Archiv der Kategorie: Datenschutzrecht

AG München – Herausgabe von Nutzerdaten durch einen Forenbetreiber?

Vor einem guten Monat beschäftigte sich das AG München, Az.: 161 C 24062/10 mit der Frage, ob Forenbetreiber die Nutzungsdaten von Usern, die (vermeintlich) geschäftsschädigende Äußerungen innerhalb des Forums tätigten, herausgeben müssen. Da diese Fallkonstellation, bzw. die Beleidigung, üble Nachrede oder Verleumdung oder sonstige Eingriffe in das allgemeine Persönlichkeitsrecht, in der Forenlandschaft doch recht häufig vorkommt, ein doch recht guter Grund, sich damit einmal näher zu beschäftigen.

Der Fall und die Sicht des AG München…

In dem vorliegenden Fall verlangte die Klägerin Auskunft von der Beklagten über Namen und Anschrift von Nutzern, die sich im Forum der Beklagten verschiedentlich geäußert hatten. Die Beklagte betreibt ein Forum, auf dem sich registrierte Nutzer zum Thema Auto untereinander austauschen können. Unter diesen Foreneinträgen fanden sich solche, bei denen die Klägerin als Betreiberin mehrerer Autohäuser sich beeinträchtigte wähnte und geschäftsschädigende Auswirkungen befürchtete. Zwar hat die Beklagte die streitgegenständlichen Äußerungen unverzüglich entfernt, jedoch weigerte sie sich, dem o.g. Auskunftsverlangen stattzugeben. Die Klägerin verlangte die Daten der User heraus, um diese ebenfalls auf Unterlassung in Anspruch nehmen zu können (ergo, damit diese nicht in diesem oder in anderen Foren ihre Äußerung erneut tätigen).

Die Klage wurde abgewiesen.

Nach Auffassung des AG München hat die Klägerin keinen Auskunftsanspruch gegenüber dem Forenbetreiber. Die Beklagte ist als Forenbetreiber der Anbieter eines Telemedienstes, so dass die Vorschriften des Telemediengesetzes (TMG) samt dessen datenschutzrechtlicher Bestimmungen einschlägig sind. § 12 TMG regelt dabei, dass die für die Bereitstellung des Telemediendienstes erhobenen personenbezogenen Daten nur herausgegeben werden dürfen, soweit dies ein Gesetz, das sich ausdrücklich auf Telemedien bezieht oder der Nutzer eingewilligt hat. Eingewilligt haben die Nutzer hier nicht. Also hätte es einer gesetzlichen Regelung bedurft. Eine solche findet sich auch in § 14 Abs. 2 TMG

„Auf Anordnung der zuständigen Stellen darf der Diensteanbieter im Einzelfall Auskunft über Bestandsdaten erteilen, soweit dies für Zwecke der Strafverfolgung, zur Gefahrenabwehr durch die Polizeibehörden der Länder, zur Erfüllung der gesetzlichen Aufgaben der Verfassungsschutzbehörden des Bundes und der Länder, des Bundesnachrichtendienstes oder des Militärischen Abschirmdienstes oder des Bundeskriminalamtes im Rahmen seiner Aufgabe zur Abwehr von Gefahren des internationalen Terrorismus oder zur Durchsetzung der Rechte am geistigen Eigentum erforderlich ist.“

Es ist offensichtlich, keiner der dort genannten Zwecke war vorliegend im Fall, der vor dem AG München verhandelt wurde, gegeben.

Nun gibt es im Recht durchaus die Möglichkeit eine Vorschrift analog anzuwenden. Die Analogie ist ein Verfahren, bei dem eine Rechtsnorm über ihren durch Auslegung festgestellten Inhalt hinaus auf weitere, ähnlich liegende Fälle angewandt wird oder bei dem ein im Gesetz nicht geregelter, aber regelungsbedürftiger Fall unter eine Rechtsnorm subsumiert wird, die für andere, ähnlich liegende Fälle gilt (Harry Zingel – Methoden der Rechtsanwendung, S. 3). Meint anders ausgedrückt: Die Norm findet auch Anwendung auf Fälle, die gerade nicht in der Norm genannt sind. Voraussetzung für eine solche Anwendung einer Norm ist jedoch die sog. planwidrige Regelungslücke, d.h. es muss nicht nur überhaupt eine gesetzliche Bestimmung fehlen, sondern es muss vielmehr deutlich sein, dass der Gesetzgeber diese Regelungslücke nicht bemerkt hat, diese also „unbeabsichtigt“ ist. Das AG München vertritt die Auffassung, dass eine analoge Anwendung des § 14 Abs. 2 TMG für den Kläger nicht in Betracht kommt. Denn in der Zusammenschau mit § 12 TMG werde deutlich, dass der Gesetzgeber mit § 14 Abs. 2 TMG gerade eine abschließende Regelung der Ausnahmetatbestände treffen wollte, in denen ein Telemediendienst gezwungen werden kann, Auskunft über seine Nutzer zu erteilen. Demnach besteht also keine solche planwidrige Regelungslücke in dem Fall, in dem sich jemand verleumdet sieht.

Auch der allgemeine Auskunftsanspruch, der sich aus dem Grundsatz von „Treu und Glauben“ nach §§ 242, 259 BGB, scheidet nach Auffassung des AG München aus. Schließlich sei § 14 Abs. 2 TMG das speziellere Gesetz. Hierbei verhält es sich im Grundsatz so, dass solch ein lex specialis, das für einen bestimmten Bereich eine Regelung trifft, nicht dadurch wieder „ausgehebelt“ werden kann, in dem doch wieder ein allgemeineres Gesetz angewendet wird; das spezielle Gesetz hat Vorrang.

Schließlich verweist das AG München noch darauf, dass die Klägerin auch nicht rechtschutzlos gestellt sei. Schließlich könne die Klägerin einen Strafantrag bei der Staatsanwaltschaft stellen und im Wege der ihr dann zustehenden Akteneinsicht an die gewünschten Daten gelangen.

…und ein paar Anmerkungen dazu:

Zunächst einmal ist in § 14 Abs. 2 TMG an sich gar kein Auskunftsanspruch seitens eines möglicherweise Verletzten, sondern vielmehr nur die Gestattung der Auskunft durch den Forenbetreiber geregelt (vgl. auch: RA Stadler) Demnach stünde dem Verletzten – mangels lex specialis – wohl ein Auskunftsanspruch nach §§ 242, 259 BGB zu, der aus den datenschutzrechtlichen Erwägungen des § 14 Abs. 2 TMG in Verbindung mit § 12 TMG nach Auffassung des AG München jedoch nicht durchgesetzt werden könnte. – Gut, das mag jetzt für den Nichtjuristen nach Haarspalterei klingen… deswegen weiter im Text: Davon also einmal abgesehen mag die Argumentation des AG München insbesondere vor dem Verweis auf die Rechtsschutzmöglichkeit bei der Staatsanwaltschaft in sich erst einmal überzeugen. Aber ob es sich in der Gesamtschau um ein billiges Ergebnis handelt, mag dann doch fraglich sein. Schließlich ist dem Forenbetreiber bei der Verletzung von geistigem Eigentum nicht nur gestattet, die Daten herauszugeben, sondern der Rechteinhaber findet im Urheberrechtsgesetz sowie im Markengesetz eigenständige  gesetzliche Auskunftsanspruch, bzw. auch im Urheber-, Marken- und Wettbewerbsrecht den mittlerweile gewohnheitsrechtlichen anerkannten sog. „unselbstständigen Auskunftsanspruch“, der ebenfalls dem Grundsatz des § 242 BGB entnommen wurde und der gerade die Durchsetzung verletzter Rechte so einfach wie möglich machen soll.

Mit welcher Berechtigung nun die Durchsetzung des Rechts bei einer Verletzung des geistigen Eigentums einfacher sein soll als im Fall der Verletzung des Persönlichkeitsrecht, mag nicht einleuchten. Warum ist einem Telemedienanbieter die Herausgabe von Nutzerdaten im Fall der Verletzung von geistigem Eigentum gegenüber dem Verletzten gestattet, nicht aber gegenüber demjenigen, der an seiner Persönlichkeit verletzt wurde (und der nach hier vorliegender Ansicht einen Auskunftsanspruch aus eben §§ 242, 259 BGB hat)? Das geistige Eigentum erfährt somit „mehr“ Schutz als das Persönlichkeitsrecht… Eine sinnvolle Erklärung drängt sich mir an der Stelle nicht auf.

Doch ebenso argumentierte das KG Berlin, Az.: 10 U 262/05, im Jahr 2006. Hier fälschte der registrierte Nutzer eines Webhosting-Betreibers für private Homepages Nacktbilder der Klägerin und machte diese der Öffentlichkeit zugänglich. Die Klägerin verlangte vom Webhoster Auskunft über den Nutzer. Zwar gestand das KG Berlin grundsätzlich den Auskunftsanspruch nach § 242 BGB zu, betonte aber, dass eben dieser nicht durchgreifen könnte, da die datenschutzrechtlichen Regelungen dem entgegenstünden. Die Angelegenheit landete allerdings nur vor dem KG Berlin (2. Instanz), da das LG Berlin den Auskunftsanspruch zuerkannte. Meines Erachtens zu Recht zitiert das LG Berlin die ständige Rechtsprechung des BGH:

„Ein Auskunftsanspruch aus dem Gesichtspunkt von Treu und Glauben besteht, wenn die zwischen den Parteien bestehenden Rechtsbeziehungen es mit sich bringen, dass der Anspruchsberechtigte in entschuldbarer Weise über das Bestehen oder den Umfang seines Rechts im Ungewissen ist und wenn der Verpflichtete in der Lage ist, unschwer die zur Beseitigung dieser Ungewissheit erforderliche Auskunft zu erteilen (BGH NJW 2002, 3771 , 3772; MDR 2002, 228 , 229 m.w.N.).“

So verhält es sich. Der Anspruchsberechtigte ist über das (Nicht-)Bestehen seines Anspruchs im Ungewissen und ein Forenbetreiber (oder sonstiger Telemedienanbieter) kann sehr einfach die erforderliche Auskunft erteilen. Insbesondere wird deutlich aufgezeigt, dass der Verweis auf die staatsanwaltschaftliche Auskunft keinen „gleichwertigen“ Rechtsschutz darstellen kann:

„Die Klägerin … muss sich dabei insbesondere nicht darauf verweisen lassen, dass ihr der Weg der Strafanzeige offen steht und im Rahmen eines Strafverfahrens Auskunft über die bei der Beklagten vorhandenen Daten begehrt werden könnte. Denn bei dem hier in Rede stehenden Beleidigungsdelikten nach §§ 185 ff. StGB erscheint es naheliegend, dass das Ermittlungsverfahren ohne weitere Ermittlungen nach § 170 Abs. 2 StPO eingestellt und die Klägerin gem. §§ 374 Abs. 1 Nr. 2 , 376 StPO auf den Privatklageweg verwiesen wird.“

Es ist auch einfach nicht verständlich, warum derjenige, der an der Persönlichkeit verletzt wurde, zunächst auf die Staatsanwaltschaft verwiesen wird, nur um letzlich eine Einstellungsnachricht, aber eben auch auf diesem Wege Akteneinsicht und damit die Daten der Verletzer erlangen, während derjenige dessen geistiges Eigentum verletzt ist, direkt zum Telemedienbetreiber durchmaschieren darf. Nicht zu vergessen: Für viele Betroffene kann der Gang zur Staatsanwaltschaft auch durchaus eine erstmal zu nehmende „Hürde“ im Kopf darstellen.

Da zudem von die Daten von einem (wahrscheinlichen) Rechtsverletzer herausverlangt werden, überzeugt meines Erachtens das Argument des Datenschutzes ohnehin nicht. Das LG Berlin setzt sich in der genannten Entscheidung mit diesem Argument auch ausführlich auseinander. Die Argumentation des KG Berlin und des AG München verbleibt schlicht bei der „Vorrangigkeit des Datenschutzes“, die sich aus den Normen ergebe und der Feststellung „In den (datenschutzrechtlichen) Regelungen hat der Gesetzgeber die gegenläufigen Interessen abschließend berücksichtigt und die zur Auskunft berechtigten Stellen und die zur Auskunft berechtigenden Zwecke auch ausdrücklich genannt.“ Dass diese Berücksichtigung hinreichend stattgefunden hat, ist mE gerade nicht der Fall. Dass der Schutz des Persönlichkeitsrechts hinter den datenschutzrechtlichen Belangen eines Rechtsverletzers stets (also ohne weitere Abwägung) stehen bleiben soll, überzeugt aus den vorgenannten Gründen keinesfalls. Zumal bei schwerwiegenden Persönlichkeitsrechten nicht nur Unterlassungs-, sondern auch Schadensersatzansprüche im Raum stehen, die gegenüber dem Telemedienbetreiber als – wenn überhaupt – reinem Störer gerade nicht durchgesetzt werden können. Und vor dem Hintergrund der gesetzlich normierten Gestattungs-Ausnahme im Fall der Verletzung geistigen Eigentums spricht doch so einiges dafür, dass es sich gerade bei der mangelnden Aufzählung der Verletzung des Persönlichkeitsrechts eben doch um eine planwidrige Regelungslücke handelt.

Da Persönlichkeitsrechtsverletzungen aufgrund der fortschreitenden Nutzung von Social Media Anwendungen jeglicher Art in den verschiedenen Telemediendiensten voraussichtlich eher zu- als abnehmen werden, ist auch damit zu rechnen, dass die Frage des Auskunftsanspruches gegenüber den Betreibern von Telemedien bei Persönlichkeitsrechtverletzungen noch mehr als einmal auf Tableau kommt. Wie sich die Rechtsprechung (und gegebenenfalls die Gesetzgebung) hier vor diesem Hintergrund weiter entwickelt, darf mit Spannung abgewartet werden.

In diesem Sinne schönen Dienstag!

Update: Lex Facebook – Was ist da eigentlich dran?

Ende August beschäftigte sich der Social Media Recht Blog schon einmal mit der „Lex Facebook“, vielmehr dem „Entwurf eines Gesetzes zur Regelung des Beschäftigtendatenschutzes“. Das Gesetzgebungsverfahren ist nun ein gutes Stück weiter und deswegen hier ein kleines Update:

Am 25.02.2011 fand die erste Lesung zum „Entwurf eines Gesetzes zur Regelung des Beschäftigtendatenschutzes“ im Bundestag statt. Zwischenzeitlich hat es kritische Stellungnahmen des Bundesrates und der Bundesrechtsanwaltskammer sowie des Deutschen Richterbundes gegeben. Änderungen hat es hier und da gegeben – das „lex Facebook“ findet sich jedoch auch in diesem Gesetzesentwurf vom 15.12.2010 unverändert. Allerdings lässt die Begründung zu § 32 Abs. 6 BDSG-E doch auf den gesunden Menschenverstand hoffen, denn dort heißt es

„Allgemein zugänglich sind Daten z.B. dann, wenn sie der Presse oder dem Rundfunk zu entnehmen sind. Auch im Internet bei bestimmungsgemäßer Nutzung für jeden abrufbare Daten sind grundsätzlich allgemein zugänglich, insbesondere, wenn die Daten über eine allgemeine Suchmaschine auffindbar sind. Sind die Daten hingegen nur einem beschränkten Personenkreis zugänglich, z.B. ausgewählten Freunden, liegt eine allgemeine Zugänglichkeit nicht vor.“

Aha. Geht doch. Sollte man meinen. Allerdings besteht weiterhin die oben geschilderte Problematik, dass der potentielle Arbeitgeber den potentieller Arbeitnehmer vor Erhebung auch der öffentlich zugänglichen Daten hinzuweisen und weiterhin ist auch die Erhebung allgemein zugänglicher Daten unzulässig, wenn das schutzwürdige Interesse des Beschäftigten an dem Ausschluss der Erhebung der Daten das berechtigte Interesse des Arbeitgebers überwiegt. Dies ist – wie oben dargestellt – immer der Fall bei „sozialen Netzwerken“. Die gesamte Begründung kann hier nachgelesen werden, die Regelungen zu § 32 BDSG-E werden ab Seite 15 erläutert.  Und wer mag, kann schließlich die Bundestags-Rede des „damals“ noch amtierenden Innenministers de Maizère im Bundestag zu dem Thema ebenfalls nachlesen.

Die Frage bleibt, ob das Gesetz letztlich so verabschiedet wird und wenn ja, wie es es sich in der Praxis bewährt… We will see. Updates tbc.

Facebook „Sponsered Stories“ – Kann ich das als Agentur empfehlen?

Bekanntermaßen fand am 10.02.2010 in den Agenturräumen der beebop media ag #beesocial 2 statt. Ebenfalls bekanntermaßen wurde ein Vortrag von meiner Wenigkeit gehalten. Schon während des Vortrags kam eine lebhafte Diskussion auf , dabei wurden auch die Facebook „Sponsered Stories“ gestreift. Dazu habe ich mich zwar schon hier im Blog unter Facebook: Introducing sponsered Stories ausgelassen, aber die Frage aus dem Publikum, die da hieß „Kann ich das als Agentur denn (guten Gewissens) empfehlen?“, konnte ich nur mit einem „Das ist eine spannende Frage, zu Ende gedacht habe ich Sie noch nicht, aber ich würde erstmal nein sagen“ beantworten – und versprach, diese Frage demnächst in meinen Blog aufzunehmen. Here we go.

Man stelle sich folgenden möglichen Sachverhalt vor: Die deutsche Agentur A empfiehlt dem deutschen Unternehmen U seine Unternehmensbegriffe/Örtlichkeiten auch bei FB „Sponsered Stories“ im Rahmen einer umfänglichen Social Media Kampagne zu buchen. Ein User spuckt eine der Begrifflichkeiten aus und landet mit seinem Text und Bild in den „Sponsered Stories“, sieht dies, findet das nicht witzig und hat sogar genügend Zeit und Geld (oder schlicht den Willen und (PKH = Prozesskostenhilfe) und ein Gericht, das meint, er habe Aussicht auf Erfolg), um in den Rechtsstreit zu treten mit – klar dem Unternehmen U. Denn wer will sich schon mit Facebook anlegen und außerdem soll #fb bei der heutigen Betrachtung mal außen vor bleiben. Das Unternehmen U sieht sich nun verschiedenen Ansprüchen seitens des Users ausgesetzt und ruft sogleich bei der Agentur A an, um sich lauthals zu beschweren und außerdem deutlich zu machen, dass man ganz sicher bei der Agentur A Regress nehmen werde, sprich, dass man das Geld, was man nun ausgeben müsse, zurückholen werde, schließlich habe die Agentur A den ganzen Kladderadatsch empfohlen. Frage: Muss A zittern? (So jedenfalls habe die Frage von letztem Donnerstag verstanden, Korrekturen gerne. 🙂 )

Wichtige Vorbemerkung: Die nun nachfolgende Betrachtung stellt KEINE Rechtsberatung dar; ich sitze hier nicht mit 28 Kommentaren und noch mal 300 möglicherweise auf die jeweilige Konstellation passenden Urteilen, die ich alle benutze, um jedes einzelne Tatbestandsmerkmal knallhart rechtlich zu analysieren. Nein. Es handelt sich bei den folgenden Zeilen vielmehr schlicht um ein aufgeschriebenes lautes Nachdenken am Montagabend.  Also,

muss A zittern?

I. Verantwortlichkeit der Agentur?

Kann denn die Agentur für die letztlich vom Kunden Unternehmen U durchgeführte Kampagne überhaupt verantwortlich sein? Grundsätzlich ja. Denn die Agentur ist zunächst mal dafür verantwortlich, dass eine für den Kunden konzipierte und durchgeführte Kampagne frei von Mängeln ist. Ein Mangel kann auch eine rechtswidrige Werbemaßnahme sein (vgl. OLG Düsseldorf, Az.: 5 U 39/02), denn in dem Fall ist die Kampagne faktisch nicht erlaubt, damit nicht durchführbar und die Agentur hat Ihre (Dienst-)Leistung nicht ordnungsgemäß gegenüber dem Kunden, also dem Unternehmen U, erbracht. Nun ist es der Agentur zwar möglich, die Verantwortung für eine rechtliche Prüfung einer solchen Kampagne und damit die rechtliche Verantwortung qua vertraglicher Vereinbarung auf den Kunden abzuwälzen. Dies ist jedoch zum einen nicht ganz einfach. Zum anderen wird es dann schwierig, wenn die Agentur von vornherein weiß, dass die empfohlene Kampagne zu gerichtlich durchsetzbaren Ansprüchen gegenüber dem Kunden führen wird, bzw. führen kann. Dann kann sich die Agentur kaum damit exculpieren (juristisch für: herausreden), dass die rechtliche Prüfung der Angelegenheit Sache des Kunden U gewesen wäre. Im Übrigen: In der harten Realität alles Fragen der jeweiligen Darlegungs- und Beweislast.

Wir halten also fest, grundsätzlich kann der Kunde die ihn beratende Agentur wegen Beratungsfehlern und ihm daraus resultierenden Schäden in Anspruch nehmen.

II. Schäden des Unternehmen U, die es an die Agentur A durchreichen will oder: Die Ansprüche des Users gegenüber dem Unternehmen U.

Die Frage ist natürlich, was das der User denn gegenüber dem Unternehmen U geltend machen könnte. Der möglicherweise in seinen Rechten verletzte User könnte gegenüber dem Unternehmen U möglicherweise Unterlassung und Schadensersatz aus §§ 1004, 823 I BGB in Verbindung mit dem APR (allg. Persönlichkeitsrecht), bzw. 823 II BGB und dem KUG (Kunsturhebergesetz) geltend machen, da mit seinem Text und seinem Bild Werbung gegen seinen Willen veranstaltet wird von dem Unternehmen U.

1. Einwendungen Unternehmen U.

Das Unternehmen U (oder jedenfalls die Agentur A) wird hier sofort einwenden, dass U (A) doch von FB die Unterlizenz zur Nutzung der Texte und Bilder im Rahmen der FB „Sponsered Stories“ erhalten habe? (Den Fall, dass FB das zugesichert hat und das Unternehmen dann dort Regress nehmen müsste/könnte, den lassen wir jetzt mal weg. *buzz. Wird sonst zu kompliziert).

Grundsätzlich ist das auch richtig, denn jeder User stimmt den Nutzungsbedingungen von Facebook zu Beginn zu und erteilt damit FB eine unentgeltlich Lizenz zur Nutzung und Lizenzierung aller bei FB eingestellten Inhalte; s. dazu ausführlich hier und hier.

Allerdings ist hochgradig fraglich, ob diese Zustimmung über die Nutzungsbedingungen von Facebook rechtswirksam ist. Zum einen verstoßen diese gegen das deutsche AGB-Recht und zum anderen bedarf es gerade aus datenschutzrechtlicher Sicht einer Einwilligung mit hinreichender Transparenz. Das ist bei dieser umfassenden Einwilligung sicher nicht der Fall, s. wieder hier und hier.

Wer sich nun fragt, was das deutsche Recht denn bei Facebook verloren hat, der möge sich die Gerichtsstands-Klausel in den Nutzungsbedingungen für deutsche User einmal ansehen.

Wir halten also fest, wirksam konnte Facebook (nicht nur nach Auffassung des Social Media Recht Blog) keine Unterlizenz für die bei Facebook eingestellten Inhalte des Users gegenüber dem Unternehmen U einräumen.

2. Ergebnis soweit

Demnach hatte das Unternehmen U kein Recht, mit den Texten und Bildern des Users für sein Unternehmen (Produkte, Dienstleistungen, Arbeitgeber) zu werben. Das allgemeine Persönlichkeitsrecht des Users ist also durch das Buchen der „Sponsered Stories“ und die Verwendung der Texte/Bilder verletzt. Die Rechtsverletzung indiziert die Rechtswidrigkeit der Handlung, Rechtfertigungsgründe oder eine Einwilligung sind ja gerade nicht ersichtlich. Dem gemäß besteht jedenfalls der Unterlassungsanspruch. Für einen Schadensersatz ist ein Verschulden erforderlich. Allerdings ist dem Unternehmen U wohl wenigstens Fahrlässigkeit zur Last zu legen. Denn es besteht auch die Verpflichtung, sich über bestehende Rechtsvorschriften zu erkundigen.

3. Der Kreis schließt sich.

Eingangs hatten wir festgestellt, dass die Prüfung der Einhaltung von Rechtsvorschriften grundsätzlich Sache der eben mit der Kampagnenplanung beauftragen Agentur ist und dass auch ein wirksames vertragliches Abbedingen wenig nützt, wenn die Agentur doch weiß, dass die empfohlene Kampagne Schwierigkeiten aufweist.

III. Fazit

Nach dem vorstehend laut Gedachtem ist einer Agentur also nicht zu empfehlen die „Sponsered Stories“ als Social Media Kampagne zu empfehlen. Allerdings sind hier auch den lauten Gedanken viele wenns und abers zu entnehmen. Das erste große WENN ist derzeit der User, der überhaupt erstmal dagegen vorgehen muss, dass seine Daten zu Werbezwecken verwendet werden (das mag anders aussehen, wenn der Gesetzesentwurf zur roten Linie umgesetzt wurde). Dennoch: Juristen müssen in worst-case-Szenarien denken und deswegen würde ich als Agentur derzeit nur eine Sponsered Stories Kampagne für den Kunden konzipieren und umsetzen, wenn der mir explizit unterschreibt, dass er über die rechtlichen Risiken dieser Kampagne aufgeklärt wurde und ein diesbezüglicher Rückgriff auf die Agentur ausgeschlossen ist.

So, lieber ich-weiß-leider-Deinen-Namen-nicht-Zuhörer, ich hoffe, die Frage ist nun ein bißchen beantwortet.

Schönen Montag.

Facebook: Introducing sponsered Stories

Und es geht weiter. Facebook versorgt uns mit dem nächsten Tool, dass uns alle selbstverständlich nur glücklicher machen und insgesamt natürlich die Welt verbessern soll. Das zumindest ist der Eindruck, den das firmeneigenen Facebook-Video auf Youtube hervorruft:

[youtube=http://www.youtube.com/watch?v=ce3P79ktpTk&w=640&h=390]

Kurz zusammengefasst funktioniert das neue Marketing-Tool wie folgt:  Checkt User A über Facebook-Places in einem Starbucks ein oder gibt einen Kommentar über ein Starbucks-decaf-no-fat-milk-but-chocolate-cream-vanilla-tall-mokka ein, erscheint das in dessen Timeline. Soweit nichts Neues. Hat aber Starbucks die „sponsered story“ gebucht, erscheint dieser Kommentar samt Foto auf der Werbefläche im Profil von „Freunden“.

Nun ist Word of Mouth Marketing ebenfalls nichts Neues. Zudem passt es perfekt zu jeder Social Media Kampagne, schließlich heißen die Ziele hier immernoch (oder sollten sie zumindest) involment und social enhancement. Der große Unterschied: Ich werde hier nicht gefragt. Gar nicht. Beim klassischen WOM verhält es sich immer noch so, dass der Betreffende entscheiden kann, ob er eine Story weiter erzählt und wenn ja, wem. Es wird nicht ungefragt die komplette Nachbarschaft (offline-Vergleich mit dem „FB-Freundeskreis“) mit Plakaten des Konterfeis gepflastert, auf denen steht: Markus Mustermann findet das Layback in St. Georg toll. Und das ist aus mehreren Gründen auch gut so.

1. Recht am eigenen Bild

Jeder Mensch kann selbst darüber bestimmen, was mit Bildnissen seiner Person geschieht. (vgl. §§ 22, 23 KUG) Vor der Veröffentlichung oder Verbreitung solcher Bildnissen muss grundsätzlich die Einwilligung der abgebildeten Person eingeholt werden. Diese Regelung dient dem Schutz der Persönlichkeit. Gut. Ich sehe Herrn Zuckerberg schon an dieser Stelle maliziös lächelnd sagen: „Aber Du hast doch der Veröffentlichung Deines Bildes zugestimmt, jedenfalls hast Du uns mit Deiner Anmeldung und der Zustimmung der Nutzungsbedingungen die Lizenz zur Verwendung Deiner Bilder gegeben.“ – Ja, damit wird nun genau das wahr, wovor ich (und vermutlich noch ein paar andere) sich immer gefürchtet haben, nämlich dass die umfassende Lizenzeinräumung in den Nutzungsbedingungen von Facebook nicht nur zum Spaß dort steht. Ich hatte eigentlich immer gedacht, dass Facebook (mittlerweile) klar ist, dass diese umfassenden Rechteeinräumungen und Regelungen jedenfalls in Deutschland ohnehin rechtswidrig sind und dass sie deswegen damit nicht im großen Stil arbeiten werden. Naja, vielleicht hätte man diese Ansicht gleich mit einem „Du glaubst wohl auch noch an den Weihnachtsmann“ kommentieren können.

Anyway, Facebook tut es. Und nach den Nutzungsbedingungen hat man tatsächlich Facebook eine übertragbare Lizenz zur Verwertung seiner bei Facebook veröffentlichten Inhalte gegeben und zwar unabhängig von seinen Privatsphären-Einstellungen (die gelten nämlich immer nur in Bezug auf Dritte, nicht aber in Bezug auf Facebook). Doch ich bleibe dabei, diese umfassende kostenlose Rechteeinräumung, bei der der Rechteinhaber jegliche Kontrolle über die Verwendung seiner Daten (hier zunächst das Konterfei) verliert und er ungefragt und unentgeltlich zum Testimonial für Firmen wird, kann kein billiges Ergebnis sein, dass einer rechtlichen Überprüfung vor deutschen Gerichten standhalten wird (es gilt der deutsche Gerichtsstand für deutsche User!), insbesondere nicht, wenn der „Mittler“, also Facebook, mit dem zur Verfügung gestellten Konterfei ungefragt Geld verdient, das Testimonial jedoch außen vor bleibt. Das  Recht am eigenen Bild wird hier nämlich ad absurdum geführt. Dem kann mE auch nicht entgegengehalten werden, dass ich nicht gezwungen bin, mich bei Facebook anzumelden. Denn Facebook verfügt über eine derartige Marktmacht, dass die Nutzung einer anderen Plattform dem nicht gleich kommt. Etliche sind darüber hinaus aufgrund ihrer beruflichen Tätigkeit mittlerweile gezwungen, Facebook zu nutzen. Ich glaube nicht, dass es übertrieben ist zu sagen, Facebook habe als soziales Netzwerk  mittlerweile eine ähnliche Funktion wie ehemals die Post und heute noch in großen Teilen die Deutsche Bahn. Während erstere lange Zeit das Monopol auf die (Tele-)Kommunikationsdienstleistungen hatte, hatte bzw. hat die DB das Monopol auf den öffentlichen Schienenverkehr. Aus gutem Grund, waren bzw. sind solche Unternehmen – wenn kein Wettbewerb vorhanden ist – unter staatlicher Kontrolle. Oder hätten Sie es gut gefunden, wenn die Post damals ungefragt Ihre Telefon-Verbindungsprofile aller Welt nebst Klarnamen öffentlich zur Verfügung gestellt hätte? Der Staat sollte mE immer so wenig wie möglich und soviel wie nötig eingreifen; bei Facebook als Quasi-Monopolist sehe ich mittlerweile aber  die Notwendigkeit. Es bleibt zu hoffen, dass unser Innenminister mit dem Gesetzesentwurf zum Schutz vor besonders schweren Eingriffen in das Persönlichkeitsrecht schnell voran kommt!

Wir halten also fest, nach Meinung des Social Media Recht Blogs verletzt Facebook mit seinem neuen WOM-Marketing-Tool das Recht am eigenen Bild der User, da keine wirksame Einwilligung zur Nutzung des Bildes (für diese Zwecke) vorliegt.

2. Recht auf informationelle Selbstbestimmung / allgemeines Persönlichkeitsrecht

Das Recht auf informationelle Selbstbestimmung ist grob gesagt, das Recht des Einzelnen, grundsätzlich selbst über die Preisgabe und Verwendung seiner personenbezogenen Daten zu bestimmen. Personenbezogen ist im Sinne des Rechts auf informationelle Selbstbestimmung weit zu fassen. Das Bundesverfassungsgericht stellte fest, dass unter den Verarbeitungs- und Verknüpfungsmöglichkeiten der Informationstechnologie auch ein für sich gesehen belangloses Datum einen neuen Stellenwert bekommen könne und es insoweit keine belanglosen Daten gebe. (vgl. vorstehender Absatz: Wikipedia „Das Recht auf informationelle Selbstbestimmung,“). Selbstbestimmen, was mit den personenbezogenen Daten, wie es in diesem Zusammenhang eben auch Nachrichten, Mitteilungen und Statusmeldungen bei Facebook sind,  hinsichtlich der „Sponsered Stories“ passiert, kann der User jedoch in keiner Art und Weise. Es sei denn, er übt auf einer Kommunikations-Plattform kräftig Selbstzensur und achtet peinlichst darauf, keine Restaurantbezeichnungen oder Produktnamen mehr zu verwenden. Kommunikations-Plattform und Selbstzensur in einem Satz – wenn das mal nicht ein Paradoxon ist…

Auch das Recht auf informationelle Selbstbestimmung, und damit das allgemeine Persönlichkeitsrecht, wird also mit Füßen getreten. Hinsichtlich der Facebook gegebenen „Einwilligung“ gilt das oben Gesagte.

3. Vergleich zu unverlangt zugesandter Werbung – allg. Datenschutzrecht, Gesetz gegen den unlauteren Wettbewerb / allgemeines Persönlichkeitsrecht

Einfachgesetzlich festgehalten durch das Bundesdatenschutzgesetz, das Gesetz gegen den unlauteren Wettbewerb und das Telemediengesetz gilt in Deutschland der Grundsatz, dass es vor dem Erhalt von (durch Telekommunikations-Mittel versandte) Werbung der Einwilligung bedarf. Hier verhält es sich zwar genau umgekehrt, der User erhält keine Werbung, sondern seine „Daten“ werden ungefragt zu Werbezwecken verwendet. Es kann jedoch ebenfalls kein billiges Ergebnis sein, dass ein Verbraucher vor jeder digitalen Werbezusendung um seine Zustimmung gebeten werden muss, weil dies schon einen unzulässigen Eingriff in das Persönlichkeitsrecht darstellt, während ein Unternehmen ohne jegliche Zustimmung die Daten eines Verbraucher (Mitteilung, Bild, Statusmeldung) an einen Dritt-Unternehmen veräußern kann. Das Bild ist so schief, schiefer geht es meiner Meinung nach kaum.

4. Reputations-Management / allgemeines Persönlichkeitsrecht

Ein weiteres Problem ist, dass die einzelnen „Stories“, die in den Werbeflächen der Freunde gezeigt werden, völlig losgelöst von dem von der Person selbst aufgebauten Gesamtkontext stehen können. Deswegen existiert weder zwingend ein authentischer Zusammenhang; noch kann man sicher sein, wie einzelne Aussagen von  „Stories“ von einzelnen Rezipienten aufgenommen werden und welche Folgen das haben kann.

Kommen wir zurück zu dem oben genannten Beispiel: Markus Mustermann findet das Layback in St. Georg gut. Mit seinem erzkonservativen Chef Müller ist Mustermann auf Facebook zwar befreundet (weil dieser ihn quasi nötigte) aber von der privaten Liste, ist der Chef natürlich ausgenommen. Allerdings hielt Mustermann die Nachricht „Bin im Layback in St. Georg. Tolle Bar!“ nicht für sonderlich privat oder geheimnisvoll. Also bekommt Müller sie irgendwann später  prominent als Werbeanzeige (und nicht lange in der Timline verschwindend) eingeblendet. Müller bildet sich jedoch gerne schnell eine Meinung. Müller kennt zwar  St. Georg in Hamburg nur vom Hörensagen, aber eins ist klar, das ist ein Schwulenviertel und da kann es nur dreckige Spelunken geben. Dass das Layback in realiter eine erstklassige Bar, mit exzellenten Drinks, perfektem Service – aufmerksam, nicht aufdringlich -, Loungemobiliar, guter Musik und einem absolut gemischtem Publikum ist [ja, das war eine echte Empfehlung 😉 ], who cares; der konservative Müller hat jedenfalls sein bahnbrechendes Urteil gefällt – bevor er auf irgendeinen Link geklickt hat. Mustermann steht auf seiner persönlichen Abschussliste und darüber hinaus erzählt Müller den ebenfalls erzkonservativen Kollegen in der Bank auch noch, dass Mustermann sich in obskuren Etablissments in Hamburg-St. Georg rumtreibt. Das wäre doch mal eine fantastische Facebook-sponsered-Story. Die Bar hätte durch die Einblendung ganz sicher keinen einzigen Gast mehr, der User Mustermann dafür wohl eher langfristig einen Job weniger.

Sie halten das für unwahrscheinlich? Nun, Sie haben keinen Einfluss darauf, was bei Facebook als Sponsered Story gebucht wird und was Facebook wo einblendet und damit im Zweifel auch keinen Einfluss auf das Reputations-Management. Fragt sich also, wie unwahrscheinlich so ein Szenario tatsächlich ist.

5. Und jetzt?

Aus oben genannten Gründen ist es wohl keine Lösung die „Aigner zu machen“ und Facebook den Rücken zu kehren. Der Schrei nach einem Verbot solcher Tools wird der Sache genauso wenig gerecht. Schließlich ist WOM-Marketing gerade innerhalb von sozialen Netzwerken dem Grunde nach eine gute Idee; und wer kauft nicht gerne auf Empfehlung von guten Freunden in einem bestimmten Laden, ein bestimmtes Produkt oder greift auf einen bestimmten Dienstleister zurück?

Die einfache Lösung lautet Opt-In. Der Facebook-User muss die Möglichkeit bekommen, über die Verwendung seiner Daten zu solchen Werbezwecken tatsächlich bestimmen zu können. Und nicht auf eine generalisierte Zustimmungsklausel bei der erstmaligen Nutzung zu einem Dienst verwiesen werden können. Ob darüber hinaus eine Beteiligung des Users an den Werbeerlösen sinnvoll wäre, darüber lässt sich trefflich streiten. Denn sicher würde das die Opt-In-Quote drastisch erhöhen (haben doch schon einige Studien ergeben, dass die Leute gegen Geld sehr gerne ihre Daten hergeben), jedoch würde die Authentizität dieser Form des Marketings doch wieder genauso hoch sein, wie die jeder anderer auch. Denn wer weiß schon, ob der Dienstleister um die Ecke tatsächlich lobend erwähnt wird, weil er toll ist oder weil der User für die Erwähnung ein Kick-Back bekommt?

Wie oben schon gesagt, Facebook „sponsered Stories“ ist ein weiter Grund dafür, dass der Gesetzesentwurf des Innenministers zur „roten Linie in Bezug auf besonders schwere Eingriffen in das Persönlichkeitsrecht schnell Wirklichkeit werden sollte. Da dies sicher nicht allzu zügig geschehen wird, bzw. es selbst dann doch noch eine Weile dauern würde, bis die ersten Klagen und damit Schmerzensgeldansprüche gegenüber Facebook durchgesetzt würden, bleibt nur der Glaube an die Netzgemeinde. Es wäre nicht das erste Mal, dass FB ein Feature auf Druck seiner User (und von Datenschutzbeauftragen) letztlich ändert – hier also bitte umgehend ein Opt-In einfügt!

6. Fazit

„Facebook sponsered Stories“ ist in der derzeitigen Form wirklich nicht witzig.

Spread the word, if you like!

In diesem Sinne,

schönes Wochenende!

PS: Hier sind beispielhaft drei weitere kritische Stimmen: Mashable und SearchEngineWatch sowie t3n.

PPS: n-tv schreibt, es gebe keine datenschutzrechtlichen Bedenken. Man könne das in den Privatsspähren-Einstellungen regeln (also, ich hab nochmal nachgeguckt und nichts gefunden, vielleicht können mir die Leute von n-tv helfen?) und schließlich könne man bei Facebook-Places die Statusmeldungen ausstellen. Ach so. Alles super. Der Social Media Recht Blog entschuldigt sich für die Unannehmlichkeit solch einen langen Text zu schreiben (der offensichtlich bis hierhin gelesen wurde), obwohl an dem neuen Dienst wirklich nichts bedenklich ist. *ironieaus.

PPPS: Ebenfalls nicht ganz uninteressant: 35 Personen gefällt derzeit das FB-Video auf Youtube, 27 nicht.

Fliplife – datenschutzrechtlich gesehen

Anfang Januar war ein Wort – jedenfalls bei denjenigen, die sich dem Employer Branding und Personalmarketing verschrieben haben – immer wieder in den Timelines zu lesen: „Fliplife„. Das ist kein Wunder, lautet doch der Claim des Social Games: „Starte deine Traum-Karriere und spiele zusammen mit deinen Freunden”. Und bei all den Problemen, die die Rekrutierung geeigneten Personals derzeit (und künftig noch mehr) mit sich bringt, sind die Personaler und die Employer Brand Verantwortlichen natürlich hellhörig, ob sich hier nicht eine weitere Möglichkeit findet, um auf das eigene Unternehmen aufmerksam zu machen.

Also, was ist Fliplife eigentlich? Seit August ist dieses Social Game der Firma United Prototype Web Game GmbH als Beta-Version online. Verantwortlich zeichnen dafür die Gründer des Video-Portals Sevenload Thomas Bachem und Ibrahim Evsan. Zum Spiel-Inhalt will ich hier nur soviel sagen, es handelt sich um ein „klassisches“ Social Game, bei dem der Spieler wahlweise in die Rolle eines angehenden Koch, Journalisten, Arztes oder – seit Januar 2011 – Bayer-Wissenschaftlers schlüpfen kann. Genaueres kann zum Beispiel beim Basic Thinking Blog, im Recrutainment Blog oder im Fliplife eigenen Blog nachgelesen werden. Mein persönlichen Eindruck will ich dennoch nicht vorenthalten: Nach den ersten Minuten bei Fliplife kann ich mich den Ausführungen des Recrutainment Blogs nur anschließen, schöne Idee, aber spielerisch müsste dort einfach mehr sein, als nur den Knopf drücken und warten – zumindest wenn es für Personaler wirklich interessant werden soll. Aber wer, weiß, das Spiel ist noch jung…

Doch zurück zum Titel dieses Posts. Schließlich soll es hier um die rechtliche Komponente gehen. Da hier endlich einmal ein deutsches Social Game gestartet ist, interessiert es mich doch, ob damit im besten Sinne der deutschen Gründlichkeit auch ein vernünftiger Blick auf die rechtlichen Komponenten einer solchen Social Media Anwendung geworfen wurde oder hier das allgemeines Laissez-faire im Bereich des Social Media (Recht – who cares?) beibehalten wurde. Dabei geht es mir nicht darum, ggf. die Gründer von Fliplife oder ggf. einen Kollegen zu kritisieren (hier gilt schließlich sowieso: Zwei Juristen – drei Meinungen), sondern einfach darum, wieviel Augenmerk diesem Bereich geschenkt wurde. Dies vor allem vor dem Hintergrund als langfristig (s. Bayer) mit dieser Applikation vielleicht tatsächlich Employer Branding und/oder Personalmarketing und/oder Berufsorientierung getrieben werden soll und dies bekanntlich sehr daten-sensible Felder sind.

Das Gesamt-Urteil lautet: Not too bad. (Ich bin Hamburger, das meint eigentlich: Ganz gut.). Im Gegensatz zu den amerikanischen Kollegen von Zynga – Farmville et al. – möchte man auch „Hervorragend!“ rufen. Allein dass Fliplife die Möglichkeit bietet, ohne Facebook-Connect ins Spiel einzusteigen, zeigt, dass hier über Datenschutz nachgedacht wurde. An deutschen Maßstäben gemessen, ist an einigen Stellen aber doch der Kopf zu schütteln. Im Einzelnen:

I. Die liebe Werbung

Meinen geneigten Lesern dürfte schon bekannt sein, dass es bei der Zusendung von Email-Werbung der ausdrücklichen Zustimmung des Nutzers bedarf (Rechtliche Fallstricke bei Social Media Kampagne – Teil 2a: Unternehmens-Community)

In Ziffer 4 der Datenschutzbedingungen von Fliplife heißt es jedoch:

„Darüber hinaus nutzen wir Ihre Daten auch, um mit Ihnen zu kommunizieren. Hierzu gehört, dass wir Sie gegebenenfalls über Neuigkeiten in unserem Dienstleistungsangebot per E-Mail informieren. So verwenden wir Ihre Daten dazu, Sie regelmäßig über Produkte, Dienstleistungen und bestimmte Ereignisse aus unserem Dienstleistungsangebot zu informieren, die für Sie von Interesse sein könnten. Ebenso besteht die Möglichkeit, dass Sie im Rahmen von Kundenbefragungen von uns E-Mails zugesendet bekommen. […] Wir werden Sie im Rahmen der jeweiligen Information auf die Möglichkeit des Abbestellens hinweisen.“

Kurz und knapp heißt das: „Wir senden Ihnen Werbung zu.“ Zwar ist das nach § 12 III TMG a. F.  ehemalige ausdrückliche „Kopplungsverbot“ (Bereitstellung von Telemediendiensten durfte nicht mit Einwillung des Nutzers zur weiteren Verwendung seiner Daten, also zur Werbung, gekoppelt werden) Ende 2009 im TMG gestrichen worden. Ob es dennoch de facto weiter besteht, ist strittig (vgl. § 12 Abs. III TMG iVm. § 28 BDSG). Überlegen könnte man bei den vorstehenden Datenschutzbedingungen auch, ob nicht ein Verstoß gegen § 6 I Nr. 1 TMG vorliegt, wonach die kommerzielle Kommunikation klar erkennbar sein muss. Dies ist vorliegend zweifelhalft, da der Nutzer die Datenschutzbedingungen schon sehr genau lesen muss, damit er erkennt, nicht nur eine datenschutzrechtliche Einwilligung, sondern auch eine Einwilligung zum Erhalt von Werbung abzugeben. Nach dem Wortlaut des TMG wäre hier allerdings die Verknüpfung der Einwilligung der Datenerhebung mit der Einwilligung zum Werbungserhalt zulässig, da eben eine Einwilligung des Nutzers vorliegt. Doch es handelt sich hier  um die Einwilligung zur Emailwerbung. Nach dem Wettbewerbsrecht jedoch, genauer § 7 II UWG, ist zur Telefon- und Email-Werbung die vorherige ausdrückliche Einwilligung notwendig. Damit ist klar gestellt, dass Email-Werbung nur zulässig ist, wenn per Opt-In vom Nutzer entsprechend votiert wird. Bei der Anmeldung kann ich jedoch nur per Opt-In der Verwendung meiner Daten (wozu auch der Zweck der Werbung gehört) zustimmen und muss später  per Opt-Out der Verwendung meiner Daten zu Werbezwecken widersprechen (Übrigens, auch ein einfaches Opt-Out für Werbung habe ich in der Einstellungen der Anwendung nicht finden können…. aber vielleicht liegt es an mir). Meines Erachtens ein klarer Verstoß gegen § 7 II UWG. Doch kann auch hier anders argumentiert werden: Nämlich, dass das doch ein Opt-In zum Erhalt von Werbezwecken gegeben ist und der Nutzer nur im Anschluss wieder ein Opt-Out wählen kann…. Ich halte eine solche Vorgehensweise für keine sehr schöne Lösung. Mag es rechtlich vielleich gerade so gehen (Ob tatsächlich, das werden künftige Entscheidungen zeigen). Aber nicht nur der „durchschnittliche Verbraucher“ im Sinne des UWG ist mittlerweile der „aufgeklärter und informierter Verbraucher“, auch der Internet-Nutzer erkennt bei einer solchen Vorgehensweise, dass es um nichts anderes geht als Daten-Abgriff zu Werbezwecken. Und selbst wenn er es auf den ersten Blick nicht sieht, wird er sich schrecklich aufregen, immer zu Werbung des betreffenden Unternehmen zu bekommen. Auch nicht das, was man sich als Kundenmeinung wünscht. Schon gar nicht, wenn man hofft, über diesen Kanal potentielle Bewerber auf das Unternehmen aufmerksam zu machen.

II. Weitergabe von Daten an Dritte

Ziffer 5 der Datenschutzbedingungen (DSB) von Fliplife behandelt die Weitergabe von Daten:

„Ihre personenbezogenen Daten werden selbstverständlich nicht an Dritte verkauft. UP gibt die von Ihnen erhaltenen personenbezogenen Daten ausschließlich in folgendem Umfang an Dritte weiter: Wir arbeiten mit Zahlungsanbietern (…), Anbietern zur Erstellung und Aufbereitung von Statistiken, IT-Dienstleistern (….) zusammen. Diese Dienstleister haben nur insoweit Zugang zu Ihren persönlichen Daten, wie dies zur Erfüllung ihrer Aufgaben notwendig ist. Diese Dienstleister sind verpflichtet, Ihre personenbezogenen Daten gemäß dieser Datenschutzerklärung sowie den maßgeblichen Datenschutzgesetzen zu behandeln“

Fein, so denkt der Leser, dann werden meine Daten wohl vernünftig behandelt, wenn die Dienstleister verpflichtet sind, die Daten sorgsam zu behandeln. In Ziffer 1 der DSB heißt es jedoch:

„Für den Fall, dass Sie Leistungen Dritter in Anspruch nehmen, gelten ausschließlich die Datenschutzbedingungen dieser Dritten. UP überprüft die Datenschutzbedingungen Dritter nicht.“

Wenn ich aber bspw. einen Dritt-Anbieter zur Zahlungsabwicklung bei Fliplife nutze, nehme ich dann die Leistung eines Dritten oder einen Dienstleister in Anspruch?  Also, was gilt wie? Ziffer 5 und damit die Standards von Fliplife oder Ziffer 1 und damit die Datenschutzbedingungen von dem Dritt-Anbieter? Dieser Kritik mag entgegengehalten werden, dass hier schon rausgelesen werden kann, dass Dienstleister eben all diejenigen sind, die Fliplife notwendiger zur Abwicklung des Medienangebots „mit ins Boot holen“ muss, während Dritte eben solche sind, bei denen diese Notwendigkeit nicht besteht. Zum Beispiel Facebook. Und dass es bei der Einschaltung von Facebook ohnehin mit der Privatssphäre, bzw. dem Schutz der eigenen Daten relativ vorbei ist (ja, das war sehr ketzerisch…), ist mittlerweile wohl den meisten bewusst.

III. Welche Daten werden eigentlich bei welcher Anmeldung wie gespeichert?

Und mit Facebook kommen wir dann auch schon zu den weniger schönen (Datenschutz-)Aspekten von Fliplife:

Klar ist, dass die wenigen Daten (Name und Email), die zu Beginn des normalen Anmeldeprozesses abgefragt werden, gespeichert werden. Gänzlich anders sieht dies jedoch bei einer Facebook-Connect-Anmeldung aus. In den DSB in Ziffer 3 heißt es dazu:

„Darüber hinaus können wir Informationen von sozialen Netzwerksystemen, auf denen Sie FLIPLIFE spielen oder über deren Schnittstelle Sie sich eingeloggt haben (z.B. Facebook Connect), erhalten. Wir erheben, verarbeiten und nutzen personenbezogene und von Ihnen zur Verfügung gestellte Daten – soweit nicht bereits durch gesetzliche Erlaubnistatbestände gestattet – nur mit Ihrer Einwilligung. Soweit die Einwilligung im Rahmen unseres Internetangebots elektronisch erklärt wird, tragen wir den gesetzlichen Hinweispflichten Rechnung.“

Also, um das bis hierhin mal klar zu machen: Fliplife erhebt, nutzt und verarbeitet auch die personenbezogenen Daten, die bspw. über Facebook-Connect eingeholt werden. Das sind aber weit mehr als die wenigen Daten, die bei der Registrierung ohne Facebook (Name und Email-Adresse) notwendig sind, nämlich:

  • Name, Profilbild, Geschlecht, Netzwerke, Nutzerkennnummer (!), Freundesliste (!) und alle anderen Informationen, die ich mit „Allen“ teile.
  • Die bei Facebook hinterlegte Email-Adresse inkl. Zustimmung Emails von Fliplife zu erhalten
  • Die Zustimmung zum Zugriff auf diese Daten auch wenn Fliplife gerade nicht verwendet wird.

Gut. Man könnte wieder sagen, wer hier auf den „Connect“-Button“ drückt, der willigt dazu ein, dass die eigenen Daten an Flipside weitergegeben werden. ABER: Wieso ist es überhaupt möglich, meine Freundesliste und damit deren Daten (jedenfalls den Namen!) weiterzugeben – vielleicht wollen die das gar nicht? Es bedürfte der jeweiligen Einwilligung der Dateninhaber – sprich meiner Freunde. UND: Wenn Fliplife nun gemäß Ziffer 5 ihrer eigenen DSB, die auch bei Anmeldung über Facebook-Connect gelten sollen, diese Daten alle nicht an Dritte verkaufen (verleasen? vermieten?) will, sie vorgeblich auch nur an Dienstleister zur Abwicklung des Dienstes herausgibt und im Übrigen die Daten gemäß  löscht Ziffer 6, was ist der Zweck dieser Datenerhebung seitens Fliplife? UND: Wozu ist der Zugriff auf die Daten notwendig, auch wenn Fliplife gerade nicht verwendet wird?

Der rechtmäßige Zugriff auf Teile der eben genannten Daten ist schon fraglich. Bedenklich ist ebenfalls, dass zu den bei Facebook eingesammelten Daten hinsichtlich des Verwendungszwecks kein Wort in den Datenschutzbedingungen verloren wird. Das kann aber durchaus als Verstoß gegen die Aufklärungspflicht nach § 13 Abs. 1 TMG betrachtet werden, die auch den Zweck der Datenerhebung umfasst. Der Standardsatz „Wir nutzen Ihre Daten, um das Angebot zu verbesser“ (Ziffer 4 der DSB von Fliplife), dürfte dafür kaum ausreichen.

IV. Facebook-Friends und Email-Finder

Zwei weitere Tools, die in der Datenschutzerklärung nicht mit einem Wort erwähnt sind. Fliplife bietet die Möglichkeit, bei Facebook oder in den Emails nachzuschauen, wer von meinen Kontakt schon bei Fliplife ist. Mhm. Die Social-Komponente an diesen Tools ist jedem klar. Aber der Friend-Finder von Facebook steht ganz oben auf den Abschusslisten der Datenschützer; der Hamburger Datenschutzbeauftragte hat diesbezüglich ein Bußgeldverfahren eingeleitet. Gerade heute wurde darüber hinaus bekannt, dass laut „Spiegel“ die Datenschützer jedenfalls einen Teilerfolg gegenüber Facebook in Bezug auf den Friendfinder verbuchen können (Ein wenig mehr im Focus, viel mehr dann wohl im Spiegel-Heft am Montag.). Genauso kritisch ist der Zugriff auf das eigene Email-Adressbuch zu sehen. Gleiches Problem wie oben: Mag sein, dass hinsichtlich dieses Zugriffs die Einwilligung gegeben wird, es handelt sich jedoch um die Daten Dritter, die herausgegeben werden. Und auch zur Verwendung dieser Daten verliert Fliplife kein Wort. Maybe they are not evil…

V. Zusammenfassung

Werden die Datenschutzbedingungen von Fliplife nur unter dem Aspekt der Anmeldung bei Fliplife selbst betrachtet, gibt es nicht viel daran auszusetzen: Die mE gekoppelte Werbe-Einwillung ist kritisch zu betrachten  (und daher ggf. abmahn- bzw. ordnungswidrigkeitenfähig), daneben ist unklar, wer „Dienstleister“ und wer „Drittanbieter“ im Sinn der Datenschutzerklärung ist. Absolut nebulös bleibt jedoch wieder einmal, was mit welchen Daten durch wen geschieht, wenn Fliplife über Facebook angemeldet wird. Angesichts dessen, dass laut eigener Datenschutzerklärung soviel Wert auf einen sorgsamen Umgang mit Daten gelegt wird, hält sich die Datenschutzerklärung jedoch zu diesem Thema wirklich bedenklich bedeckt – und zwar nicht nur dahingehend was Facebook mit den Daten macht, sondern eben was Fliplife mit den von Facebook gewonnen Daten unternimmt.

Und ganz generell hat mir wieder einmal das Folgende zu denken gegeben: Ich hatte mich nicht via Facebook-Connect angemeldet und war auch bei Facebook nicht angemeldet. Dennoch wurde mir mein Mann als „Freund der Fliplife nutzt“ bei Fliplife angezeigt. Weiter wollte ich dann im Zuge der Recherche einen Facebook-Connect herstellen. Auf der Facebook-Seite konnte ich jedoch nur auswählen: „Fliplife blockieren“. Es hätte doch wohl heißen müssen „Fliplife zulassen“?!

Unter dem Gesichtspunkt des Datenschutzes ist es also mehr als fraglich, ob derzeit Fliplife als ein potentieller attraktiver Partner für das Employer Branding und Personalmarketing betrachtet werden kann.

Mhm… bloß welcher Social Media Anbieter ist das schon…? 😉

In diesem Sinne einen schönen Samstag!

Datenschutz-Kodex der Geodatendienste und die „rote Linie“: Gesetzesentwurf zum Schutz vor besonders schweren Eingriffen in das Persönlichkeitsrecht

Aus allen Richtungen werden die Stimmen lauter, die das Horten von Daten durch die großen Internetkonzerne wie Google oder Facebook – dem Grunde nach zu Recht – an den Pranger stellen und die Massen für das Geschäft mit ihren persönlichen Daten sensibilisieren wollen. Nicht ohne Grund drängen Dienste wie das Social Network Diaspora aus der Datenschutz-Nerd-Ecke heraus. Diaspora verspricht, gerade auf private Daten nicht zuzugreifen, bzw. dem Anwender sogar zu ermöglichen, die Anwendung auf eigenen Servern laufen zu lassen, um ganz sicher die absolute Kontrolle über die eigenen Daten zu haben. (Allerdings: Angeblich hat Marc Zuckerberg das Projekt mit den Worten „Ich finde, das ist eine gute Idee“ gefördert….)

Auch das Bundesministerium des (BMI) Inneren hat die Problematik erkannt. Dabei haben wir meines Erachtens das Glück derzeit einen Minister im BMI sitzen zu haben, der das Thema Internet mit Ruhe und bedacht angeht und im Gegensatz zu manchem seiner Kollegen ohne marktschreierische Attitüden (á la „Ich habe mich bei Facebook abgemeldet“) auskommt. Sich der Problematik des Schutzes der Persönlichkeitsrechte annehmend hatte De Maizère zum einen im September die Deutsche Informations- und Telekommunikationsbranche gebeten, einen Datenschutz-Kodex in Bezug auf Geo-Datendienste zu entwickeln. Unter der Leitung des Verbands BITKOM ist in Zusammenarbeit mit etwa Google, Microsoft und der Deutschen Telekom AG sowie kleineren Anbieter wie Sidewalk und Panolife ein Datenschutz-Kodex für Geodatendienste entstanden und nun am 01. Dezember dem BMI vorgestellt worden. Bei diesem Kodex handelt es sich um eine Selbstverpflichtung der Dienste-Anbieter. Schwerpunkt dieser ist eine zentrale Widerspruchs- und Informationsstelle, bei der der Einzelne sich über die Funktionen der jeweiligen Dienste informieren und eben zentral Widerspruchs einlegen kann. Wen hier Einzelheiten interessieren, der kann den Datenschutz-Kodex für Geodatendienste oder die Presseerklärung der BITKOM dazu lesen.

Beachtenswert finde ich, dass hier auf pragmatische Weise unter Einbeziehung der Wirtschaft eine Lösung für diejenigen gesucht wurde, die ihr Haus oder Ihr Firma nicht im Internet für alle sichtbar gemacht haben wollen. Zeitgleich aber seitens der Politik einmal nicht die große „Diese Firmen sind alle böse“-Keule geschwungen wird, sondern auf diesem Wege auch einmal darauf aufmerksam gemacht wird, dass Geodaten-Dienste auch Chancen und nicht ausschließlich Risiken bedeuten. (Nicht zuletzt hatte De Maizère ein Einzelfallgesetz zu Google Streetview et al. abgelehnt, um Innovationen nicht im Keim zu ersticken). Ebenso macht dieser Kodex in Bezug auf Geodatendienste deutlich, dass es mehr als Google Streetview gibt. Kritiker werden nun sagen: „Selbstverpflichtung. Kodex. Hat noch nie funktioniert. Die machen was sie wollen.“. Doch hier geht es um etwas anderes. Es liegt schließlich auch im Interesse der Firmen, Transparenz zu schaffen und auch unbegründete Ängste zu nehmen. Nicht zuletzt soll über diese Selbstverpflichtung das Recht auf informationelle Selbstbestimmung gestärkt und vielleicht auch eine „informationelle Selbstverantwortung“ vermehrt gefordert werden.

Aber hier sind wir auch schon (nach einer dreiviertel DIN A4 Seite…) bei dem eigentlichen Thema des Blog-Beitrags angekommen: Das Recht auf informationelle Selbstbestimmung bzw. die Plicht zur „informationellen Selbstverantwortung“.

Das BMI hat schließlich zum anderen am 01. Dezember 2010 einen Gesetzesentwurf zum Schutz vor besonders schweren Eingriffen in das Persönlichkeitsrecht vorgestellt, wonach ein weiterer Paragraph in das Datenschutzgesetz eingefügt werden soll, der das Recht auf informationelle Selbstbestimmung stärken soll. Meines Erachtens ein Schritt in die richtige Richtung. Auch wenn es sich bislang um einen ersten noch nicht durch die Gremien gegangen Entwurf und damit noch lange nicht um geltendes Recht handelt. Doch wie soll das Persönlichkeitsrecht gestärkt werden? Grundrechtlich ist der Schutz des Persönlichkeitsrechts ausreichend gesichert. Insbesondere kann bei schweren Verletzungen des Persönlichkeitsrechts Schadensersatz gefordert werden. Jedoch ist die Durchsetzung gerade gegenüber großen (internationalen) Konzernen bislang äußerst schwierig. Nicht nur, dass oftmals dem Einzelnen gar nicht klar ist, welche Daten von welchen Unternehmen unter welchen Umständen wie erhoben und vor allem an Dritte weitergegeben werden – nicht zuletzt weil die Unternehmen (insbesondere Facebook) undurchsichtige und komplexe „AGB“ vorhalten, die schon dem Juristen nur schwer eingängig sind. Sondern auch weil die Unternehmen ein ureigenes Interesse daran haben, (personenbezogenen) Daten zu erheben und zu verwerten. Dies wäre insoweit nicht zu bestanden, als es dem Nutzer von Telemediendiensten einfach möglich wäre, über die Verwendung seiner Daten die Hoheit zu behalten und auch eine Zustimmung zur Verwendung von Daten zu widerrufen. Dies ist derzeit theoretisch notwendig, praktisch aber nicht der Fall. Über die Nutzungsbedingungen und datenschutzrechtliche Problematiken von Facebook bspw. habe ich hier und hier schon umfangfangreich Stellung genommen. Auch ist die Durchsetzung von Schadensersatzansprüchen äußerst schwierig, weil es bislang keine gesetzliche Regelung zu einem solchen Anspruch in Bezug auf die Verletzung von Persönlichkeitsrechten bspw. durch die Erhebung von Bewegungsprofilen gibt. Ansprüche müssten aus den Grundrechten und im Rahmen richterlicher Rechtsfortbildung bspw. über die Kasuistik zum Presserecht geschaffen werden – und das gegenüber Konzernen, die oftmals nicht in Deutschland ihren Sitz haben.

Nach dem Entwurf des BMI soll es deswegen im Bundesdatenschutzgesetz eine klare Regelung zur „unzulässigen Veröffentlichung in Telemedien“ geben, die aussehen könnte wie folgt :

§ 38b Unzulässige Veröffentlichungen in Telemedien

Die Veröffentlichung von personenbezogenen Daten in Telemedien durch Stellen im Sinne des § 1 Absatz 2, wodurch ein besonders schwerer Eingriff in das Persönlichkeitsrecht des Betroffenen herbeigeführt wird, ist unzulässig, soweit nicht eine andere Rechtsvorschrift dies erlaubt oder anordnet oder der Betroffene ausdrücklich und gesondert eingewilligt hat oder ein überwiegendes schutzwürdiges Interesse an der Veröffentlichung besteht. Ein besonders schwerer Eingriff in das Persönlichkeitsrecht des Betroffenen liegt insbesondere vor, wenn in Telemedien personenbezogene Daten veröffentlicht werden,

1. die geschäftsmäßig gezielt zusammengetragen, gespeichert und gegebenenfall unter Hinzuspeicherung weiterer Daten ausgewertet wurden und die dadurch ein umfangreiches Persönlichkeits- oder Bewegungsprofil des Betroffenen ergeben können oder

2. die den Betroffenen in ehrverletzender Weise beschreiben oder abbilden.

Darüber hinaus soll der Entwurf  Regelungen zu Internetdiensten halten, die per se hochgradig persönlichkeitsrelevant sind. Hierzu gehören Gesichtserkennungsdienste, Dienste zur Profilbildung anhand von Suchmaschinenanfragen sowie die Erhebung von Standortdaten (Facebook Places/Foursquare).

An der oben zitierten Vorschrift ist bedeutsam, dass sie die ausdrückliche und gesonderte Einwilligung fordert. Das heißt, dass mit in Kraft treten einer solchen Regelung eindeutig ist, dass eine allgemeine Einwilligung zur Verwendung von personenbezogenen Daten, wie sie derzeit bei Facebook schon bei der Anmeldung zu dem Dienst über die Zustimmung zu den Nutzungsbedingungen erfolgt, nicht ausreichend ist. Auch darf ein Dienst wie Facebook ohne explizite Einwilligung über die User keine personenbezogene Bewegungsprofile mehr anlegen und anderen zum Beispiel zu Werbezwecken zur Verfügung stellen. (Wobei das im Einzelnen eine schwierige nachgelagerte Frage ist. Denn: Macht bspw. Facebook Bewegungsprofile „öffentlich“ im Sinne der Vorschrift, wenn FB die Bewegungsprofile nicht zur Verfügung stellt, sondern nur Werbeplätze an ein Drittunternehmen verkauft, wobei diese Werbeplätze allerdings anhand von erstellten Persönlichkeit-/Bewegungsprofilen kategorisiert worden sind? Und wenn ja: Wie erfährt der User davon?)

Weiter mag eingewendet werden, dass eine solche Regelung die internationalen Konzerne nicht weiter beeindrucken wird. Schließlich handelt es sich um nationales Datenschutzrecht und trotz aller Einhelligkeit, dass die AGB von Facebook den deutschen gesetzlichen Anforderungen nicht genügen, ist bisher nichts passiert.

Um jedoch genau solch einen zahnlosen Tiger zu vermeiden, soll in dem Gesetzesentwurf weiter explizit ein immaterieller Schadensersatzanspruch („Schmerzensgeld“) gegenüber privaten Konzernen verankert werden (das gab es im BDSG bisher nur gegenüber Behörden). Dabei soll in der Regelung der Sanktionscharakter für rechtswidrig handelnde Unternehmen durch die Höhe der Geldentschädigung deutlich werden. D.h. diese Entschädigung soll so bemessen sein, dass sie für die Konzerne eine Hemmschwelle in Bezug auf rechtswidriges Handeln darstellt; folglich soll sich die Höhe des Schadensersatzes am zu erwartenden Gewinn der Unternehmen orientierten. Plakativ ausgedrückt: Wenn sich ein Google oder Facebook extrem hohen Schadensersatzforderungen von zahlreichen Usern ausgesetzt sieht, werden diese Unternehmen sich die rechtwidrige Erhebung bzw. Verwendung von Daten gut überlegen. Die Durchsetzung (die Vollstreckung) der Ansprüche wäre nach wie vor nicht das einfachste. Aber der Weg zum vollstreckbaren Titel doch leichter und damit die Abschreckung für die Konzerne vielleicht höher. Insbesondere deswegen, weil dieser Anspruch auf Schmerzensgeld jedem Verbraucher zu stünde. Bislang können zumeist nur Datenschutzbeauftragte oder Wettbewerber Maßnahmen (Bußgeldbescheid oder Abmahnung) ergreifen.

Zu dem trägt ein solcher Gesetzesentwurf die Hoffnung in sich, dass die betroffenen Unternehmen die Verwaltung der personenbezogenen Daten erleichtern, bzw. eine ordentliche Verwaltung (Einstellung von Privatsphären) vom User erzwingen (müssen). So wird der Einzelne nicht nur gezwungen, sein Recht auf informationelle Selbstbestimmung zu wahren, sondern auch die Pflicht zu einer persönlichen informationellen Selbstverantwortung (Was darf wann und wer über mich erfahren) ernst zu nehmen.

Wie eingangs gesagt, meines Erachtens ein guter Ansatz, den Wildwuchs in Bezug auf persönliche Daten im Internet in geradere Bahnen zu lenken. Aber es bleibt mit Spannung abzuwarten, was aus diesem Entwurf wird. Die „Lex Facebook“, bzw. der Entwurf zum Gesetz zum Beschäftigendatenschutz geht – nach dem das Gesetzgebungsverfahren fast durchlaufen ist – doch ein wenig an der Realität vorbei…

In diesem Sinne. Einen schönen Donnerstag.

Social Media Guidelines – Schnell vom Social Media Manager erstellt?

In den letzten Tagen ist das Thema Social Media Guidelines wieder vermehrt an mich herangetragen worden: Zum einen entspann sich beim letzten Treffen der Digital Media Women Hamburg #dmwhh eine Diskussion zu der Frage, ob Unternehmen und/oder Mitarbeiter solche eher Guidelines eher begrüßen oder ablehnen würden. Zum anderen setzte ich mich jüngst mit Anfragen auseinander, die zum Inhalt hätten, ob ich nicht ein paar Internet-Tipps zum Erstellen von Social Media Guidelines hätte?

… meine Antwort auf letzteres fiel in etwa so aus: Diese Verhaltensregeln sollten nicht von einem Social Media Manager mal eben „zwischendurch“ anhand von Internet-Seiten erstellt werden. Denn wenn ein SoMe Manager Social Media Guidelines erstellt, wäre es in etwa so, als würde ich versuchen, mit Hilfe des Internets die Sanitäranlagen im Badezimmer zu erneuern – würde bestimmt irgendwie gehen, aber ob ich nicht innerhalb eines Jahres mitten in der *sch*** stehen würde, würde ich nicht beschwören…

Der Grund für diesen vielleicht etwas drastische Vergleich ist der, dass es sich bei Social Media Richtlinien um individuelle, unternehmens-bezogene (Rechts-)Vereinbarungen handelt, bzw. handeln sollte. Schließlich sind Social Media Guidelines sind nur dann sinnvoll, wenn es sich überhaupt um verbindliche Regelungen handelt. Denn nur in diesem Fall,kann ein Unternehmen Konsequenzen bei Verstößen ziehen oder ein Mitarbeiter sich auch im umgekehrten Fall auf diese berufen. Anders ausgedrückt, bei mangelnder Verbindlichkeit von Social Media Richtlinien kann auch das Papier gespart werden, auf dem die SMG gedruckt werden. (Zumindest mE; es gibt durchaus Social Media Richtlinien, die als „unverbindliche Handlungsanweisungen“ gelten sollen…aber wenn eine Handlungsanweisung unverbindlich sein soll, warum soll sie dann überhaupt mühsam fixiert werden?)

Rechtlich sprechen zwei Gründe gegen die Erstellung von Social Media Guidelins durch einen Marketing Manager. Natürlich kann in wenigen Punkten zusammengefasst werden, was alles in Social Media Richtlinien geregelt werden sollte:

1. Klärung von zulässigen und unzulässigen Inhalten

  • Verrat von Betrieb-/Geschäftsinhalten
  • Verbreitung sonstiger geschäftsschädigender Äußerungen
  • Aufklärung von sonstigen unzulässigen Äußerungen und Inhalten hins. des Wettbewerbs-, Äußerungs- und Urheberrechts

2. Klärung des Zwecks der Social Media Nutzung (geschäftlich/privat)

3. Klärung des zeitlichen Umfangs der Social Media Nutzung

4. Klärung rechtlicher Folgen bei dem Verstoß gegen die SMG, insb. mögliche arbeitsrechtliche Sanktionierung wie Abmahnung und/oder Kündigung oder Freistellungsansprüche des AG ggü dem AN bei besonders groben Verstößen (soweit arbeitsrechtlich überhaupt zulässig!).

Doch was bedeuten diese Punkte im Einzelfall für das jeweilige Unternehmen? Wie sollen diese Punkte konkret ausgestaltet sein? Worauf legt das Unternehmen wert? Diese Fragen lassen sich nicht pauschal beantworten. Und doch ist gerade die (juristische) Konkretisierung im Einzelfall notwendig. Denn was bedeutet es beispielsweise, wenn die „authentische“ Kommunikation gegenüber dem Kunden gewünscht ist? Für den einen mag das die Aufforderung sein, so gegenüber dem Kunden zu kommunizieren, wie er dies auch im eigenen sozialen Netzwerkumfeld macht: ironisch, provokant. An dieser Art der Kommunikation ist nichts „falsch“, aber dennoch kann es für ein Unternehmen von großer Bedeutung sein, dass auf diese Art und Weise nicht kommuniziert wird. Oder ein Community-Betreuer wird nach den Eigenschaften eines geplanten Produkts befragt. Inwieweit kann, soll und darf er antworten? Ab wann handelt es sich um das Ausplaudern von (noch) Geschäftsgeheimnissen? Und/oder wie soll damit in Grenzfällen vom Community-Betreuer umgegangen werden? All diese Fragen können im Grundsatz nur in Zusammenarbeit mit dem Marketing und der Unternehmenskommunikation zusammen mit einem Juristen beantwortet werden. Der Jurist muss darüber hinaus dafür sorgen, dass die jeweilige Intention des Unternehmens auch in den Social Media Richtlinien zum Ausdruck kommt, so dass im schlimmsten Falle auch ein Richter die gleichen Schlüsse ziehen kann. Natürlich – ein Graubereich bleibt immer. Man kann nicht alle Eventualitäten in Social Media Guidelines aufnehmen – oder es wird ein Machwerk über viele, viele Seiten gestrickt, die die Social Media Kommunikation qua definitionem im Keim ersticken. Aber „Leitplanken“ – im wahrsten Sinne des Wortes – können diese Regelungen für das Unternehmen und vor allem die Mitarbeiter darstellen und damit zu Sicherheit in der (Außen-)Kommunikation führen.

Das ist meines Erachtens auch das tatsächliche Argument für die Einführung von SMGs. Sowohl Unternehmen als auch Mitarbeiter profitieren von einem solchen festen Rahmen, der zwar einerseits Regeln auferlegt, aber anderseits auch aufklärt und durch die verbindlichen Regelungen Freiräume schafft. Es sei denn, ein Unternehmen hat solche Angst vor Kontrollverlust, dass es seinen Mitarbeitern auch noch die Kleinste Kleinigkeit vorschreibt. Allerdings wird sich in diesem Fall die Lust an Social Media  und damit die Kommunikation über diesen doch so viele neue Tore öffnenden Weg vermutlich von selbst erledigen….

Der zweite Grund für die juristische Begleitung von Social Media Richtlinien ist die Tatsache, dass Social Media Richtlinien (so sie denn verbindlich sind/sein sollen) unmittelbar in das Vertragsverhältnis zwischen Arbeitgeber und Arbeitnehmer eingreifen. Sie stehen im Konfliktfeld zwischen den Weisungsrecht des Arbeitgebers sowie den Treue- und Loyalitätspflichten des Arbeitnehmers auf der einen Seite und dem Recht auf freie Meingsäußerung und dem allgemeinen Persönlichkeitsrecht (als0 verfassungsrechtlich geschützte Rechte) auf der anderen Seite. Damit sie also zwischen Arbeitnehmer und Arbeitgeber auch eine rechtsgeltende Funktion erhalten, müssen sie in den Arbeitsvertrag mit einbezogen werden. Dies ist theoretisch einmal einzelvertraglich möglich. Praktisch aber nur sinnvoll, wenn ein großes Industrieunternehmen nur bei einigen wenigen Mitarbeitern die Social Media Kommunikation wünscht, bei den anderen die Social Media Seiten sperrt (und die mobilen Endgeräte nach der Arbeitszeit gleich mit) und das Gros sowie in der Werkshalle steht. In der Regel werden Social Media Guidelines über eine Betriebsvereinbarung für die Mitarbeiter verbindlich – also über den Betriebsrat und das Betriebsverfassungsgesetz. Auch wenn viele Unternehmenführungen dabei zunächst aufstöhnen mögen, der Vorteil liegt auch hier auf der Hand: Social Media Kommunikation funktioniert nur, wenn die Eigenverantwortung der Mitarbeiter ausgeprägt ist und für das Unternehmen arbeitet; dies lässt sich auch durch eine Einbeziehung der Mitarbeiter bei der Erstellung der Social Media Guidelines erreichen. Hier dient ein Betriebsrat als funktionales Sprachrohr – sollte er zumindest. Und wenn man seine Mitarbeiter für nicht so eigenverantwortlich hält, wie man sie gerne hätte, muss man den Betriebsrat sowieso (§ 87 Abs. 1 Nr. 6 Betriebsverfassungsgesetz) befragen, wenn man die Social Media Aktivitäten seiner Mitarbeiter überwachen will… 😉

In diesem Sinne. Einen schönen Mittwoch!

Ein Rück- und ein Ausblick: Abhängigkeiten eines Unternehmens von Facebook-Seiten?

Der Rückblick:

Henner Knabenreich hat es im Kienbaum-Blog mit dem Artikel „Bedeutet der Hype um Social Media das Aus der Karriere-Website?“ wieder einmal auf’s Tableau gebracht: Die mit dem Hype um Social Media einhergehende Frage, ob eine Facebook-Seite („Fanpage“) die klassische Unternehmens-Website verdrängen kann. Neben vielen Fakten, die gegen einen Ersatz wohl aber für einen zusätzlichen Einsatz von Fanpages neben den klassischen Seiten (auch immer wieder schön, etwas klassisch zu nennen, was in den meisten Fällen gerade mal seit gut 10 Jahren existiert…), benennt Henner ein kritisches Problem der Verlagerung sämtlicher Kommunikation auf einen Mayor wie Facebook. Es ist die Abhängigkeit.

Facebook bestimmt hier die Regeln. Wie ich schon in der Kommentierung zu Henners Artikel sagte, sollte man sich zumindest man sich des Risikos bewusst sein, wenn man sich als Unternehmen einer „Anwendung“ in der Kommunikation unterwirft, die jeder Zeit eigene Regeln aufstellen und verändern kann. Hinzu kommt, dass – allen Beteuerungen zum Trotz – der Fall eintreten kann, dass für die Nutzung der Plattform mit einmal Gebühren verlangt werden. Aber selbst wenn nicht. Wenn Facebook eine neue Regel aufstellt, dann heißt es de facto für den Nutzer, gleich ob privat oder gewerblich: Take it or leave it.  Insbesondere im Bereich Werbung und Kommunikation stellt Facebook jetzt schon wahnsinnig viele sich überschneidende Richtlinien und Regelungen auf – die kaum überschaubar sind (von weiteren zu beachtenden nationalen gesetzlichen Regelungen ganz zu schweigen). In Bezug auf die Nutzungsbedingungen von Facebook und auch in Bezug auf die Abhängigkeit habe ich hier schon mal ein paar Worte verloren. Aus meiner (rechtlichen) Perspektive könnte ich deshalb niemanden guten Gewissens raten, eigene Unternehmens-Websiten zu Gunsten einer ausschließlichen Kommunikation auf Facebook zu schließen – die Abhängigkeit von einem Major-Player, der eben mehr ist als ein Telekommunikations-Dienstleister, ist zu groß und das Risko damit mE zu hoch.

Der Ausblick:

Da Facebook natürlich trotzdem einen äußerst attraktiven Weg der Unternehmenskommunikation darstellt, wäre es aber auch nicht gerade ein Gewinn, diesen nur wegen möglicher Komplikationen gar nicht erst zu beschreiten. Zumal eine  Studie, die Prof. Dr. Thorsten Petry von der Wiesbaden Business School, die Zeitschrift Personalwirtschaft und der Online-Personalberater Talential.com durchgeführt haben, gerade festgestellt hat, dass im Bereich des Employer Branding 98% der Kandidaten und 71% der Unternehmen im Bereich Social Media aktiv sind (dass nach der Studie die Social Media Aktivitäten jedoch nur bei 9% der Kandidaten erfolgreich im Sinne der Steigerung der Arbeitgeber-Attraktivität waren, passt in das Bild, das sich letzte Woche beim Diskussions-Abend des Social Media Club Hamburgs mit dem Thema „Warum Social Media Projekte scheitern“ zeichnete…doch das ist wieder eine andere Diskussion ;)).

Ein Risiko kann allerdings nur dann realistisch eingeschätzt werden, wenn man es kennt. In Bezug auf Facebook-Seiten heißt dies, sowohl die tatsächlichen als auch  rechtlichen Unwägbarkeiten berücksichtigen zu können. In Folge dessen werde ich mich in meiner nächsten Artikel-Reihe mit der Rechtskonformität von Facebook-Fanpages befassen. Von A wie AGB und Äußerungsrecht über I wie Impressum und U wie Urheberecht bis hin zu W wie Werberichtlinien und Wettbewerbsrecht.

PS: In Bezug auf die tatsächlichen Unwägbarkeiten weise ich jetzt schon auf einen Social Media Berater Ihres Vertrauens!

Rechtliche Begleitung in der Kampagnen-Planung: Rausgeschmissenes Geld? Nein.

Wie schon unter About me und About Social Media Recht ganz abstrakt angesprochen, sind sich bis heute meiner Meinung nach die Agenturen (wahlweise: PR/HR/Employer Brand/CI/Marketing) und die Rechtsberatung eher fremd – zumindest in der Kampagnen-Planung.  Gerne wird für viel Geld der etablierte CD oder AD der Konkurrenz abspenstig gemacht und der Deal in der Horizont gefeiert. Doch die Kosten für die rechtliche Beratung und Begleitung einer Kampagne, also der ureigenen Dienstleistung, werden nur zu gerne gespart – erst Recht im Bereich der Social Media Kampagnen.  Das rechtliche Risiko einer Kampagne wird in der Regel im Ergebnis per Vertrag auf den Kunden übertragen.

Damit keine Missverständnisse aufkommen: Vorliegend sind nicht einzelne Rechteübertragungen an Fotografien oder Videos gemeint (wobei auch die häufig genug nicht ordentlich geregelt sind, wie schon in dem Artikel Rechtliche Fallstricke bei Social Media Kampagnen – Teil 1 beschrieben), sondern die rechtliche Zulässigkeit der Gesamt-Kampagne. Dies inkludiert bspw. die Abläufe der Anmelde-Prozesse von Communities oder die zum neuen Produkt aufgesetzte Web-Applikation samt damit verzahnter Direkt-Marketing-Kampagne oder das SEO-Management.

Aber warum liegen die Rechtswelt und das Agenturleben eigentlich soweit auseinander? Auf den ersten Blick scheinen die Gründe dafür einleuchtend:

  1. Die Kreativität und die Strategie-Planung wird nicht ständig von einem Juristen gestört, der sagt: Das muss anders gemacht werden.
  2. Die Agentur kann für rechtliche Fehler und deren tatsächlichen Folgen in der Regel nicht haftbar gemacht werden, wenn im Vertrag explizit darauf verwiesen wird, dass die (vollumfängliche) rechtliche Prüfung der Kampagne beim Kunden liegt.
  3. Rechtsberatung kostet immer relativ viel Geld (jedenfalls verglichen mit dem Praktikanten, der für 600 EUR pro Monat, die zündende Idee hat, die der CD  dann beim Kunden präsentieren darf… 😉 ).

Auf den zweiten Blick ist diese Herangehensweise bedenkenswert.

  1. Diese freie Kreativität führt sehr oft zu Social Media Kampagnen, die weder den datenschutz-, wettbewerbs-, marken- noch sonst rechtlichen Vorgaben entsprechen. Nicht nur die Verletzung datenschutzrechtlicher Vorgaben kann Unternehmen teuer zu stehen kommen. Und selbst wenn im Vertrag klar geregelt war, dass die Agentur für solche Fehler nicht haftet, steht Ärger mit dem Kunden in jedem Fall ins Haus – letztlich ist und bleibt der Kunde König.
  2. Auf Kundenseite werden die Kampagnen (selten) überprüft. Die menschlichen Counter-Parts zur Agentur in den Unternehmen entstammen selbst dem Marketing oder der PR und haben (eben so selten) juristische Kenntnisse. Im besten Falle bekommt die (wenn überhaupt existente) Rechtsabteilung des Agentur-Kunden die geplante Unternehmens-Community ca. 24 Stunden vor avisierter zeitgleicher Produkt-Neueinführung zu Gesicht. Im schlechtesten Fall erhält die Rechtsabteilung bzw. die Anwälte des Unternehmens via Abmahnung eines Mitbewerbers oder der Verbraucherzentrale oder Bußgeldbescheid der Datenschutzbehörde Kenntnis von der Kampagne.
  3. Unabhängig von den Kosten, die durch rechtliche Bearbeitung bspw. einer Abmahnung entstehen können, entstehen immer tatsächliche Kosten: Die Unternehmens-Community ist fertig programmiert. Muss nun bspw. der Anmelde-Prozess einer Web-Applikation restrukturiert werden, verursacht das nicht nur Mehrkosten (auf wessen Seite auch immer), sondern es muss allem erneut Zeit investiert werden. Das kann gerade bei den schon genannten Produktneueinführungen wirklich Ärger bedeuten.

Eben solche Restrukturierungen ganzer Web-Applikationen kurz vor knapp aus rechtlichen Gründen habe ich schon oft miterlebt. Besonders gern genommen sind auch Web-Applikationen, bei denen die Agentur meinte, besonders juristisch exakt vorzugehen, um im Ergebnis weder eine anwenderfreundliche noch rechtmäßige Web-Applikation  aufzusetzen. Dabei habe ich mich immer wieder gefragt, ob diese Resourcen-Verschwendung bei allen Beteiligten wirklich sein muss. Ich meine nein. Erfolgt eine vernünftige rechtliche Beratung und Begleitung der geplanten Kampagne von Anfang an, können solche (im Ergebnis teuren) Fehler vermieden werden. Auch erschließt sich mir nicht das (wirtschaftliche) Argument, dass die rechtliche Begleitung dem Kunden nicht gleich mitzuverkaufen wäre. Zum einen macht sich bei einem KV, der in der Regel mehrere zehntausend Euro umfasst, eine Position über einige hundert Euro kaum bemerkbar. Zum anderen existiert das wirklich gute Argument, dass durch diese Investion teure Folgefehler rechtlicher und tatsächlicher Art (s.o.) konsequent vermieden werden können.  Und last but not least lässt sich auch in dieser Konstellation die Haftungsfrage vertraglich so regeln, dass weder Kunde noch Agentur übervorteilt wird.

Übrigens mangelt es oftmals selbst dann an der rechtliche Begleitung von Kampagnen, wenn die Agentur über einen eigenen Justiziar verfügt. Schließlich ist dieser zumeist für all die Dinge zuständig, die ein Unternehmen dem Grunde nach so mit mit sich bringt, also Zulieferverträge, handels- und gesellschaftsrechtliche Fragestellung, arbeitsrechtliche und steuerrechtliche Problematiken. Das „Kerngeschäft“ erscheint dabei merkwürdigerweise recht selten auf dem Schreibtisch.

Wie gesagt, ich verstehe diese Vorgehensweise nicht nur aus rechtlicher, sondern vor allem auch aus tatsächlicher Sicht nicht (Stichwort Resourcen-Verschwendung). Aber vielleicht sind etwaige Extra-Arbeitsschleifen kurz vor oder nach dem Launch der Kampagnen sowie immer schon mit eingerechnet – gleich aus welchem Grund. – Wobei… sind nicht die Etats alle seit der großen Weltwirtschaftskrise so wahnsinnig knapp? 😉

Lex Facebook – Was ist da eigentlich dran?

Vor wenigen Tagen hat das Bundesministerium für Inneres die (vorerst) letzte Version des „Entwurf eines Gesetzes zur Regelung des Beschäftigtendatenschutzes“ veröffentlicht. Grund genug, mich heute mit dem „lex facebook“, wie es auch getauft wurde, näher zu beschäftigen. Schließlich rauscht es diesbezüglich doch immer wieder ganz gehörig durch den Blätter-Wald bzw. die Webseiten. Doch was ist eigentlich dran an dem Entwurf?

Zunächst einmal handelt es sich weniger um ein „lex facebook“ als eben um einen „Entwurf zur Regelung des Beschäftigtendatenschutzes“. Das heißt, mit dem  Bundesdatenschutzgesetz sollen künftig auch explizit die personenbezogenen Daten von Beschäftigten besser geschützt werden. Bisher ergab sich dieser Schutz aus einer Zusammenschau des Bundesdatenschutzgesetzes (BDSG), des Betriebsverfassungsgesetzes und einigen gerichtlichen Einzelentscheidungen (wie es im Arbeitsrecht auch üblich ist, da das Arbeitsrecht vorwiegend „Richterrecht“ ist, d.h. mehr durch die Rechtsprechung als Gesetze geformt wurde). Laut Entwurf soll nun „durch klarere gesetzliche Regelungen […] die Rechtssicherheit für Arbeitgeber und Beschäftigte erhöht werden“. Da bin ich mal sehr gespannt, schließlich zeichnet sich das BDSG nicht gerade durch klare gesetzliche Regelungen aus. Schon gar nicht, wenn man es zusammen mit weiteren Normen wie etwa dem Telemediengesetz (TMG) lesen muss. Der Entwurf verspricht aber „praxisgerechte Lösungen“. Nun denn.

Konkret heißt das, dass der bisherige § 32 BDSG „Datenerhebung, -verarbeitung und -nutzung für Zwecke des Beschäftigungsverhältnisses“ aufgehoben und anstelle dessen die § 32 bis § 32 l BDSG-E, d.h. 12 Einzelnormen, geschaffen werden sollen. Darunter finden sich Regelungen zur Datenerhebung ohne Kenntnis des Beschäftigten zur Aufdeckung und Verhinderung von Straftaten und anderen schwerwiegenden Pflichtverletzungungen (§ 32 e BDSG-E), zu „ärztliche Untersuchungen und Eignungstests“ (§ 32 a BDSG-E), zur „Videoüberwachung“ oder zur „Ortung“ von Beschäftigten (§ 32 f und g BDSG-E). Kurz zusammengefasst werden hier also die öffentlich gewordenen Sünden der letzten Jahre großer deutscher Konzerne in Gesetz gegossen.

Insbesondere in § 32 und § 32 a (sowie § 32 i BDSG-E) finden sich die Regelungen, die für Social Media Anwendungen relevant sind.

§ 32 Datenerhebung  vor Begründung eines Beschäftigungsverhältnisses
So heißt es in § 32 Abs. 1 BDSG-E:
„Der Arbeitgeber darf den Namen, die Anschrift, die Telefonnummer und die Adresse der elektronischen Post eines Beschäftigten […] vor Begründung eines Beschäftigungsverhältnisses erheben. Weitere personenbezogene Daten darf er erheben, soweit die Kenntnis dieser Daten erforderlich ist, um die Eignung des Beschäftigten für die vorgesehenen Tätigkeiten festzustellen. Er darf zu diesem Zweck insbesondere Daten über die fachlichen und persönlichen Fähigkeiten, Kenntnisse und Erfahrungen sowie über die Ausbildung und den bisherigen beruflichen Werdegang des Beschäftigten erheben.“

Weiter in Abs. 6
„Beschäftigtendaten sind unmittelbar bei dem Beschäftigten zu erheben. Wenn der Arbeitgeber den Beschäftigten vor der Erhebung hierauf hingewiesen hat, darf der Arbeitgeber allgemein zugängliche Daten ohne Mitwirkung des Beschäftigten erheben, es sei denn, dass das schutzwürdige Interesse des Beschäftigten an dem Ausschluss der Erhebung das berechtigte Interesse des Arbeitgebers überwiegt. Bei Daten aus sozialen Netzwerken, die der elektronischen Kommunikation dienen, überwiegt das schutzwürdige Interesse des Beschäftigten; dies gilt nicht für soziale Netzwerke, die zur Darstellung der beruflichen Qualifikation ihrer Mitglieder bestimmt sind. Mit Einwilligung des Beschäftigten darf der Arbeitgeber auch bei sonstigen Dritten personenbezogene Daten des Beschäftigten erheben; dem Beschäftigten ist auf Verlangen über den Inhalt der erhobenen Daten Auskunft zu erteilen. Die Absätze 1 bis 5 sowie § 32a bleiben unberührt.“

Übersetzt bedeutet dies, dass ein „Google-Check“ des potentiellen Arbeitnehmers, nach dem die Bewerbung eingegangen ist, grundsätzlich nur erfolgen darf, wenn der Arbeitgeber den Bewerber darauf hingewiesen hat. D.h., demnach dürfte ein an mir interessierter Arbeitgeber mich nicht googeln und meinen Blog finden, wenn er mich nicht schon bei Beginn des Bewerbungsprozesses darüber informiert hätte, dass er dies tun werde (bspw. in der Stellenanzeige o.ä.). Der „es sei denn Satz“ bedeutet: Selbst wenn der Arbeitgeber mich informiert hätte und ich aber keinen Rechts-Blog, sondern einen Blog über meinen Diddl-Maus-Fan-Club führen würde, könnte es sein, dass er diese Information nicht erheben dürfte, da ich ein berechtigtes schutzwürdiges Interesse haben könnte, mein Privatleben mit der Diddl-Maus auch privat halten zu dürfen. (Wobei sich hier schon die Katze in den Schwanz beißt, denn „Erheben“ heißt „Beschaffen von Daten“, der Personaler weiß die Tatsache des Diddl-Maus-Blogs aber doch schlicht in dem Moment, in dem er den Diddl-Maus-Blog gefunden hat und könnte daraus sowohl seine persönlichen wie-auch-immer-gearteten Ableitungen vornehmen als auch die entsprechende Aktennotiz im Kopf behalten.)

S. 2 geht aber noch weiter. Demnach sind auch allgemein zugängliche Daten aus sozialen Netzwerken selbst bei einem solchen Hinweis des Arbeitgebers unter keinen Umständen zu verwerten. Denn hier legt das Gesetz klar fest, dass in diesem Fall stets das „schutzwürdige Interesse“ des potentiell Beschäftigten überwiegt. Eine Abwägung zwischen den berechtigten Interessen des Arbeitgebers und dem schutzwürdigen Interesse des Arbeitnehmers ist also in Bezug auf soziale Netzwerke gar nicht möglich. Völlig unerheblich ist dabei auch, ob der Bewerber seine Daten der Allgemeinheit absolut offensiv zur Verfügung stellt, bspw. in dem er den Zugriff von Suchmaschinen auf sein Profil erlaubt und er keine Einstellung zu seiner Privatssphäre vornimmt, d.h. alle Texte und Bilder öffentlich sind. Gängige Rechtsprechung ist in solchen Fällen, bspw. im Presserecht, dass derjenige, der sich selbst seiner Rechte (allgemeines Persönlichkeitsrecht) derart begibt, deren Schutz nicht mehr einfordern kann. Mit dem Entwurf des BDSG wird dieser Grundsatz jedoch ad absurdum geführt.

Noch heiterer wird es meines Erachtens dann mit dem Folgesatz, der von der gesetzlichen Feststellung, dass eine Abwägung der Interessen bei Sozialen Netzwerken nicht möglich ist, diejenigen ausnimmt, die „zur Darstellung der beruflichen Qualifikation ihrer Mitglieder bestimmt sind“. Welche sind das denn? Dem Grunde nach sicher Xing und LinkedIn. Doch auch diese Netzwerke werden von einigen zur Pflege Ihres privaten Freudeskreises verwendet, während etliche andere Facebook & Co (BranchOut!) zur Pflege Ihrer beruflichen Kontakte nutzen. Die Grenzen schwimmen also. Gezogen werden können Sie meines Erachtens so nicht auf eine sinnvolle Art und Weise.

Davon abgesehen ist aber die viel interessantere Frage: Wer kontrolliert das und wie soll das überhaupt kontrolliert werden? Ich zumindest weiß nicht, wer hinter den Suchabfragen steht, mit denen mein Blog gefunden wird. Bei Facebook weiß ich gar nicht, wer im Zweifel auf meiner Seite war und bei XING kann ich anonymisierte Besucher haben. Und muss das auch kontrolliert werden können? Sollte nicht vielmehr jeder selbst verantwortlich im Internet – und  gerade in Sozialen Netzwerken (!) – mit seinen Informationen umgehen (müssen)?

Und sicher eine der interessantesten Fragen: Wie wirken sich diese Regelungen auf das Headhunter-Business aus? De facto vermutlich gar nicht. Denn schließlich ist das Headhunting via Google und Social Media Accounts schon jetzt an sich unzulässig und wird doch betrieben.

§ 32a Abs. 2 Eignungstests vor Begründung eines Beschäftigungsverhältnisses
In § 32a Abs. 2 BDSG-E heißt es dann:
„Der Arbeitgeber darf die Begründung des Beschäftigungsverhältnisses von einer
sonstigen Untersuchung oder Prüfung abhängig machen, wenn die Untersuchung
oder Prüfung wegen der Art der auszuübenden Tätigkeit oder der Bedingungen ihrer
Ausübung erforderlich ist, um festzustellen, ob der Beschäftigte zum Zeitpunkt der Arbeitsaufnahme für die vorgesehenen Tätigkeiten geeignet ist (Eignungstest). Der Beschäftigte muss in den Eignungstest nach Aufklärung über dessen Art und Umfang
sowie in die Weitergabe des Ergebnisses des Eignungstests an den Arbeitgeber eingewilligt haben. Der Eignungstest ist nach wissenschaftlich anerkannten Methoden
durchzuführen, sofern solche bestehen. Dem Beschäftigten ist das Ergebnis des Eignungstests mitzuteilen. Sind Eignungstests ganz oder teilweise durch Personen durchzuführen, die einer beruflichen Schweigepflicht unterliegen, darf dem Arbeitgeber insoweit nur mitgeteilt werden, ob der Beschäftigte nach dem Ergebnis des Eignungstests für die vorgesehenen Tätigkeiten geeignet ist.“

Viele Unternehmen führen mittlerweile (E-)Assessments, also (elektronische) Eignungstests durch. Interesssant ist bei dieser Regelung, dass nun explizit eine Einwilligung des Bewerbers zu diesem Test nach Aufklärung über Art und Umfang und zur Weitergabe der Daten an den Arbeitgeber vorliegen muss. D.h. demnach müsste auch  hier (wie bei der Einwilligung zum Erhalt von Email-Werbung) eine Double-Opt-In-Lösung angewendet werden. Meines Erachtens ein bißchen viel des Guten. Schließlich hat der Bewerber einerseits doch schon mit seiner Bewerbung kund getan, dass er den Bewerbungsprozess gerne durchlaufen möchte. Und andererseits: Was passiert, wenn der Bewerber nicht einwilligt? Er wird den Test nicht machen dürfen/können und damit auch ganz sicher nicht eingestellt werden. Insoweit ist die hier gesetzlich geregelte Einwilligung de facto eine Zustimmungspflicht für den Bewerber.

Weiter sind die Ergebnisse dem Bewerber mitzuteilen. Was heißt denn das? Zusage „Sie sind eine Runde weiter“ und Absage „Sie sind leider nicht mehr dabei“ oder aber die konkreten Test-Ergebnisse?Im letzteren Fall würden sich sicher die Dienstleister freuen, die diese Tests und die Ergebnisse erstellen. Denn die müssten dann von den Arbeitgebern den zusätzlichen Auftrag bekommen, die (nackten) Test-Ergebnisse jeweils verständlich für den Bewerber aufzubereiten. Die Arbeitgeber hingegen wären über eine solche Auslegung der Norm vermutlich „not amused“. Insbesondere da diese extra aufbereiteten Daten im Falle der Absage wieder gelöscht werden müssten (vgl. § 32c BDSG-E).

Fazit:
Die Regelungen zum Beschäftigten-Datenschutz in Bezug auf Social Media zeigen , dass der Gesetzgeber entweder immer noch nicht verstanden hat, was Social Media eigentlich bedeutet. Denn meines Erachtens sind die in diesem Entwurf vorgenommenen Regelungen für Social Media Anwendungen in Bezug auf potentielle Bewerber so überflüssig wie ein Kropf – was sich insbesondere aus oben genannten Gründen in der Formulierung „dies gilt nicht für soziale Netzwerke, die zur Darstellung der beruflichen Qualifikation ihrer Mitglieder bestimmt sind“ spiegelt.

Oder aber dieser Teil des Entwurfs dient schlicht der populistischen Befriedigung der Angst vor den großen „bösen“ Datenkraken, derer sich dann die Arbeitgeber bedienen. Vergessen wird dabei aber doch, dass es jedem einzelnen überlassen ist, was er im Netz der Allgemeinheit zur freien Verfügung stellt.

Ob der Schutz personenbezogener Daten durch diese Regelungen „klarer“ wird und „praxisorientierte Lösungen“ bietet, lass ich jetzt einfach mal dahingestellt…

PS: § 32 i BDSG-E wird dann noch mal im Zusammenhang mit Social Media Policies besprochen. Ich will ja niemanden mit Romanen erschlagen…

Zum Update.