Und Facebook bewegt sich doch! – Ein erster Blick auf die neuen Datenschutzverwendungsrichtlinien

Eher gelassen habe ich heute morgen in der Timeline von Facebook den Hinweis auf die überarbeiteten Datenschutzbestimmungen aufgenommen und mir gedacht „Na, was soll schon sein, die übliche Kosmetik halt.“… Und dann, dann habe ich wirklich große Augen gemacht und den Mund fast nicht mehr zubekommen. Ob es jetzt an Herrn Weichert und dem ULD, den Studenten aus Wien und den Ankündigungen der irischen Datenschutzbehörde oder schlicht dem Wettbewerbsdruck von Google liegt, ist mir persönlich total egal. Fakt ist, Facebook bewegt sich doch. Die Datenschutzerklärung, bzw. die Datenverwendungsrichtlinien (wie FB es nennt), ist/sind komplett überarbeitet worden! Die erste Seite sieht dabei so aus:

Wie unschwer zu erkennen ist, finden sich dort nun sechs markante Hauptkategorien. Klicke ich auf eine dieser, öffnet sich ein Untermenü wie folgt:

Die kompletten Änderungen und Funktionalitäten der neuen Datenverwendungsrichtlinien, wie Facebook sie nennt, hier zu analysieren und zu präsentieren, sprengt ein wenig den Rahmen. Folglich werde ich hier einmal ein paar markante, insbesondere im Kontext mit der Diskussion der letzen Wochen um den Like-Button und die Fanpages stehende, herausgreifen.

1. Daten, die wir über Dich erhalten, Social Plug-Ins, Like-Button

In diesem Abschnitt Daten, die wir über Dich erhalten wird grundsätzlich erläutert, welche Daten/Informationen Facebook aus welchem Grunde vom User erhält: Die vom User eingestellten, möglicherweise von Freunden eingestellte Informationen (Orts- oder Fotografiemarkierungen) sowie Informationen von Anwendungen (wie Spielen oder Apps) und sonstige bereitgestellte Daten. Unter diesem Begriff wird – untechnisch ausgedrückt – das Tracking der personenbezogenen Daten auf der FB-Site erläutert. Also, dass Facebook jedesmal Daten erhält, wenn der User das Profil einer anderen Person aufruft, nach einer Person sucht oder eine Seite besucht oder Werbeanzeigen klickt. Weiter wird darüber aufgeklärt, dass FB beim Hochladen von Fotos oder Videos ggf. auch das Erstelldatum sowie der Ort der Aufnahme übertragen wird. Ferner stellt Facebook klar, dass es Daten von den Endgeräten (Computer, Smartphone etc.) erhält, mit denen auf FB zugegriffen wird, darunter Daten wie die IP-Adresse, Standort, Art des Browsers oder vom User besuchte Seiten (hört, hört!). Die Erklärung dazu folgt jedoch im nächsten Absatz

„Wir erhalten Daten immer dann, wenn du ein Spiel, eine Anwendung oder Webseite nutzt, welche/s die Facebook-Plattform verwendet, oder wenn du eine Webseite besuchst, auf der eine Facebook-Funktion (wie zum Beispiel ein soziales Plug-in) vorhanden ist. Diese Daten können das Datum und die Uhrzeit deines Besuches auf der betreffenden Webseite enthalten; dies gilt auch für die Internetadresse oder die URL, auf der du dich befindest, und ebenso für die technischen Daten über die IP-Adresse und den von dir genutzten Browser sowie das von dir genutzte Betriebssystem; enthalten ist auch deine Nutzerkennnummer, wenn du auf Facebook angemeldet bist.“

Wow. Welch Transparenz. Ich meine, wir reden hier von Facebook. Kurz Facebook erhält von jedem Besucher, der auf einer Website mit einem Like-Button ist:

1. Datum und Uhrzeit,
2. Internet-Adresse/URL der Site,
3. IP-Adresse,
4. Browser,
5. Betriebssystem,
6. Nutzerkennung, also den Vor- und Nachnamen (bei registrierten Nutzern),
7. bei Klick, natürlich, dass man das PlugIn verwendet hat.

Ob man jetzt den Browser und das Betriebssystem des Users wirklich wissen muss (Grundsatz der Datensparsamkeit), das weiß ich nicht, ich glaube nicht zwar eher nicht, aber nun denn, das lassen wir jetzt mal beiseite. Denn

a. Was heißt das denn jetzt rechtlich?

Wer die Diskussion in meinem Blog (hier, hier, hier, hier, hier, hier und hier) mitbekommen hat, der weiß, dass das Grundproblem darin lag, dass selbst die von Ferner oder Heise angebotene „Double-Click“ Lösung (Like-Button zunächst als Bild, dann „Freischaltung“, dann Einblendung des Buttons) daran krankte, dass der User gerade nicht wirksam über den Umfang der Datenübertragung aufgeklärt werden konnte, da Facebook hierzu keine Informationen bereitstellte. Das heißt, den Aufklärungspflichten nach § 13 TMG konnte überhaupt nicht nachgekommen werden und das Bußgeld nach § 16 TMG stand weiterhin im Raum. Nun stellt FB jedoch neben der Art der Datenerhebung auch den Umfang der Datenerhebung, die – wenn man der Auffassung folgt, dass die IP-Adresse ein personenbezogenes Datum ist -, gleich ob man FB-User ist, personenbezogen sind, unter dem Punkt Social-PlugIns klar:

„Wir speichern diese Daten für einen Zeitraum von 90 Tagen. Danach entfernen wir deinen Namen sowie alle anderen personenbezogenen Informationen von den Daten oder kombinieren sie mit den Daten anderer Personen auf eine Weise, wodurch diese Daten nicht mehr mit dir verknüpft sind.“

Und ganz wichtig unter „sonstige bereit gestellte Daten“ weiter:

„Wir stellen unseren Werbepartnern und Kunden nur Daten zur Verfügung, nachdem wir deinen Namen sowie alle anderen personenbezogenen Informationen von diesem entfernt haben oder sie auf eine Weise mit den Daten anderer Nutzer kombiniert haben, durch die sie nicht mehr mit dir in Verbindung gebracht werden können.“

Ebenso wie der letzte Halbsatz etwas ungefähr bleibt, bleibt FB auch wenig aussagekräftig, hinsichtlich der eigenen Verwendung der erhobenen Daten. Es heißt unter „Wie wir bereit gestellte Daten verwenden„:

„Wir verwenden die uns bereitgestellten Informationen über dich im Zusammenhang mit den Dienstleistungen und Funktionen, die wir dir und anderen Nutzern wie zum Beispiel deinen Freunden, den Werbekunden, die Werbeanzeigen auf Facebook buchen, sowie den Entwicklern der von dir genutzten Spiele, Anwendungen und Webseiten anbieten. (…) bspw. (…) um die Effektivität der Werbeanzeigen, die du und andere Personen sehen, zu messen und zu verstehen;“

Dann werden Beispiele aufgezeigt. In Zusammenschau damit, dass FB jedoch keine personenbezogenen Daten an Werbekunden herausgibt, könnte man das soweit für „transparent“ und „konkret“ genug halten.

Kritisch ist dann aber das Folgende:

„Indem du uns die Erlaubnis hierzu erteilst, gestattest du uns nicht nur, Facebook in seinem heutigen Zustand zur Verfügung zu stellen, sondern dir zukünftig auch innovative Funktionen und Dienstleistungen anzubieten, die wir unter neuartigem Einsatz der Daten, die wir über dich erhalten, entwickeln.

Obwohl du uns gestattest, die Informationen zu verwenden, die wir über dich erhalten, bleiben diese doch stets dein Eigentum. Dein Vertrauen ist uns wichtig. Darum machen wir Informationen, die wir über dich erhalten, anderen nicht zugänglich, es sei denn:

wir haben deine Genehmigung dazu erhalten;
wir haben dich beispielsweise in diesen Richtlinien darüber informiert; oder
wir haben deinen Namen sowie alle anderen personenbezogenen Informationen von diesen Daten entfernt.“

Kurz zusammengefasst bedeutet das: „Juhu, wenn wir lustig sind, dann ändern wir die Datenverwendungsrichtlinien eben und dann machen wir neue Sachen mit Deinen Daten und Du kannst nichts dagegen tun!“

Allerdings lassen wir jetzt mal vielleicht die Kirche im Dorf. Facebook ist hinsichtlich des Datenschutzes offensichtlich von allen Seiten gerade massivem Druck ausgesetzt. Es hat sowohl die Inhalte als auch die Kontrolle über die eigenen Daten massiv verbesssert. Deswegen würde ich hier jetzt nicht davon ausgehen, dass morgen die Datenschutzbedingungen wieder zum Nachteil des Users umgedreht werden. Ich denke, selbst Facebook merkt, dass es dabei nicht (mehr) gut wegkommen würde.

Wir halten fest, Facebook hat den Datenschutz stark verbessert, ganz sauber ist es juristisch aber auch noch nicht. (Allerdings zeige man mir eine Datenschutzerklärung, die wirklich zu 100% alle Datenverwendung ganz konkret und ganz transparent für den Verbraucher verständlich abbildet…)

b. Alles rechtskonform?

Nach dem Vorstehenden könnte man denken, dass, wenn der User über diese Verwendung seiner Daten vom Webseitenbetreiber, bevor der Like-Button aktiviert wird, aufgeklärt wird, und der User zu dieser Art der Verwendung einwilligt, das Ganze doch rechtskonform sein müsste. Schließlich weiß der User, welche Daten erhoben, wie sie verwendet und dass keine personenbezogenen Nutzerprofile an Werbepartner weitergegeben werden.

Doch ganz so einfach ist es womöglich nicht. Denn auch wenn Facebook nun hinsichtlich der Verwendung und Erhebung der Daten Auskunft gibt, so könnte es immer noch an einer wesentlichen Voraussetzung nach dem TMG mangeln. Denn nach § 13 Abs. 2 TMG muss der Diensteanbieter sicherstellen, dass der Nutzer die Einwilligung jederzeit widerrufen kann und sodann die Daten gelöscht oder gesperrt werden (§ 13 Abs. 4 TMG). Nun könnte argumentiert werden, dass es durchaus die Möglichkeit gibt, dass Facebook-Konto zu löschen:

„Wenn du ein Konto löschst, wird es dauerhaft von Facebook gelöscht. Normalerweise dauert es ungefähr einen Monat bis eine Kontolöschung vollzogen ist. Manche Daten sind jedoch noch bis zu 90 Tage in Sicherungskopien und Protokolldateien vorhanden. Du solltest dein Konto nur löschen, wenn du dir sicher bist, dass du es nicht mehr reaktivieren möchtest.“

Und damit die Einwilligung zur Datenerhebung und Verarbeitung zurückzuziehen sowie die Daten löschen zu lassen. Aber ob das eine wirksame Widerrufsmöglichkeit im Sinne von § 13 Abs. 2 TMG ist, darüber kann man wohl trefflich streiten. Darüber hinaus besteht eine Verpflichtung zur Aufklärung über diese Widerufs- und Löschungsansprüche. Ob FB dem mit dem Angebot zur Löschung der Daten hinreichend nachkommt, könnte auch in Frage gestellt werden.

Insbesondere ist dies keine Lösung für Nicht-Mitglieder, die ebenfalls auf mit Like-Button bestückten Webpages surfen und in Folge dessen einen digitalen Abdruck hinterlassen. Für sie ist gar keine Möglichkeit der Löschung derzeit erkennbar, außer dass nach 90 Tagen alle Verknüpfung mit einem personenbezogenen Datum automatisch gelöscht werden – wozu dann auch die IP-Adresse gehören müsste.

c. Kann ich jetzt den Like-Button nutzen?

Das ULD ging in seinen letzten FAQ bereits davon aus, dass es möglich ist, den Facebook-Like-Button rechtskonform einzubinden. In der aktuellsten Fassung der FAQ-Seite vom ULD vom 07.09.2011 wird dies insoweit konkretisiert, als die Voraussetzungen nach dem TMG noch einmal dargelegt werden. Sprich:

1. der Nutzer seine Einwilligung bewusst und eindeutig erteilt hat,
2. die Einwilligung protokolliert wird,
3. der Nutzer den Inhalt der Einwilligung jederzeit abrufen kann und
4. der Nutzer die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen kann.

Ergo:

1. Der Like-Button darf erst nach einer Einwilligung aktiviert werden.
2. Der User muss vor seiner Einwilligung über den Umfang der Datenerhebung- und Verwendung aufgeklärt werden (vgl. § 13 TMG, sonst auch keine bewusste Einwilligung möglich), sprich: Hinweis auf die Datenschutzerklärung der Website, innerhalb derer die Grundlagen von Facebook erläutert werden müssten)
3. Der User muss in der Datenschutzerklärung der Website mE auf die Löschungsmöglichkeit bei FB hingewiesen werden.

Um es noch einmal deutlich – ebenso wie das ULD – zu sagen: Ein reines „Vorschalt-Bildchen“ reicht nicht aus. Meines Erachtens kann der User einer Website aber hinreichend transparent und konkret von einem Webseitenbetreiber über die Verwendung seiner Daten durch den Facebook-Like-Button aufgeklärt werden, so dass jedenfalls dem Webseiten-Betreiber keine Untersagensverfügung oder ein Bußgeld drohen dürfte, wenn der Like-Button, wie zuvor beschrieben, von einem Webseitenbetreiber eingebaut würde und man davon ausgeht, dass die Löschungs-Möglichkeit bei FB bzw. das automatische Löschen personenbezogener Daten den Anforderungen des § 13 TMG genügt. (ACHTUNG: Von den offenen Fragen abgesehen, stellt dies keine den Einzelfall betreffende Rechtsberatung dar und ist deshalb ohne Gewähr!)

Anmerkungen vom ULD werden in diesem Blog gerne entgegengenommen! 🙂

2. Fanpages

Im Gegensatz zum Like-Button sieht es hier immer noch mE düster aus. Bei FB-Insights handelt es sich schlicht um ein Tracking-Tool. Aus Sonstige uns bereit gestellte Daten über Dich kann heraus gelesen werden, dass FB-Insights die gleichen Daten aufnimmt, wie der Like-Button. Das heißt diese Daten werden von jedem erhoben, der sich ein Fanpage anguckt. Ist er kein Facebook-Mitglied, wurde der User darüber weder aufgeklärt, noch kann er dieser Datenerhebung zustimmen. Und als Facebook-Betreiber kann ich es auch nicht ausstellen. Tja. Also. Wenn ich jetzt in den ganzen Bedingungen nichts übersehen habe, dann gibt es hierfür derzeit keine Lösung. Da muss Facebook sich wohl noch ein wenig weiter bewegen.

3. Overall

Wie eingangs gesagt, bin ich wirklich positiv von Facebook überrascht. Ich hätte nicht geglaubt, dass es sich so schnell bewegt und tatsächlich den Datenschutz ernst(er) nimmt. Vergessen ist die Unübersichtlichkeit der einzelnen Bestimmungen (ja, es ist immer noch viel, aber sehr logisch aufgebaut) und die mangelnde Transparenz der Inhalte (ja, es ginge sicher noch besser). Besonders gut gefällt mir, dass Facebook innerhalb der Datenverwendungsrichtlinien, in denen etwas erläutert wird, direkt zu der Stelle in den Privatsphären-Einstellungen verlinkt, in denen diese betreffende Sache verändert werden kann. Und dann kann man selbst noch einmal mit dem Folgenden rumspielen:

„Wenn du die Daten sehen möchtest, die über dich durch unsere Diagramm-API zugänglich sind, gib einfach https://graph.facebook.com/[Nutzerkennnummer oder Nutzername]?metadata=1 in deinen Browser ein.“

Darüber hinaus kann man sich das eigenen „Facebook“-Archiv zum Download bereitstellen lassen – sprich alle Pinnwandeinträge, Fotos etc., die man bei FB je hochgeladen hat. Ich lasse meins gerade erstellen. Ich bin mal gespannt. Eine schöne Rückkopplung, um mal zu sehen, was man alles von sich preisgegeben hat. 😉

Also, ja, es geht alles sicher noch viel besser. Und eine Garantie gibt es jetzt auch nicht. Aber ich finde, Facebook hat sich wahnsinnig bewegt. Und das ist insgesamt ein wichtiger Schritt in Richtung Datenschutz, der langsam vielleicht doch einmal die notwendige Anerkennung erfährt.

In diesem Sinne,

es kann nur besser werden.

Update: Vorträge & Seminare zum Social Media Recht

Die Aktualisierungen hinsichtlich der Termine, bei denen ich face-2-face zu sehen, zu hören und zu befragen bin, gehen unter dem Reiter „Vorträge“ doch nur relativ still und leise von statten. Deswegen erlaube ich mir jetzt einmal in meinem Blog direkt mit lautetem Tam-Tam nicht nur auf den Termin morgen beim DDV hinzuweisen, sondern auch auf die in den nächsten Monaten kommenden Vorträge und Seminare (es soll ja keiner sagen können, er/sie hätte es nicht gewusst):

DePAK: Online-Recht: Die Basics 09/2011 (ab 20. September)

In dem vorgenannten Seminar zum Online-Recht der Deutschen Presse Akademie werde ich im Modul 4 eine Webinar-Vorlesung zum Thema Recruitment & Recherche 2.0 halten. Dabei geht es um Fragen der Arbeitnehmerschutzgesetze (und auch die „Kehrseite“ der Socialmediaguidelines) sowie der Kontrollmöglichkeiten von Arbeitnehmern im Web und last but not least, um die Do’s & Don’t bei der Rekrutierung via sozialer Netzwerke. Das Seminar beginnt am 20. September und findet dann vier Wochen lang jeweils um 17.00 Uhr statt.

Mehr dazu…

Quadriga Tagung HR Kommunikation – 29./30. Sept. 2011

„Schnittstellen bilden, Erfolg sichern“ – so lautet der Untertitel der Tagung HR Kommunikation in Frankfurt am Main. Schließlich bekommt die Kommunikation in der Personalarbeit – sprich passives Personalmarketing oder Employer Branding – stetig mehr Gewicht und damit auch die Organisation des Ganzen. Ich halte am 29.09. direkt vor dem Dinner & Networking Part den Vortrag „Recht und Recruiting: Stolperfalle Web 2.0“. Hier geht es nicht (oder nur wenig) um die richtige Social Media Guideline oder sonstige arbeitsrechtliche Probleme, sondern um die sonstigen juristischen Haken und Ösen, die im Rahmen der Social Media Kommunikation zu beachten sind.

Mehr dazu….

Social Media Management (für Versicherer) – Frankfurt/Main 27.10.2011

„Social Web für Versicherer – Chance oder Risiko“ lautet der Untertitel dieses Seminars der auf die Versicherungsbranche spezialisierten Unternehmensberatung Insurance Experts GmbH. Gerade für Versicherer, Vertriebe und Makler bietet Social Media große Chancen. Diese sollen ebenso aufgezeigt werden, wie die damit einhergehenden Risiken. Die Veranstaltung wendet sich explizit an Entscheidungsträger aus der Versicherungswirtschaft. Passend zum Seminar und Thema ist von dem Geschäftsführer Alexander Ambronn und dem Executive Consultant Dr. Jörg Astheimer dazu der sehr lesenswerte Artikel „Gefahren für den guten Ruf lauern auch im Internet“ im Fachmagazin Versicherungswirtschaft (Heft 17 v. 01.09.2011) erschienen.

Mehr dazu….

MCR – Medical Recruting Conference Baden-Baden 05./06. Okt. 2011

Diese Konferenz hat insbesondere die besorgniserregende Situation in den Personalabteilungen deutscher Gesundheitsdienstleister zum Gegenstand. Ärzte und Pflegekräfte fehlen überall, der immense Fachkräftemangel hat den Arbeitsmarkt längst zu einem Bewerber-Markt entwickeln lassen. Die MCR zeigt neue Wege in der Personalgewinnung und innovative Recrutining-Strategien für das Gesundheitswesen via Social Media aber auch durch intelligente Crossmedia Nutzung auf. Mit dabei u. a. Lutz Altmann (humancaps media), Sascha Theisen (StepStone Deutschland GmbH), Ulrike Maier (medicaltopjobs.de), Jan Kirchner (atenta/Wollmilchsau). Am 05. Oktober erwarten die Teilnehmer insgesamt 8 Vorträge und eine Podiumsdiskussion, während am 06. Oktober Intensiv-Seminare zu den Themen „Social Media Employer Branding & Recht“ (ND), „Recruiting-Produktivität mit Social Media Steigern“ (Ulrike Maier) und „Social Media Monitoring für Arbeitgeber“ die Tagung abrunden.

Mehr dazu….

Social Media Recruting Conference Hamburg 13./14. Okt. 2011

„Die Spielplatzzeiten von Social Media sind vorbei“ (so Tobias Kärchner von atenta zur #SMRC bei startupcareer) oder anders ausgedrückt: Social Media wird auch im Bereich Recruiting zunehmend professioneller – folgerichtig stehen dieses Jahr die Strategieplanung und die praktische Umsetzung ganz im Focus der SMRC HH. Am 13.10.2011 erwarten die Teilnehmer sowohl abstrakte strategische Einführungen (z.B. von Henner Knabenreich oder Jörn-Hendrik Ast) als auch handfeste Best Practise Beispiele (u. a. von in-tech GmbH, Otto GmbH & Co KG).

Am 14.10.2011 wird dann zu den Themen Socia Media Monitoring, SEO/SEM und Social Media Recht geworkshopped. Je zwei Referenten bieten ein Thema zeitgleich an. Geht es um das Thema Social Media Recht hat man sich zwischen Dr. Axel Freiherr von dem Bussche (Taylor Wessing) und der Rechtsanwältin Diercks, der Rechtsanwältin Herausgeberin des Social Media Recht Blogs zu entscheiden – ich hoffe doch sehr, dass die Wahl da nicht schwer fällt! 😉

Mehr dazu…

DePAK: Fachstudium Social Media Nov./Dez. 2011

Das Fachstudium»Social Media« der deutschen Presseakademie richtet sich an PR- und Marketingverantwortliche sowie Personaler, die bereits erste Erfahrungen mit Social Media-Instrumenten gesammelt haben. Behandelt werden hier die Themen Social Media Management im Alltag, Krisen-PR, die Erstellung von Social Media Policies sowie strategische Grundlagen. Geleitet wird das Fachstudium von Klaus Eck, Eck Kommunikation. Ecks PR-Blogger ist eines der erfolgreichsten deutschen Blogs zur Online-Kommunikation. Meine Wenigkeit wird von der vier-tägigen Präsenzbveranstaltung einen halben Tag zum Thema Social Media, Recht und vor allem Social Media Guidelines referrieren.

Mehr dazu…

22.11.2011 – Praxisseminar: „Recrutainment, SelfAssessment, eAssessment, Employer Branding & Social Media“

Bei der halbtägigen Veranstaltung bieten die Referenten Malte Hansen, Director Human Resources, Middle Europe, Veolia Wasser GmbH; Andrea Schmitz, Referentin HR Marketing & Recruiting, Franz Haniel & Cie. GmbH; Christina Höhmann, Vernetzung Studienberatung, Georg-August-Universität Göttingen und Irahim Evsan, Founder & Managing Director, United Prototype Web Game GmbH / Fliplife handfeste Einblicke in eigene Projekte, Probleme sowie erfolgreiche Lösungen und bieten somit konkrete Hilfestellung für eigene Vorhaben. Unter dem Titel „Keine Spaßbremse, sondern wichtige Leitplanken“ werde ich erläutern, welche rechtlichen Bestimmungen bei der Umsetzung von Social Media Kampagnen beachtet werden sollten.

Das diesjährige wieder von der CYQUEST GmbH initiierte Praxisseminar wird in Kooperation mit dem BPM – Bundesverband der Personalmanager e.V. angeboten und von der vom Helios-Verlag herausgegebenen Fachzeitschrift Human Resources Managerunterstützt.

Mehr dazu…

Und sonst…

bin ich auch regelmäßig bei den Veranstaltung des Social Media Club Hamburgs #smchh und der Digital Media Women Hamburg #dmwhh anzutreffen.

In diesem Sinne,

auf bald!

Veranstaltungshinweis: DDV Council Digitaler Dialog, 06.09.2011 #Datenschutz #Marketing

An dieser Stelle ein recht kurzfristiger Veranstaltungshinweis, der aber all jene, die sich mit den Themen Dialog Marketing, Social Media, Monitoring, Targeting und Tracking im weitesten Sinne auseinandersetzen, durchaus interessant sein könnte.

Am 06.09.2011 findet vom DDV (Deutschen Dialog Marketingverband) in Frankfurt/Main in der IHK ab 11.00 Uhr das Council Digitaler Dialog statt. Die zu besprechenden Tagesordnungspunkte sind sicher nicht für jeden spannend und Nicht-Mitglieder haben auch hierzu auch keinen Zutritt, zu Beginn der Veranstaltung werden jedoch drei Gastvorträge gehalten, für die nicht mehr als eine schlichte Voranmeldung notwendig ist:

Transparenz statt Kontrolle – Wie das Netz für den Nutzer wirklich sicher wird. (Stephan Noller, CEO nugg.ad AG, predictive behavioral targeting)

Facebook und der Datenschutz – Eine Analyse der aktuellen Situation. (RA Nina Diercks – SMR Social Media Recht)

E-Mail Marketing Benchmark Center – Vorstellung des Projekts und Diskussion. (Roland Schäfer, Partner saphirion GmbH, management & technology consultants)

Angesichts der vom ULD mit dem datenschutzrechtlichen Gutachten zu Facebook in den letzten Tagen arg befeuerten Diskussion zum Thema Datenschutz, ist die Meinung eines Mannes, der einer von denen (ist), die das Surfverhalten von Usern im Internet aufzeichnen, Daten sammeln und an andere weitergeben (Noller über Noller in „Die Zeit“ am 28.01.2011), sicher spannend zu hören. Insbesondere da Herr Noller vermutlich nicht in das „post privacy“ Horn stoßen wird, schließlich ist nugg.ad von eben jenem ULD zertifiziert, dass derzeit von – fast – allen Praktikern für seinen Facebook-Vorstoß ordentlich gerügt wurde.

Und da wären wir denn bei meinem Vortrag, der aus eben dem genannten aktuellen Anlass die derzeitige „Facebook“-Situation analysiert und hinterfragt, insbesondere vor dem Hintergrund der just am Montag, den 29.08.2011, veranstalteten Sommerakademie des ULD. Mehr dazu sicher auch in meinem Blog in der nächsten Woche.

Ich freu mich jedenfalls auf spannende Diskussionen!

Wie gesagt, die Teilnahme ist kostenlos, wer also im Raum FFM Lust und Zeit auf dies aktuelle Thema hat, der melde sich bitte unter der hier genannten Email-Adresse an.

In diesem Sinne,

schönen Donnerstag!

Offizielle Stellungnahme des #ULD zur causa #Facebook

Das ULD hat nun aufgrund der doch nicht unerheblichen Welle durch die Netzgemeinde eine Stellungnahme zur Facebook-Angelegenheit veröffentlicht. Herr Dr. Krage hat diese in Teilen in meinem letzten Blogpost auch schon als Kommentar veröffentlicht. Vielen Dank dafür! Die vollständige Stellungnahme, bzw. die FAQ, wie das ULD sie nennt, können auf der Seite des ULD abgerufen werden.

Hinsichtlich der Zuständigkeit des ULD verschafft diese Stellungnahme auch Klarheit. Kurz: Wie ich bereits vermutete, ist das ULD über § 45 LDSG für die Ahndung von Ordnungswidrigkeiten nach dem TMG zuständig.

Soweit so gut. Weiter macht das ULD Ausführungen zum Facebook-Like-Button. Nach Auffassung des ULD soll es nun nämlich doch eine Möglichkeit geben, diesen rechtskonform einzubauen – und zwar dann, wenn das Social-Plugins nur dann geladen werden kann, wenn der Nutzer in die mit der Einbindung von Social-Plugins verbundene Übertragung personenbezogener Daten einwilligt, weiter heißt es wörtlich: „Dies kann beispielsweise so realisiert werden, indem an der Stelle, an der die Social-Plugins auf der Webseite erscheinen sollen, zunächst eine vom Webseitenbetreiber selbst bereitgestellte Grafik eingebunden wird. Nach Klick auf diese Grafik muss die Nutzerin oder der Nutzer dann über die mit der Anzeige des Social-Plugins verbundene Übertragung personenbezogener Daten informiert werden. Willigt die Nutzerin oder der Nutzer ausreichend informiert und aktiv ein, so können darauffolgend die Social-Plugins von Facebook geladen werden. “

Hierüber bin ich nun doch sehr verwundert, da es in dem vom ULD erstellten Gutachten heißt, eine wirksame Einwilligung könne gerade deswegen nicht erteilt werden, da es nicht möglich sei, über den Umfang der Verwendung der Daten hinreichend aufzuklären, da FB zu dem Zweck der Datenerhebung selbst keine genügenden Angaben mache. Dies finde ich dem Grunde nach in sich sehr schlüssig. Scheint nun aber doch nicht mehr so gesehen zu werden…

Aber gut. Um so besser. So bleibt wenigstens eine praktische Handhabe hinsichtlich des Facebook-Like-Buttons.

Hinsichtlich der Facebook-Fanpages sieht das ULD weiterhin keine Möglichkeit der rechtskonformen Nutzung, da der Reichweiten-Analyse-Dienst Facebook-Insights nicht abgeschaltet werden könne, bzw. die Vorgaben des § 15 Abs. 3 TMG (Erläuterungen dazu in diesem Blogpost) nicht durch Facebook erfüllt werden und damit auch nicht durch die Seitenbetreiber erfüllt werden können.

In diesem Sinne,

ich bin gespannt wie es nun tatsächlich weitergeht.

Update zum Update: #ULD #Facebook – (K)eine Zuständigkeit für Bußgeldbescheide (?)

Ja, ich gestehe. Ich habe nicht genau genug hingesehen. Rocknrolla als Kommentator wies mich nun vollkommen zu recht darauf hin, dass § 38 Abs. 6 des MedienStV SH HH nicht die Zuständigkeit für die Ordnungswidrigkeiten hinsichtlich der datenschutzrechtlichen Normen des TMG regelt. § 38 Abs. 6 MedienStV SH HH verweist nämlich nur auf § 16 Abs. 1 und Abs. 2 Nr. 1 TMG, diese beziehe sich auf die kommerzielle Kommunikation und die allgemeinen Informationspflichten. Aber nur § 16 Abs. 2 Nr. 2-5 TMF erfassen die datenschutzrechtliche Komponenten. Rocknrolla weist weiter darauf hin, dass so dann mangels gesetzlicher Bestimmung nach § 36 Abs. 1 Nr. 2a OWiG die „fachlich oberste Landesbehörde“ zuständig wäre. Nach Auffassung von Rocknrolla wäre das das Innenministerium. Da wäre dann allerdings die Frage, ob nach § 36 Abs. 1 Nr. 2a nicht doch das ULD als „oberste Landesbehörde“ zuständig wäre. Ich bin nicht sicher, dass dies die Innenbehörde ist. Denn in § 45 LDSG (Landesdatenschutzgesetz) heißt es

„(1) Die am 30. Juni 2000 dem bei dem Präsidenten des Schleswig-Holsteinischen Landtages eingerichteten Landesbeauftragten für den Datenschutz sowie der Datenschutzaufsichtsbehörde im Innenministerium obliegenden Aufgaben gehen am 1. Juli 2000 auf die Anstalt über.“

Liebe Kollegen aus Schleswig-Holstein, was für eine Rechtscharakter hat das ULD? Ist es im Sinne von § 36a Abs. 1 Nr. 2a eine „oberste Landesbehörde“? Geht das als öffentlich-rechtliche Anstalt überhaupt? Denn dann wäre das ULD doch wieder zuständig. Oder gibt es jetzt wieder noch irgendeine Vorschrift, die alles wieder umdreht? (Sorry, aber diese Tiefen des Verwaltungsrechts liegen bei mir doch schon ein wenig zurück… Und dass ich mich noch mal so tief mit den Behördenzuständigkeiten eines Flächenlandes beschäftige, hätte ich auch nicht gedacht.)

Noch einmal: Vielen Dank an Rocknrolla für den Hinweis. Und eine Entschuldigung an meine Leser, dass ich die Verweisungen nicht gründlich genug gelesen habe.

In diesem Sinne,

einfach mal nicht mit dem #ULD und #Facebook beschäftigen.

#ULD #Facebook – Keine Zuständigkeit für Bußgeldbescheide

Der Vollständigkeit halber darf dieses Update auf dem Blog nicht fehlen. Der Kollege Jan A. Strunk aus Kiel hat sich mit dem Landesrecht Schleswig-Holstein näher auseinandergesetzt und hat dabei das Folgende in seinem Blog-Artikel „Bußgeld-Androhung des ULD wegen angeblicher Verstöße gegen das TMG rechtswidrig“ für alle zu Tage gefördert:

„Nach der Zuständigkeitsverordnung für Ordnungswidrigkeiten des Landes Schleswig-Holstein (OWiZustVO) darf das ULD nur Bußgelder nach § 43 BDSG verhängen, wie sich aus dem Zuständigkeitsverzeichnis der Verordnung (Nr. 3.5.2 der Anlage zur OWiZustVO) ergibt.

Für die Verhängung von Bußgeldern nach dem TMG ist vielmehr gem. § 38 Abs. 6 des Medienstaatsvertrags Hamburg/Schleswig-Holstein (MedienStV HSH) die Medienanstalt Hamburg/Schleswig-Holstein (MA HSH) zuständig.“

Dies bedeutet übersetzt: Das ULD ist für den Erlass von Bußgeldbescheiden nach dem TMG (also den in Rede stehenden Ordnungswidrigkeiten) nicht zuständig und hat demnach keinerlei Kompetenzen dafür.

Tja, nun wirkt die ganze Geschichte insgesamt doch wie ein kompletter Schildbürgerstreich.

Allerdings kann ich es durchaus verstehen, wenn das ULD noch nicht mal ansatzweise in Erwägung gezogen hat, nicht für die Rechtsdurchsetzung nach der Zuständigkeitsverordnung zuständig zu sein und demnach eine (Über-)Prüfung dieser Kompetenz auch nicht vorgenommen hat, auch wenn das ULD das – ja, ja zugegebenermaßen – natürlich hätte tun müssen. Es ist aber einfach zu abstrus, dass das ULD für die Verfolgung von Ordnungswidrigkeiten nach § 16 TMG nicht zuständig sein soll.

In aller Ernsthaftigkeit bleibt jedoch anzumerken, dass in der Regel eine solche Zuständigkeit auch (relativ) schnell geändert ist.

Das just FYI. Und nun bleibt abzuwarten, ob überhaupt und wenn ja wann, irgendjemand einen Bußgeldbescheid versendet.

In diesem Sinne,

schildbürgerliche Abendgrüße.

#ULD #Facebook: Die Debatte geht weiter – muss weitergehen!

Die Debatte bezüglich des Vorstoßes des ULD hinsichtlich der möglichen Verfolgung von Datenschutzrechtsverletzungen aufgrund der Verwendung von Facebook Social PlugIns oder Fanpages nimmt weiter an Fahrt auf.

So hat der Kollege Stadler einen dem Grund nach sehr lesenswerten Artikel mit dem Titel „Wie geht es weiter mit dem Datenschutz?“ verfasst. Darin wird – zu recht – problematisiert, dass das bestehende Datenschutzrecht den Anforderungen an die technischen Gegebenheiten in einer globalisierten Welt kaum noch Rechnung tragen kann; sprich veraltet ist. Allerdings stellt der Kollege Stadler dabei auf die dezentrale Struktur des Internets ab. Dies ist meines Erachtens wiederum eine Position, die gerade dabei ist, sich selbst zu überholen. Während das Internet zunächst eine deutliche Dezentralisierung erfahren hat, geht es nun wieder in die gegenteilige Richtung. „Die stille Privatisierung öffentlicher Güter im Web 2.0“ und damit auch eine Zentralisierung nehmen deutlich zu. An dieser Stelle spare ich mir weitere eigene Worte und möchte voll umfänglich auf die Präsentation „Das Internet ist dezentral. Und andere gefährliche Mythen“ von Sebastian Deterding, vorgestellt auf der re:publica 2010, verweisen. Von Deterding stammt auch das vorgenannte Zitat: „Die stille Privatisierung öffentlicher Güter im Web 2.0“ ist der Titels eines Vortrags aus der Veranstaltungsreihe „Aktuelle Entwicklungen im Web 2.0“ des Hans-Bredow-Insituts für Medienforschung aus November 2008 (!).

Auch diese Überlegung, Entwicklung und Tatsachen müssen in der Diskussion um den Datenschutz eine Rolle spielen, damit die Diskussion wirklich „farbig“ wird, wie der Kollege Stadler fordert.

Denn unabhängig von der Frage, ob nun Webseitenbetreiber für die Datenschutzverletzungen heranzuziehen sind (so die Rechtsauffassung des ULD) oder nicht (so bspw. der Kollege Ferner oder der Kollege Nico Härting, der das Vorgehen des ULD gar für verfassungswidrig hält.), bleibt die Problematik bestehen, dass derzeit kein Mensch weiß, was Facebook & Konsorten mit dem unheimlichen Datenvolumen anfängt. Auch deswegen greift das gern gehörte Argument „Ich melde mich doch bei Facebook im Vollbesitz meiner geistigen Kräfte an“ nicht. Niemand kann das. Denn Facebook (wie die meisten anderen privaten Konzerne) klärt nicht hinreichend über den Umgang mit den Daten auf.

Deswegen ist die nun im Raum befindliche Diskussion wichtig. Es ist ein Bewusstsein dafür zu schaffen, dass wichtige Formen der digitalen Grundversorgung wie Suchmaschinen und Soziale Netzwerke (um das Wort von Deterding auch dafür zu benutzen) von einigen wenigen privaten Internetfirmen bereitgestellt werden.

Ja, zugegeben, es ist schwierig – vielleicht sogar unmöglich – global geltende Standard für den Datenschutz durchzusetzen. Aufgrund dessen jedoch sogleich die Anforderungen an den Datenschutz herabzusenken zu wollen, ist meines Erachtens der falsche Weg.

Denn eine Selbstverpflichtung wie „Don’t be Evil“ reicht für die Gewährleistung einer Grundversorgung nicht.

Datenschutz ist und bleibt immens wichtig! Und staatliche Stellen (wer sonst?) haben dafür Sorge zu tragen, dass Mindeststandards durchgesetzt werden.

Nein, das heißt nicht, dass ich die Vorgehensweise des ULD befürworte. Wie Stadler richtig sagt, wird auf den Sack geschlagen, obwohl der Esel gemeint ist.

Doch die Diskussion bleibt wichtig. Und vielleicht wird im Zuge dessen endlich das Gesetzesvorhaben der „Roten Linie“, welches direkt auf FB & Co abzielen würde, einmal vorangebracht.

In diesem Sinne,

auf weitere Diskussionen!

„Entwarnung“ hinsichtlich #ULD und #Facebook?: Interview mit Dr. Krag im Jurafunk

Hier nun noch ein Interview mit Herrn Dr. Krag im Jurafunk. Das Interview haben die Kollegen Stefan Dirks und Henry Krasemann aus Kiel geführt. Letzterer ist nicht nur Rechtsanwalt, sondern auch Referatsleiter beim ULD.

Eine „Entwarnung“ stellt das Interview insoweit dar, als Dr. Krag auf die reine „Möglichkeit“ der Bußgeldverhängung verweist und klargestellt, dass vor allem Facebook selbst zu einem Handeln bewegt werden soll. Aber hört doch einfach selbst:

Interview mit Dr. Krag im Jurafunk.

Besten Dank an die oben genannten Kollegen für den Hinweis auf das Interview!