werden sollen. Nun hat sich auch das Bundesjustizministerium dafür ausgesprochen, dass Cookie-Banner nutzerfreundlicher gestaltet werden sollen.
Auf eine Anfrage des Handelsblatt hin äußerte sich Staatssekretär Christian Kastrop, dass das Problem im Wesentlichen in der Gestaltung der Cookie-Banner liege. Diese würden durch die Anbieter undurchsichtig und kompliziert designed oder mit langen Texten versehen, sodass die Nutzer schnell genervt seien und die Cookie-Nutzung oftmals ungeprüft akzeptieren. Notwendig sei deshalb, die erforderliche Einwilligung “einfach, verständlich und rechtssicher“ auszugestalten.
Unterschiedliche Lösungsansätze
Die Regierungsparteien sind sich über die Art und Weise, wie dies erreicht werden soll, aber scheinbar nicht einig. Während die Union einheitliche Voreinstellungen, welche durch die Dienstanbieter verwaltet werden und dann für alle Webseiten gelten sollen, ins Spiel bringt, verweist die SPD auf eine europäische Lösung: die Regelung der Thematik in der neuen E-Privacy-Verordnung, welche nun bereits seit Jahren auf sich warten lässt. Diesen Weg schlägt auch die Landesbeauftragte für Datenschutz aus Schleswig-Holstein vor.
Verbraucherschützer fordern ebenfalls eine einfachere Regelung zum Schutz der Nutzer. Auch hier wird eine einheitliche Lösung über den Internet-Browser bzw. das Betriebssystem vorgeschlagen, jedoch als Standardeinstellung eine Verweigerung der Cookie-Nutzung gefordert. Der Verwendung von Cookie müsste dann ausdrücklich zugestimmt werden.
Nutzerfreundlichkeit sieht auch der Vorschlag der Hamburger Grünen vor, wonach zwei Schaltflächen für “Cookies akzeptieren” und “Cookies ablehnen” gleichberechtigt nebeneinander stehen sollen, also ohne Unterschiede im Design (wie Farbe oder Größe). Über eine dritte Schaltfläche könnten dann individuelle Einstellungen vorgenommen werden.
Nicht wenige Unwägbarkeiten
Die Diskussion über die Zukunft der Cookie-Banner ist gerechtfertigt. Für Dienstanbieter bedeuten Cookie-Banner Mehraufwand, für Nutzer regelmäßig unübersichtliche Ärgernisse. Eine nationale Regelung trifft jedoch sowohl auf tatsächliche als auch auf rechtliche Hindernisse. Einerseits erscheint es fraglich, welchen Mehrwert eine deutsche Regelung im länderübergreifend operierenden Internet bietet, andererseits müsste das Gesetz die europarechtlichen Vorgaben erfüllen.
Ähnliche Probleme ergeben sich bei der einheitlichen Cookie-Verwaltung. Die Anzahl der im Internet eingesetzten Cookies ist kaum zu überblicken, sodass es nur schwer vorstellbar ist, dass hier eine Auswahl aller in Betracht kommender Cookies möglich ist. Wird dann stattdessen in Kategorien von Cookies eingewilligt? Wenn ja, wie verhält sich dies mit der Vorgabe der Datenschutz-Grundverordnung in die Informiertheit einer Einwilligung? Dies alles sind Fragen, die in diesem Zusammenhang der Klärung bedürften.
Die österreichische Datenschutzorganisation noyb hat Beschwerde gegen die Kreditauskunftei CRIF und den Adressverlag AZ Direct Österreich eingereicht. Der Vorwurf: Millionenfache Weitergabe personenbezogener Daten ohne rechtliche Grundlage.
Ein Betroffener hatte ein Auskunftsbegehren nach Art. 15 DSGVO an CRIF gestellt. Diese hatte neben Personenstammdaten auch veraltete Wohnadressen des Betroffenen gespeichert. Als Quelle für die erhobenen Daten hatte CRIF ausschließlich den Adressverlag AZ Direct Österreich angegeben, einer Tochterfirma der Bertelsmann Stiftung.
Die österreichische Datenschutzorganisation noyb legte Beschwerde gegen beide Unternehmen ein. Noyb wirft ihnen vor ohne rechtliche Grundlage personenbezogene Daten ausgetauscht zu haben. Außerdem fehle es an der Wahrnehmung der Informationspflichten seitens CRIF und AZ Direct. Der Informationsaustausch soll ohne Einwilligungen der Betroffenen stattgefunden haben. Auch fehle es laut noyb an einer etwaigen Zweckbindung der Datenweitergabe. Die im Gewerberegister als Adressverlag eingetragene AZ Direct GmbH dürfe als solche personenbezogene Daten lediglich zu Direktmarketingzwecken weitergeben. CRIF soll die Daten entgegen dieser rechtlichen Regelung zu Zwecken der Bonitätsprüfungen genutzt haben. Damit verstoßen CRIF und AZ Direct laut noyb gegen das datenschutzrechtliche Prinzip der Zweckbindung.
Der Fall soll laut noyb keinen Einzelfall darstellen. Schätzungsweise seien über Jahre Millionen von Datensätzen gesammelt worden. Sollte sich noyb mit der Beschwerde gegen CRIF und AZ Direct durchsetzen, drohen beiden Bußgelder in Millionenhöhe.
26. März 2021
Aufgrund der Eilbedürftigkeit vieler Maßnahmen, die in Zeiten von Corona von Nöten sind, schleichen sich leider auch immer wieder Fehler in verschiedene Prozesse ein. So auch vor Kurzem, als eine Sicherheitslücke in einer von vielen Corona-Testzentren verwendeten Software bekannt wurde.
Was ist passiert?
Das Wiener Startup medicus.ai bietet die hauseigene Software „SafePlay“ als Komplettlösung für Testzentren an. Mittels dieser Software ist es möglich sich für Tests zu registrieren und hinterher auch die Ergebnisse aufzurufen. Den Fachleuten von Zerforschung – einem Kollektiv von IT-Experten- und dem dem Chaos Computer Club (CCC) sind dabei allerdings Unregelmäßigkeiten aufgefallen, die es ermöglichten, dass ca. 136.000 Testergebnisse wochenlang ungeschützt im Internet verfügbar waren. Ihre Ergbnisse veröffentlichten die Fachleute in einem eigenen Bericht.
Dabei wurde bekannt, dass die eingesetzte Software erhebliche Sicherheitslücken aufwies und es keines großen Know-Hows bedurfte um auf sensible PDFs zugreifen zu können. Um das eigene Testergebnis einsehen zu können, erhielt man eine URL. Das Problem dabei war allerdings, dass diese URL eine fortlaufende Nummer enthielt. Es war also möglich die Nummer beliebig zu verändern, etwa durch eine Addition oder Subtraktion, und dadurch zu den Testergebnissen von Dritten zu gelangen. Besonders brisant macht den Fund, dass neben des Testergebnisses auch der Name, die Anschrift, Staatsbürgerschaft und die Ausweisnummer der Betroffenen zu sehen war.
Das Problem ist behoben
Das Unternehmen medicus.ai hat sich nach Bekanntwerden der Sicherheitslücke in Zusammenarbeit mit dem Bundesamt für Sicherheit in der Informationstechnik (BSI) dem Fehler gewidmet und die Schwachstelle behoben. In einem eigenen Statement führt medicus.ai aus, dass es lediglich zu 6 Zugriffen auf Datensätzen von Nutzern gekommen sei.
Der Apple-Videotelefondienst FaceTime machte im Jahr 2019 mit einer Negativschlagzeile auf sich aufmerksam, so dass auch Datenschützer hellhörig wurden. Es kam bei der zu dieser Zeit neu hinzugefügten Gruppen-FaceTime-Funktion zu einer Softwarepanne, wodurch Nutzer des Dienstes unerlaubt belauscht werden konnten. Durch Hinzufügen einer Rufnummer konnten Anrufer das Mikrofon des Angerufenen aktivieren, ohne dass die angerufene Person hierfür abnehmen musste. Drückte der Angerufene eine Taste des eigenen iPhones, wurde außerdem das Videobild übertragen. Nachdem dieses von Apple verursachte Problem immer mehr in sozialen Netzwerken kursierte und mediale Aufmerksamkeit auf sich zog, deaktivierte Apple die Gruppen-FaceTime-Funktion.
Der Fehler wurde sodann zeitnah behoben und die Funktion wieder freigeschaltet, so dass zum aktuellen Zeitpunkt keine Gefahr droht.
Jenseits des Vorfalls stellt sich die Frage: Wie sicher ist FaceTime eigentlich? FaceTime bietet eine gute Übertragungsqualität für iOS-Gerätenutzer. Und auch in Sachen Sicherheit muss sich der Apple-Dienst nicht hinter anderen Anbietern verstecken. Der Dienst ist Ende-zu-Ende-verschlüsselt und Metadaten zu den Videokonferenzen werden nach 30 Tagen gelöscht. Der Dienst ist somit zumindest für den privaten Gebrauch als sicher zu bewerten.
FaceTime weist zwar einen hohen Sicherheitsstandard auf und auch die Gespräche werden Ende-zu-Ende verschlüsselt; dennoch bleibt weiterhin das Problem hinsichtlich des US-Bezugs. Die Aufsichtsbehörden sind beim Einsatz von US-Dienstleistern für Videokonferenzen streng, vor allem bezüglich Videkonferenzsystemen an Schulen. Die Behörden (Berliner Beauftrage für Datenschutz und Informationsfreiheit sowie LfDI Rheinland-Pflaz) lassen den Einsatz von US-Software nur noch für einen begrenzten Zeitraum zu und verweisen hier auf Open-Source-Software wie Big Blue Button oder Jitsi Meet. Gerade im Hinblick auf das Schrems-II-Urteil erscheint die Nutzung der Open-Source-Software aus datenschutzrechtlicher Sicht sinnvoller als die Nutzung von US-Anbietern.
Grundsätzlich ermöglicht FaceTime Videokonferenzen mit bis zu 32 Teilnehmern. Insofern bietet sich das Tool für Videokonferenzen für kleine bis mittlere Gruppen an. Dabei ist die Anrufqualität des Messengers auch regelmäßig gut. Allerdings muss bedacht werden, dass FaceTime ausschließlich auf Apple-Geräten nutzbar und nicht für den Einsatz im Unternehmen konzipiert ist. Insofern sollten, auch um flexibel zu bleiben, andere Videokonferenz-Apps zum Einsatz im Unternehmen in Betracht gezogen werden, sofern nicht alle Mitarbeiter über ein Apple-Gerät verfügen. Sämtliche Alternativen bieten den Vorteil, dass die Nutzer nicht auf den Apple-Kosmos beschränkt sind. Gerade in der Geschäftswelt ist es jedoch oftmals erforderlich, auch Nutzer anderer Geräte einzubinden, um mit unternehmensexternen Personen kommunizieren zu können. In vielen Fällen scheitert der Einsatz außerdem an der begrenzten Teilnehmerzahl. Eine Limitierung auf 32 Personen mag zunächst nicht niedrig klingen, doch gerade im Rahmen von Schulungen und anderen größeren Veranstaltungen stößt das Tool schnell an seine Grenzen.
Folglich ist FaceTime in datenschutzrechtlicher Hinsicht nicht groß zu beanstanden. Der US-Bezug ist allerdings immer als problematisch anzusehen. Dementsprechend obliegt es schlussendlich der unternehmerischen bzw. persönlichen Entscheidung, ob der Einsatz von FaceTime für den konkreten Zweck geeignet ist und der Nutzen in einem angemessenen Verhältnis zum Risiko steht.
23. März 2021
Google sammelt auch im Inkognito-Modus des Chrome-Browsers Daten zu Internetaktivitäten, obwohl im Inkognito-Modus weitreichende Privatsphäre versprochen werde. Einige Google-User wollten im Wege einer Sammelklage dagegen vorgehen. Google stellte einen Antrag auf Einstellung des Verfahrens. Dieser wurde nun von der zuständigen Bundesrichterin Lucy Koh abgelehnt, wie Bloomberg berichtete.
Damit können sich die Prozessparteien auf das Haupterfahren vorbereiten. Im Einzelnen geht es darum, dass Google über eigene Webseiten und unzählige Webseiten Dritter Daten für Nutzerprofile auch dann sammelt, wenn die User den Inkognito-Modus aktiviert haben. Google vertritt dabei den Standpunkt, dass das aus dem Inkognito-Startbildschirm sowie den Datenschutzbedingungen klar hervorgehe. Demzufolge hätten die Nutzer also eingewilligt.
Richterin Koh ist nicht überzeugt: Google habe entgegen der eigenen Behauptung nicht dargelegt, dass die User der Datensammlung zugestimmt haben. Die Hinweise im Eröffnungsbildschirm des Chrome-Browsers seien irreführend.
Googles Vorbringen, die Vorwürfe seien verjährt, lässt die Richterin ebenfalls nicht gelten. Jedes Erheben von Daten sei ein eigenes Vergehen und lasse eine neue Verjährungsfrist beginnen. Ob das Verfahren wie von den Klägern gewünscht als Sammelklage für alle einschlägig Betroffenen geführt werden kann, ist noch offen. Eine Anhörung dazu ist auf den 22. Januar 2022 datiert. Das Verfahren lautet Brown et al v. Google et al und ist am US-Bundesbezirksgericht für das nördliche Kaliforniern unter dem Az. 5:20-cv-03664 anhängig.
22. März 2021
Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) hat am 15.03.2021 einen Beschluss veröffentlicht, der den von Auskunfteien und Energieversorgern geplanten Energieversorgerpool zum Thema hat.
Der Energieversorgerpool ist eine zentrale Datenbank, in der Daten von Kunden zu Strom- und Gasverträgen gespeichert werden sollen. Hintergrund ist, dass viele Kunden sich von Neukundenangebot zu Neukundenangebot hangeln, um entsprechende Neukundenboni abzugreifen (s.g. Bonushopper). Um diesem, aus Sicht der Energieversorger unliebsamen Verbraucherverhalten entgegenzutreten, sollen solche Bonushopper in einer speziellen Datenbank gespeichert werden.
Die DSK bewertet diese als Energieversorgerpool benannte Datenbank als rechtswidrig. Nach Auffassung der DSK hat jeder Bürger „das Recht, den Wettbewerb zwischen den Energieversorgern zu nutzen und am Markt nach günstigen Angeboten zu suchen.
Es war gerade das Ziel des Gesetzgebers, durch die Liberalisierung des Energiemarktes einen wirksamen und unverfälschten Wettbewerb bei der Versorgung mit Elektrizität und Gas zu ermöglichen. Der Versuch, preisbewusste und wechselfreudige Verbraucher*innen zu identifizieren und sie ggf. von bestimmten Angeboten auszuschließen, liefe dieser Zielsetzung zuwider.“
Zwar soll die Datenbank, neben den „schwarzen Schafen“ in Form der Schnäppchenjäger, auch langjährige loyale Kunden umfassen – quasi als Positivdaten – jedoch haben alle Kunden gleichermaßen das Recht, dass ihre Daten nicht über den Vertragszweck hinaus verarbeitet werden dürfen.
Die DSK verneint in der Speicherung und Übermittlung der Kundendaten an einen Energieversorgerpool ein berechtigtes Interesse der Energieversorger gem. Art. 6 Absatz 1 Satz 1 lit. f) DS-GVO und sieht darin einen gefährlichen Schritt auf dem Weg zum gläsernen Verbraucher.
19. März 2021
Personenbezogene Daten, die Verbraucher in E-Mails angeben, dürfen von Unternehmen nicht für andere Werbezwecke genutzt werden. Das entschied das Oberverwaltungsgericht Saarlouis durch Beschluss vom 16.02.2021 (Az. 2 A 355/19) und bestätigte damit ein Urteil des Verwaltungsgerichts Saarlouis vom 29.10.2019 (Az. 1 K 732/19). Durch die Angabe einer Telefonnummer in einer E-Mail, willigt der Verbraucher nicht automatisch in Werbeanrufe ein. Nutzen Unternehmen die Telefonnummer für Werbeanrufe, liegt darin ein Verstoß gegen die DSGVO.
Hintergrund der Entscheidung:
Die Klägerin, ein Unternehmen, ist im Bereich der Versicherungsvermittlung, der Vermögensanlage sowie der Finanzierung tätig. Im Rahmen dieser Tätigkeit betrieb sie auch telefonische Werbetelefonate. Zwei Betroffene, die ebenfalls zu Werbezwecken von der Klägerin kontaktiert worden waren, beschwerten sich bei der zuständigen Datenschutzbehörde (Beklagten) darüber und gaben an, niemals eine Einwilligung in eine solche Werbeansprache erteilt zu haben. Die Datenschutzbehörde erließ nach Anhördung der Klägerin daraufhin eine Anordnung, in der sie die Klägerin zur Einstellung der Verarbeitung personenbezogener Daten für Werbezwecke nach Art. 58 Abs. 2 lit. f DSGVO sowie zur Löschung der Daten der betroffenen Personen nach Art. 58 Abs. 2 lit. g DSGVO aufforderte. Zur Begründung führte sie an, vorliegend seien Name, Adresse und Telefonnummer der Betroffenen als personenbezogene Daten gem. Art. 4 Nr. 1 DSGVO erhoben und letztere zu Zwecken des telefonischen Direktmarketings ohne Einwilligung der Betroffenen durch das Unternehmen verwendet worden.
Dagegen erhob das Unternehmen Klage und gab an, eine wirksame Einwilligung sei durch ein vollständig durchlaufendes Double-Opt-In-Verfahren eingeholt worden.
Double-Opt-In
Bei diesem Verfahren erklärt der Nutzer in einem ersten Schritt seine Zustimmung zur Aufnahme in eine Verteilerliste durch die einmalige Eingabe seiner E-Mail-Adresse (sog. Single/Einfaches-Opt-In). In einem zweiten Schritt erhält er eine sich anschließende Bestätigungs-E-Mail mit der Möglichkeit, die Anmeldung zu bestätigen. Erst mit dieser Bestätigung wird die Registrierung wirksam und das Double-Opt-In abgeschlossen.
Im konkreten Fall hätten die Betroffenen sich für ein Gewinnspiel eingetragen, woraufhin sie eine Bestätigungs-E-Mail erhielten, die diese auch bestätigten, so die Klägerin. Zum Beweis dafür wies sie eine entsprechende Online-Registrierung aus, in der eine E-Mail-Adresse und der Eingang einer Bestätigungsmail vermekt waren.
Die Betroffenen verneinten die Eintragung in einen solchen Verteiler und eine entsprechende Bestätigung.
Die Entscheidung der Gerichte
Das Verwaltungsgericht wies die Klage des Unternehmens ab, mit der Begründung, dass über das Double-Opt-In-Verfahren nur eine Einwilligung per E-Mail-Werbung generierbar sei, nicht aber auch für Telefonwerbung. Dies bestätigte das Oberverwaltungsgericht nun. Das Double-Opt-In Verfahren per E-Mail sei nicht zum Nachweis der Einwilligung in Telefonwerbung geeignet. Die Anforderungen an eine rechtmäßige Verarbeitung gem. Art. 6 Abs. 1 DSGVO erfüllte die Klägerin nicht. Nach Art. 6 Abs. 1 lit. a DSGVO ist eine Verarbeitung nur dann rechtmäßig, wenn die betroffene Person ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben hat. Beruht die Verarbeitung auf einer Einwilligung, muss der Verantwortliche gem. Art. 7 Abs. 1 DSGVO nachweisen können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat. Diese konkreten Nachweise konnte die Klägerin im vorliegenden Fall nicht erbringen. Auch ein Rückgriff auf das in Art. 6 Abs. 1 lit. f DSGVO bezeichnete “berechtigte Interesse”, sei der Klägerin, so das OVG, verwehrt. Dies begründete es damit, dass die Bewertungsmaßstäbe des § 7 Abs. 2 Nr. 2 des Gesetzes gegen den unlauteren Wettbewerb (UWG), auch im Rahmen des Art. 6 Abs. 1 lit. f DSGVO berücksichtigt werden müssen. Nach § 7 Abs. 2 Nr. 2 UWG ist eine unzumutbare Belästigung stets anzunehmen bei Werbung mit einem Telefonanruf gegenüber dem Verbraucher, ohne dessen vorherige ausdrückliche Enwilligung. Eine Berücksichtigung etwaiger “berechtigter Interessen” des Werbenden sei in § 7 Abs. 2 Nr. 2 UWG aber nicht vorgesehen.
Fazit
Unternehmen dürfen Telefonnummern, die sie durch das Double-Opt-In-Verfahren per E-Mail erlangt haben, nicht für Werbeanrufe nutzen. Bei einem Verstoß gegen das UWG und der DSGVO drohen hohe Bußgelder.
18. März 2021
Durch die Ausnutzung von Sicherheitslücken erlangten Hacker Zugriff auf die Microsoft Exchange Server (wir berichteten). Die Lücken wurden inzwischen durch ein Windows-Update behoben.
Inzwischen äußerten sich auch weitere Datenschutzaufsichtsbehörden zu dem Vorfall. Einigkeit besteht hinsichtlich der Rechtsfolgen zumindest dann, wenn ein Data Breach in Form eines eindeutigen und nachweisbaren Zugriffs auf personenbezogene Daten stattgefunden hat. In diesem Fall ist die Meldung einer Datenpanne unerlässlich. Bei den Details unterscheiden sich die Meldungen jedoch.
Hier ein landespezifischer Überblick:
Auch Microsoft informiert über die technisch notwendigen Schritte. Darüber hinaus können sich Betroffene mit dem erst kürzlich veröffentlichten Microsoft On-premises Mitigation Tool (EOMT) wohlmöglich noch weiter absichern. Das Tool ersetzt die Sicherheitspatches allerdings nicht. Es kann auf der Github-Website von Microsoft heruntergeladen werden. Sind die Server abgesichert, lädt das Tool den Microsoft Security Scanner herunter. Dieser untersucht dann die Server auf schädliche Elemente.
16. März 2021
Das in Deutschland noch recht neue soziale Netzwerk “Clubhouse” ändert seine umstrittene Einladungspolitik. Bislang mussten Nutzer, die von ihrem zweimaligen Einladungsrecht Gebrauch machen wollten, der App den Zugriff auf das gesamte iPhone-Adressbuch gestatten (für Android-Smartphones ist eine App in Planung, es gibt aber derzeit noch keine). Nach einem Update ist diese Freigabe nun nicht mehr notwendig. Stattdessen kann auch einfach die Nummer eines Dritten im Einladungsfeld eingegeben werden. Man kann also auch Menschen einladen, die selbst nicht im eigenen Adressbuch stehen.
Zwar war es auch in der Vergangenheit möglich, dass der Nutzer nicht sein gesamtes Adressbuch für die App freigeben muss, im Gegenzug war es dann allerdings nicht möglich, von seinem Einladungsrecht Gebrauch zu machen. Für Nutzer, die bereits ihr Adressbuch freigegeben haben, soll bald die Möglichkeit bestehen, bei den App-Betreibern eine Löschung dieser Daten zu beantragen. Eine weitere geplante Neuerung ist die Möglichkeit, mittels eines Creator First-Programms Geld zu verdienen. Dazu sollen Creator, also Nutzer, die ein Gespräch führen, sich einfacher mit dem Publikum und auch mit Marken vernetzen können. Wie die Monetarisierung konkret aussieht, ist noch unklar, zunächst ist ein Testlauf geplant. Angekündigt haben die App-Betreiber diese Neuerungen standesgemäß in einem ihrer Online-Townhall-Meetings.
Clubhouse ist eine Audio-Only-App, die es in den USA seit rund einem Jahr und in Deutschland seit einigen Wochen gibt. Sie funktioniert wie ein Live-Podcast. Creator können Räume eröffnen und allein oder zusammen mit anderen Nutzern ein Gespräch führen. Grundsätzlich kann sich jeder Zuhörer auch aktiv an dem Gespräch beteiligen. Der Hype, den die App ausgelöst hat, dürfte auch an der künstlichen Verknappung liegen. Man bekommt nur auf Einladung eines Mitglieds Zugang zu diesem sozialen Netzwerk, wobei jedes Mitglied nur zwei weitere Personen einladen darf.
