Schlagwort: Social-Plugins

Verbraucherzentrale NRW startet Offensive gegen unzulässig verwendete Social Plugins

1. Juni 2015

Nach einer eigenen Pressemitteilung vom 21.05.2015 hat die Verbraucherzentrale NRW insgesamt 6 Unternehmen wegen der Verwendung von Social Plugins – wie beispielsweise der „Gefällt mir“-Button von facebook – in unzulässiger Weise abgemahnt. Zu den Unternehmen gehören Nivea (Beiersdorf), Kik, Eventim, Peek & Cloppenburg (FashionID), Payback und HRS. Mit der Abmahnung werden die Unternehmen aufgefordert die unzulässige Verwendung Social Plugins zu unterlassen.
Während HRS und Eventim bereits Unterlassungserklärungen abgaben, sind gegen Peek & Cloppenburg (FashionID) und Payback inzwischen Klagen anhängig.

Hintergrund sind die bei Unternehmen beliebten Social Plugins. Mit Social Plugins können Nutzer auf Webseiten von Unternehmen deren Produkte in sozialen Netzwerken anzeigen. Dadurch werden die Produkte einem viel größerem Kreis an potentiellen Kunden bekannt gemacht. Für Unternehmen bedeutet das effektive und günstige Werbung.

Social Plugins werden mittels sogenannten iFrames in Webseiten eingebettet. Diese erheben, ähnlich wie Cookies, Daten über das Surfverhalten der Nutzer, ohne dass Nutzers etwas davon bemerken. Sofern auf einer Webseite der „Gefällt mir“-Button von facebook implementiert und gleichzeitig der Nutzer dieser Website bei facebook angemeldet ist, kann facebook sogar nicht nur dem Surfverhalten eine IP-Adresse, sondern einer konkreten Person zuordnen.
Bereits 2011 haben die Datenschutzbeauftragten des Bundes und der Länder Social Plugins mit der dargestellten Funktionsweise für unzulässig erklärt. Denn facebook, Google+ und Twitter erheben mit Social Plugins personenbezogene Daten, ohne dass die Betroffen Kenntnis darüber erlangen oder gar ihre Einwilligung hierein erklären. Dieser Zustand ist mit der geltenden Rechtslage nicht zu vereinbaren. Die Erhebung personenbezogener Daten setzt nach dem im Datenschutzrecht geltendem Prinzip des Verbots mit Erlaubisvorbehalt entweder eine Rechtsgrundlage oder eine Einwilligungserklärung des Betroffenen voraus. Mangels vorhandener Rechtsgrundlage kann es einzig auf eine Einwilligungserklärung der Betroffenen ankommen.
Von einer wirksamen Einwilligungserklärung der Nutzer kann jedenfalls nicht schon deswegen ausgegangen werden, dass eine Webseite besucht wird. Auch ein entsprechender Hinweis auf die Verwendung und die Funktionsweise von Social Plugins in der Datenschutzerklärung genügt nicht, um die Persönlichkeitsrechte der Betroffenen gegenüber den Betreibern von sozialen Netzwerken ausreichend zu wahren.

Eine Möglichkeit die widerstreitenden Interessen von Datenschutz und Marketing bei der Verwendung von Social Plugins rechtskonform zu gestalten, bietet die sogenannte „2-Klick-Lösung“. Bei Verwendung dieser Methode sind in Webseiten eingebettete Social Plugins zu Anfang grundsätzlich inaktiv. Dass heißt, es werden nicht automatisch personenbezogene Daten erhoben. Möchte ein Webseitenbesucher einem Produkt in einem sozialen Netzwerk folgen oder liken, muss er das Social Plugin zunächst aktivieren (1.Klick). Ist dies geschehen, arbeitet das Social Plugin wie beschrieben. Der Nutzer kann anschließend durch Betätigung – beispielsweise des „Gefällt mir“-Buttons von facebook – das Produkt in dem sozialen Netzwerk liken (2. Klick). Auf diese Weise wird dem Recht auf informationelle Selbstbestimmung Rechnung getragen. Für Unternehmen besteht außerdem insoweit Rechtssicherheit, als dass sie die Implementierung von Social Plugins auf ihren Webseiten rechtskonform gestalten können.

Berliner Datenschutzbeauftragter möchte, dass Facebook-Plugins auf Behördenseiten unterbleiben

4. Januar 2012

Nach seinem schleswig-holsteinischen Kollegen Weichert fordert nun auch der Berliner Datenschutzbeauftragte Alexander Dix, dass Behörden keine Social-Plugins von Facebook einsetzen sollten. In einem Interview sagte Dix der Berliner Zeitung , dass es nicht sein könne, dass eine Berliner Behörde [durch die Einbindung von Social-Plugins – Anm. der Redaktion] klar gegen deutsches und europäisches Datenschutzrecht verstoße, nur um die eigene Popularität zu steigern.

Um den Behörden dennoch eine zeitgemäße Präsentation zu ermöglichen, hat sich Dix an Innensenator Frank Henkel gewendet, welcher in Berlin auch für die IT zuständig ist, und diesem dringend empfohlen, die Suche nach einer datenschutzgerechten Lösung auf die Agenda zu nehmen.

Auch wenn er grundlegend die gleichen Forderungen wie sein Amtskollege aus Schleswig-Holstein erhebt, so unterscheidet sich doch die Wahl der möglichen Mittel. Während Weichert die sogenannte 2-Klick-Lösung als nicht ausreichend erachtet und zu dem Schluss kommt, dass eine datenschutzkonforme Einbindung von Social-Plugins eigentlich momentan unmöglich sei, verweist Dix in dem Interview ausdrücklich auf die 2-Klick-Lösung des Heise-Verlags und bezeichnet diese als einfache, praktikabele Lösung. Insofern scheint zwischen Deutschlands Datenschützern Uneinigkeit in der Frage zu bestehen, wie sehr sich mündige Bürger durch Aktivierung von Social-Plugins in punkto Datenschutz selbstgefährden dürfen. (se)

Düsseldorfer Kreis äußert sich zum Datenschutz in sozialen Netzwerken

14. Dezember 2011

Der Düsseldorfer Kreis (eine informelle Vereinigung der obersten Datenschutzaufsichtsbehörden für den nicht-öffentlichen Bereich) hat am 08.12.2011 einen Beschluss zum Datenschutz in sozialen Netzwerken gefasst. Folgende Kernpunkte wurden dabei herausgearbeitet:

  • Das Telemediengesetz erfordert zumindest die pseudonyme Nutzungsmöglichkeit von sozialen Netzwerken. Nutzungsdaten dürfen nicht zur personenbeziehbaren Profilbildung verwendet werden, solange keine Einwilligung vorliegt. Nach der Beendigung der Mitgliedschaft sind jegliche Daten zu löschen.
  • Informationen darüber, welche Daten erhoben werden, und für welche Zwecke diese verarbeitet werden, müssen leicht zugänglich und verständlich sein.
  • Sämtliche Voreinstellungen müssen auf dem Einwilligungsprinzip beruhen, wenn nicht die Mitgliedschaft zwingend die Angabe solcher Daten voraussetzt. Insbesondere ist es nicht rechtmäßig zunächst mit der Datenverarbeitung zu beginnen und nur eine Widerspruchsmöglichkeit vorzusehen.
  • Ohne ausdrückliche und bestätigte Einwilligung des Abgebildeten ist es unzulässig, anhand von Fotos biometrische Gesichtserkennungsmerkmale zu erheben, zu speichern oder zu verwenden.
  • Die Betreiber der Netzwerke haben die sensiblen Daten durch geeignete technisch-organisatorische Maßnahmen zu schützen und einen Nachweis über diese Maßnahmen zu erbringen.
  • Um die besonders sensiblen Daten von Minderjährigen angemesen zu schützen sind datenschutzfreundliche Standardeinstellungen zu wählen. Weiterhin sind die Informationen über die Datenverarbeitung so zu formulieren, dass diese auch für Minderjährige verständlich sind.
  • Betroffenen muss eine einfache Möglichkeit gegeben werden, ihre Auskunfts-, Berichtigungs-, und Löschungsansprüche geltend zu machen. Dafür müssen zumindest die Kontaktdaten leicht auffindbar sein, damit Betroffene einen Ansprechpartner finden.
  • Es ist unzulässig Social-Plugins (z.B. den Like-Button von Facebook) auf Websites einzubinden, wenn dadurch eine Datenübertragung an den Anbieter des sozialen Netzwerkes erfolgt und die Nutzer nicht bereits vorher bezüglich der Datenübertragung informiert wurden und ihnen eine Möglichkeit zur Unterbindung der Datenübertragung eingeräumt wurde. Nur wenn die Nutzer verlässliche Informationen über die übermittelten Daten und deren Zweck erhalten, können sie rechtswirksam ihre Einwilligung erklären. In der Regel werden Anbieter deutscher Websites nicht über die nötigen Kenntnisse bezüglich der Datenverarbeitungsvorgänge verfügen, um  die Nutzer entsprechend zu informieren. Daher begehen die Anbieter der Websites selbst Rechtsverstöße, wenn sie Social-Plugins einbinden, die sie in Bezug auf die Datenverarbeitung nicht überblicken können.
  • Auch Betreiber, die außerhalb des Europäischen Wirtschaftsraumes (EWR) ansässig sind, müssen sich deutschem Datenschutzrecht unterwerfen, wenn sie ihre Datenerhebung durch einen Rückgriff auf Rechner von Nutzern in Deutschland verwirklichen (§ 1 Abs. 5 Satz 2 BDSG). Daher sei auch ein Inlandsvertreter als Ansprechperson für die Datenaufsicht zu bestellen (§ 1 Abs. 5 Satz 3 BDSG). Eine Anwendung des BDSG kann nich dadurch umgangen werden, dass eine rechtlich selbständige Niederlassung in einem anderen Staat des EWR gegründet wird. (Damit stellt sich der Düsseldorfer Kreis gegen Facebook, die bisher auf dem Standpunkt beharren, dass nur der irische Datenschutz auf Facebook Anwendung fände – Anmerkung der Redaktion)

(se)

Irische Behörde will Facebook prüfen – Wissenschaftlicher Dienst legt Gutachten zu Social-Plugins vor

24. Oktober 2011

Wie heise online berichtet, plant die irische Datenschutzbehörde eine Überprüfung der europäischen Facebook-Niederlassung in der kommenden Woche. Anlass hierfür gaben auch die Beschwerden des österreichischen Studenten, der seine bei Facebook gespeicherten Daten angefordert hatte. Auf der ihm anschließend übersandten CD mit einem 1200 Seiten starken Dokument fanden sich unter anderem Einträge und Daten, die er längst gelöscht hatte.

Die Überprüfung von Facebook in Dublin soll nach dem Bericht etwa eine Woche dauern. Zuständig ist der irische „Data Protection Comissioner“, weil Facebook allein in Irland die „Facebook Ireland Limited“ als Niederlassung für Europa betreibt.

Inzwischen hat sich auch der Wissenschaftliche Dienst des Bundestages mit Facebook beschäftigt. Genauer ging es um die Anfrage eines FDP-Bundestagsabgeordneten, ob das Unabhängige Landeszentrum für Datenschutz (ULD) in Schleswig-Holstein Nutzern der Social-Plugins von Facebook zu Recht vorwerfe, gegen deutsches Datenschutzrecht zu verstoßen.

Das eindeutige Fazit der Wissenschaftler lautet, dass wegen deutlicher Unsicherheiten im geltenden Datenschutzrecht keinesfalls eindeutig von einem Verstoß ausgegangen werden könne. Die Rechtsauffassung des ULD sei vertretbar, die Behauptung eines eindeutigen Verstoßes aber unzutreffend.

Problematisch sei besonders der Personenbezug von Cookies und IP-Adressen. Die Anforderungen an die Bestimmbarkeit einer Person seien sehr umstritten und von der Rechtsprechung nicht einheitlich geklärt. Diese Kontroverse würde aber vom ULD ausgeblendet. Nicht nachvollziehbar sei auch die Begründung einer Auftragsdatenverarbeitung  nach  §11 BDSG, aus der sich die angeprangerte Verantwortlichkeit der Webseitenbetreiber für die von Facebook erstellen Statistiken ergeben könnte. (ssc)

2-Klick-Lösung für besseren Datenschutz bei Social-Plugins

11. Oktober 2011

Der Heise-Verlag stellt seit einiger Zeit allen interessierten Webmastern ein Skript zur Verfügung, welches dafür sorgt, dass die Social-Plugins von Facebook, Twitter und Google+ keine Daten übermitteln, bevor die Nutzer die Funktionalität der Schaltflächen nicht freischalten.

Ein solches Vorgehen ist notwendig, da insbesondere Facebooks Like-Button völlig ohne Zutun der Nutzer Daten an Facebook sendet. Dafür reicht bereits der Aufruf der Seite, auf der der Like-Button eingebunden ist; einer aktiven Nutzung des Buttons bedarf es nicht.

Bei der 2-Klick-Lösung laufen, im Gegensatz zu den normal eingebunden Social-Plugins, die Skripte der Social-Media-Anbieter nicht schon beim Laden der Seite im Hintergrund. Der Nutzer muss die Schaltflachen erst über einen Klick “scharf schalten”. Dies aktiviert die Skripte und die Funktionalität der Schaltflächen. Bereits wenn man den Mauszeiger über den deaktivierten Button bewegt (Mouseover), erhält der Nutzer ein Infofenster, das darauf hinweist, dass schon das reine Aktivieren der Schaltflächen zu einer Datenübermittlung an Dritte führt. Weiterhin wird in der kurzen Mitteilung auf eine “i” Schaltfläche verwiesen, die ihrerseits beim Mouseover erläutert, dass beim Aktivieren der Buttons Daten in die USA übertragen und dort auch möglicherweise gespeichert werden. Ein Klick auf “i” leitet auf die Projektseite weiter. Dort finden sich weitere Angaben zu den technischen Hintergründen und der Notwendigkeit des gewählten Verfahrens.

Heise verweist selber darauf, dass ein solches Verfahren bereits zuvor bei SWR3 und RP-Online eingesetzt wurde. Nichtsdestotrotz hat die Freigabe des Quellcodes durch Heise, sowie der große mediale Aufwand seitens des Verlags, eine gewisse Katalysatorwirkung für deutsche Onlinemedien gehabt. Heise selbst spricht von über 500 Anfragen allein in der ersten Woche. Auch große deutsche Portale wie zeit.de und computerbase.de sind mittlerweile dazu übergegangen, Social-Plugins standardmäßig zu deaktivieren.

Facebook selbst zeigte sich von dieser Lösung wenig begeistert und beschwerte sich sowohl bei Heise als auch bei SWR3 über einen Verstoß gegen die Platform Policies, da die Betreiber eine Facebook Funktion nachahmten. Dies wurde damit begründet, dass eine Schaltfläche, die wie ein Like-Button aussehe, auch die Funktionalität des Like-Buttons haben müsse. Um einer Sperrung der betroffenen Domains bei Facebook zu verhindern, haben die Verwantwortlichen das Design der deaktivierten Facebook-Buttons mittlerweile so angepasst, dass diese nicht mehr dem Like-Button von Facebook ähneln.

Während die 2-Klick-Lösung für den durchschnittlichen Internetnutzer ausschließlich positiv ist, da eine Datenübermittlung zu den Social-Media-Anbietern ohne sein Zutun nicht mehr stattfindet, reicht einigen Datenschützern diese Initiative nicht aus. Thilo Weichert vom ULD (Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein) sieht darin zwar einen Schritt in die richtige Richtung, die aber nicht ausreiche. Nach seiner Einschätzung ist die Information beim Aktivieren des Button nicht ausreichend, da eine wirksame Einwilligung voraussetze, dass die Nutzer wüssten, worein sie einwilligten. Facebook lege aber bisher nicht dar, was mit den Nutzerdaten geschehe. Folgt man dieser Argumentation, ist eine datenschutzkonforme Nutzung von Facebook, und den entsprechenden Plugins, überhaupt nicht möglich, weil es immer an der erforderlichen informierten Einwilligung fehlt.

Unbeachtet dieser Kritik steht es völlig außer Frage, dass eine Einbindung der Social-Plugins im Wege der 2-Klick-Lösung deutlich datenschutzfreundlicher ist, als die Plugins ohne jegliche Restriktionen einzubauen. Wer also (überhaupt) plant Social-Media-Plugins zu verwenden, sollte im Interesse der Besucher seiner Website eine solche Lösung implementieren. (se)