Der sog. Düsseldorfer Kreis – das Treffen der obersten Datenschutzbehörden für den nichtöffentlichen Bereich – hat sich in einem neuen Papier der Haltung des ULD zu sozialen Netzwerken und Social-Plugins angeschlossen.
Die Grundaussage, wonach auch soziale Netzwerke die außerhalb des europäischen Wirtschaftsraums ansässig sind, deutsches Datenschutzrecht zu beachten haben, halte ich für rechtlich zutreffend. Dass speziell das Angebot von Facebook allerdings weit davon entfernt ist, mit deutschem und europäischem Datenschutzrecht konform zu sein, ist andererseits offensichtlich. Möglicherweise wird die EU künftig effektiver gegen dieses Vollzugsdefizit vorgehen, sollte das Datenschutzrecht tatsächlich in einer EU-Verordnung geregelt werden, weil dann wegen der Datenschutzverstöße großer amerikanischer Player wie Google oder Facebook auch mit spürbaren Bußgeldern gerechnet werden kann.
Zu den zuletzt äußerst umstrittenen Themen der Einbindung von Social-Plugins und des Betreibens von Facebook-Fanseiten schreibt der Düsseldorfer Kreis:
In Deutschland ansässige Unternehmen, die durch das Einbinden von Social Plugins eines Netzwerkes auf sich aufmerksam machen wollen oder sich mit Fanpages in einem Netzwerk präsentieren, haben eine eigene Verantwortung hinsichtlich der Daten von Nutzerinnen und Nutzern ihres Angebots. Es müssen zuvor Erklärungen eingeholt werden, die eine Verarbeitung von Daten ihrer Nutzerinnen und Nutzer durch den Betreiber des sozialen Netzwerkes rechtfertigen können. Die Erklärungen sind nur dann rechtswirksam, wenn verlässliche Informationen über die dem Netzwerkbetreiber zur Verfügung gestellten Daten und den Zweck der Erhebung der Daten durch den Netzwerkbetreiber gegeben werden können.
Anbieter deutscher Websites, die in der Regel keine Erkenntnisse über die Daten- verarbeitungsvorgänge haben können, die beispielsweise durch Social Plugins ausgelöst werden, sind regelmäßig nicht in der Lage, die für eine informierte Zustimmung ihrer Nutzerinnen und Nutzer notwendige Transparenz zu schaffen. Sie laufen Gefahr, selbst Rechtsverstöße zu begehen, wenn der Anbieter eines sozialen Netzwerkes Daten ihrer Nutzerinnen und Nutzer mittels Social Plugin erhebt. Wenn sie die über ein Plugin mögliche Datenverarbeitung nicht überblicken, dürfen sie daher solche Plugins nicht ohne weiteres in das eigene Angebot einbinden.
Auch wenn ich die Bedenken des Düsseldorfer Kreises nachvollziehen kann, entspricht diese Aussage meines Erachtens nicht der geltenden Rechtslage. Denn eine irgendwie geartete (Störer-)Verantwortlichkeit kennt das deutsche Datenschutzrecht nicht. Adressat des BDSG und des TMG ist vielmehr die verantwortliche Stelle (§ 3 Abs. 7 BDSG), die allerdings auch ein Mindestmaß an Datenhoheit inne haben muss. Und daran fehlt es bei Webseitenbetreibern die Social-Plugins einbinden und auch bei Facebook-Fansites.
Die Haltung des Düsseldorfer Kreises wirft letztlich die Frage auf, ob diese Verantwortlichkeit nicht jeden Inhaber eines Facebookprofils treffen müsste, nachdem bereits der Betrieb einer Facebook-Fanseite ausreichend für die Begründung einer datenschutzrechtlichen Verantwortung sein soll. Die einzige Einschränkung die die Datenschutzbehörden machen, ist nur noch die Stellung als Unternehmen. Aber auch das ist letztlich inkonsequent, denn das BDSG ist nur dann nicht anwendbar, wenn die Datenverarbeitung ausschließlich zu persönlichen oder familiären Zwecken erfolgt. Das kann man – wenn man der Logik des Düsseldorfer Kreises folgt – aber für die Mitwirkung an einer Datenverarbeitung, die für unternehmerische Zwecke von Facebook erfolgt, ganz bestimmt nicht annehmen.
Die Haltung des Düsseldorfer Kreises ist deshalb, wie so häufig, inkonsequent. Konsequent zu Ende gedacht, hätte man nämlich formulieren müssen, dass ein Facebookprofil generell nicht mit deutschem Datenschutzrecht vereinbar ist. Denn man wirkt damit an der unzulässigen Datenverarbeitung von Facebook mit. Was für Fanpages von Facebook gilt, muss letztlich auch für jeden beliebigen Account gelten. Die sich aufdrängende Schlussfolgerung, dass 20 Millionen deutsche Facebooknutzer sich nicht datenschutzkonform verhalten, wollte der Düsseldorfer Kreis dann aber offenbar doch nicht ziehen, zumal auch Menschen wie der Bundesdatenschutzbeauftragte Facebookprofile haben.
Ob sich dieses Dilemma jemals vernünftig auflösen wird, darf man übrigens bezweifeln. Denn die Währung in der der Nutzer von sozialen Medien wie Facebook oder Google+ bezahlt, heißt personenbezogene Daten. Es entspricht gerade dem Geschäftsmodell von Facebook und Google+ möglichst viele Nutzerdaten zu erheben und diese auch entsprechend zusammenzuführen, um damit das Nutzerverhalten zu analysieren. Gleichzeitig wird dem Nutzer der Umfang der Datenerhebung und vor allen Dingen der Weiterverarbeitung und Zusammenführung von Daten natürlich gezielt verschwiegen.
Die Durchsetzung eines Datenschutzregimes auf deutschem Niveau würde das Geschäftsmodell von Facebook oder Google+ zerstören. Für datenschutzfreundliche soziale Medien müsste der Nutzer nämlich in einer anderen Währung bezahlen, die Euro oder Dollar heißt.
Diese Zusammenhänge und Mechanismen sollten sich nicht nur die Datenschutzbehörden vor Augen führen, sondern gerade auch wir Nutzer.