Vielen Dank an Frau Dr. Buchem für diese Gelegenheit.

Google zeigt sich jedoch unbeeindruckt und spielt auf Zeit. Da Politik und Datenschützer sich die Zähne ausbeißen, ist der Internet-Nutzer auf sich alleine gestellt. Er hat die Wahl:

1. Die Profilbildung und umfangreiche Datensammlung akzeptieren
2. Seine Google Accounts bis heute “aufzuräumen” etwa die Web-Historie oder bei Youtube oder
3. Man löscht zusätzlich seinen gesamten Google Account

Ich habe mich heute für die dritte Alternative entschieden. Nicht weil ich in Google den großen übermächtigen “evil” Feind sehe, sondern weil ich auch künftig Herr meiner personenbezogenen Daten bleiben will. So oder so eine Herausforderung. Gerade im Internet. Aber dazu am Ende mehr.

Ich war nie ein großer Nutzer der registrierungspflichtigen Google Dienste. Der GMail-Account war hauptsächliche Newsletter-Grab, Googles Geisterstadt+ hatte ich bereits vor einigen Tagen verlassen, da nach einer anfänglichen Neugier der Mehrwert eines zusätzlichen SocialMedia Accounts schnell verpufft war.

Google bietet alles in allem gute Produkte an, doch wen man mal anfängt sich das Google Dashboard genauer anzusehen, dann findet man viele Daten und Altlasten. Google hat ohne Zweifel bereits heute jede Menge personenbezogene Daten über mich. Aber will ich, dass Google all diese Daten, die teilweise bis 5-6 Jahre alt sind, zu einem Profil verknüpft und anhand dieser Daten Werbung und Suchergebnisse personalisiert? Gerade die mit Google+ eingeführte personalisierte Suche bietet dabei das Potential die Informationsfreiheit des Nutzers einzuschränken, wenn dies in einiger Zeit mal anhand des eigenen Profils erfolgen könnte… eine (für mich) beunruhigende Entwicklung.

Das große Problem bei der künftigen Datenhandhabe, bei der eh schwer überschaubaren Datenerhebung wird es wohl künftig noch viel schwieriger (etwa durch das Löschen von Altdaten) die Personalisierung zu beeinflussen oder gar abzuschalten. Das ist allerdings Voraussetzung dafür, dass ich als Nutzer, Herr meiner personenbezogenen Daten bleibe. Ich muss die Entscheidungsfreiheit haben, welche personenbezogenen Daten von mir, von wem, zu welchem Zweck und wie lange verwendet werden. Um Herr seiner Daten  zu bleiben, sollte man sich zudem nicht in die (unfreiwillige) Abhängigkeit eines übermächtigen Diensteanbieters begeben. Googles Dienste sind gut, aber sie sind nicht unersetzbar. Die Entscheidung war daher schnell getroffen.

Ein Leben ohne Google? Bislang fühlt es sich gut an.

Das große Thema des Jahres war allerdings der Streit zwischen Facebook und dem schleswig-holsteinischen Datenschutzbeauftragten Weichert. Nach Auffassung des Datenschützers ist der Einsatz von Facebook Seiten und des Like-Buttons datenschutzrechtlich unzulässig, da hier bereits mit der IP-Adresse personenbezogene Daten in unzulässiger Weise erhoben und verarbeitet würden. Weichert bringt damit die alte Diskussion über den Personenbezug von IP-Adressen wieder in volle Fahrt. Aber auch die Frage der Verantwortlichkeit bei der Erhebung von Daten über iFrames wird dabei neu thematisiert.

Beide Fälle haben verdeutlicht, dass es nicht darum geht, komplexe technische Sachverhalte datenschutzgerecht abzubilden oder lange bestehende Rechtsfragen gerichtlich zu klären, sondern über medienwirksame Aktionen eigene Rechtsansichten durchzusetzen. Ob dies auf Dauer erfolgreich sein wird, bleibt abzuwarten. Mit dem Ergebnis von Google Analytics vor Augen, sollte man jedoch nicht allzu viel Klarheit im Datenschutzrecht erwarten.

Währenddessen schreiten technische Entwicklung und Nutzergewohnheiten unbeirrt fort, ohne dem Anschein nach große Rücksicht auf Datenschutz zu nehmen. Insbesondere im Bereich der Smartphones nehmen die Datensammlungen von Geräteherstellern, Netzprovidern und App-Anbietern drastisch zu. Beispielhaft wurde hier etwa die Datensammlung des beliebten Messengers Whats App analysiert. Aber weitere Dienste sind auf dem Weg und bieten hohes Konfliktpotential mit dem Datenschutz. Der große Hype seit Einführung des iPhone 4S sind ganz klar Spracherkennung und -steuerung. Apple hat mit Siri eindrucksvoll gezeigt, wie mächtig eine sprachliche Steuerung von Geräten sein kann und auf der CES stellen weitere Hersteller ähnliche Steuerungen vor, egal ob Smartphone, Computer oder TV.  Was ist an Sprachsteuerung datenschutzrechtlich problematisch? In vielen Fällen, erfolgt die Analyse des Sprachbefehls nicht auf dem jeweiligen Gerät sondern in mächtigen Rechenzentren, wo die gesprochenen Befehle zudem gespeichert werden.

Die Sprachsteuerung scheint dabei allerdings nur ein erster Schritt bei der “Vermenschlichung” und persönlichen Bindung von technischen Geräten zu sein. Gesichtserkennung und umfangreiche Profilbildung, mit denen Dienste den Nutzer unabhängig vom genutzten Gerät erkennen, nehmen am Horizont bereits Anlauf. Die Datenschutz relevanten Entwicklungen nehmen daher rasant zu. Die Diskussion über die Entwicklung des Datenschutzes wird dabei dem Anschein nach zunehmends radikaler. Auf der einen Seite scheinen Nutzer bereit zu sein, mehr Daten von sich Preis zu geben um die neuartigen Dienste, die auch eine Erleichterung des Alltags sein können, zu nutzen. Auf der anderen Seite wird mit einem veralterten Datenschutz argumentiert, der letztlich zu einem Verbot solcher Entwicklungen führt.

Datenschützer, Bürger und Politiker müssen sich offen den Entwicklungen stellen und hinterfragen ob Datenschutz als Verbotsgesetz noch zeitgemäß ist, oder ob damit mittlerweile nicht eine Bevormundung der Bürger erfolgt und die geschützte persönliche Handlungsfreiheit nicht bereits unzulässig eingeschränkt wird.

Unter den Fragen findet man den Einwand, dass die kritisierte Einbindung des Like-Buttons, nicht nur diesen betrifft sondern eine Reihe von Diensten (etwa Youtube).  Die Antwort von Herrn Weichert: Die in diesen Fällen verwendete iFrames Technologie stelle ein Fall der Auftragsdatenverarbeitung gemäß § 11 BDSG dar.

Diese Auffassung ist meines Erachtens nicht nur gewagt, sondern auch nicht mit dem rechtlichen Gedanken der Auftragsdatenverarbeitung vereinbar. Warum?

Zunächst muss man sich klar machen, was ein iFrame überhaupt ist? Letztlich handelt es sich um eine Weiterentwicklung der seit den Anfangstagen des Internets bekannten (und rechtlich viel diskutierten) Frame-Technolgie. Der Einzige Unterschied besteht darin, dass der fremde Seiteninhalt nicht als Teil einer Tabelle geladen wird, sondern als Objekt. Vergleichbar mit einem Bild. Darüberhinaus besteht die Möglichkeit ganz präzise bestimmte Inhalte (statt ganze Webseiten) einzubinden. Insoweit ist der iFrame kein “Novum” sondern kann auch im Hinblick auf die juristische Bewertung, als Fortentwicklung von Frames (mit allen Vor- und Nachteilen) gesehen werden.

Was bedeutet das für die datenschutzrechtliche Beurteilung? Frames standen aus juristischer Sicht insbesondere wegen der Zueigenmachung fremder Inhalte in der Diskussion. Datenschutzrecht spielte dabei keine oder nur eine äußerst untergeordnete Rolle. Eine Auftragsdatenverarbeitung findet jedoch bei einem klassischen Frame nicht statt, allein weil im Zweifel der Betreiber der per Frame eingebundenen Webseite davon keine Kenntnis hat und damit auch keine Daten im “Auftrag” verarbeitet. Das mag bei Social Plugins etwas anders sein, da diese Webseitenbetreibern gerade zum Zwecke der Einbindung angeboten werden.

Eine Auftragsverarbeitung findet dennoch nicht statt, da die Grundvoraussetzung der Auftragsdatenverarbeitung nicht gegeben ist. Damit eine Auftragsdatenverarbeitung vorliegt, muss der Auftragsdatenverarbeiter die personenbezogenen im Auftrag und auf Weisung des Auftraggebers verarbeiten. Der Auftragnehmer hat nur eine Hilfs- und Unterstützungsfunktion und ist bei der Verarbeitung von den Vorgaben des Auftraggebers abhängig  (So etwa Wedde in Däubler/Klebe/Wedde/Weichert,(!) Kommentar zum BDSG, § 11, Rn. 5). Anders gesagt, die Auftragsdatenverarbeitung scheidet zwangsläufig aus, sobald die verarbeitende Stelle ein eigenes Interesse an der Verarbeitung und diese (Weiter-) Verarbeitung auch eigenständig durchführt.

Gerade dies ist jedoch bei den Social Plugins der Fall. Weder Facebook noch YouTube verarbeiten personenbezogene Daten streng im Auftrag des Webseitenbetreibers und schon gar nicht als Hilfs- oder Unterstützungsfunktion. Im Gegenteil. Sie verarbeiten diese im eigenen Interesse und ohne jeglichen Einfluss des Webseitenbetreibers. Dieser mag zwar “Zweckveranlasser” sein, da dieser Begriff dem Datenschutzrecht in seiner aktuellen Gestaltung fremd ist, macht dies den Webseitenbetreiber nicht automatisch zum Auftraggeber einer Auftragsdatenverarbeitung.

Eine Auftragsdatenverarbeitung wird daher beim Einsatz von iFrames regelmäßig ausscheiden. Nur in Einzelfällen wird möglicherweise eine Auftragsdatenverabeitung vorliegen.

Update: Henning Tillmann zeigt anschaulich, dass es sich hier nur um alten Wein in neuen Schläuchen handelt.

Der erste Fachanwaltstag hielt für die Teilnehmer einen bunten Strauß von Vorträgen parat. Von den rechtlichen Herausforderungen im Social Media Marketing über Sicherheitslücken in Embedded Systems zu komplexen Themen zu IT-Projekten mit dem Controlling von IT-Projekten und den besonderen Anforderungen an Service Level in der Cloud. Aber auch dogmatischere Themen, wie die Pfändung von Domains oder Erschöpfung des Verbreitungsrechts wurden besprochen.

Weder die Veranstaltung an sich, noch die Referenten verstrickten sich dabei in rein dogmatische Fragestellungen oder netz- und rechtspolitische Fallstricke. Vielmehr wurden die Probleme auf ihre Kernbereiche herunter gebrochen und deren Auswirkungen und mögliche Lösungsansätze für die Praxis dargestellt. Etwas kurz kamen die Diskussionen über die Probleme. Ein Grund mag der straffe Zeitplan der Veranstaltung gewesen sein, andererseits sicherlich auch die übliche Zurückhaltung bei solchen Veranstaltungen. ;)

Alles in allem war der erste Münchener Fachanwaltstag IT-Recht eine sehr gelungene Veranstaltung, die mit ihrer Ausrichtung auf den Alltag von IT-Rechtlern in Wirtschaftskanzleien und Unternehmen einen Fokus genommen hat, den andere IT-rechtliche Fortbildungsveranstaltungen nicht in diesem Maße aufweisen. In diesem Sinne, ein herzlichen Dank an die Organisatoren und ich freue mich auf den zweiten Münchener Fachanwaltstag IT-Recht.

Datenschutzirrsinn bezeichnet eine Maßnahme, die unter der Maßgabe eines vermeintlichen Datenschutzes und/oder mit Zustimmung einer Aufsichtsbehörde erfolgt,  ohne dabei praktikabel zu sein und den Anforderungen des Datenschutzrechts zu genügen.

Ein gutes Beispiel ist die gestern bekannt gewordene “Lösung” im Streit um Google Analytics. Wie gestern schon geschrieben ist das Einlenken des hamburgischen Datenschutzbeauftragten zu begrüßen, doch nach der ersten Freude und einem genauen Blick in die Vorgaben, reibt man sich verwundert die Augen. Die “Lösung” wirft mehr datenschutzrechtliche Fragen auf, als dass sie sie lösen würde. Hier ein paar Punkte, warum die vorgeschlagene Lösung als Datenschutzirrsinn bezeichnet werden kann:

• Zunächst verwundert, dass der Landesdatenschutzbeauftragte die Browser-AddOn Lösung für datenschutzkonform hält, wenn 90% aller Desktop Browser und kein Mobiler Browser davon erfasst sind. Auch wenn eine große Mehrheit der Internetnutzer damit die Möglichkeit hat, von der Profilbildung nach § 15 Abs. 3 TMG zu widersprechen, so ist sie doch nicht jedem möglich. Hier erfolgt mit Zustimmung der Aufsichtsbehörde eine Aufweichung der Anforderungen. Es bleibt abzuwarten, ob wirklich alle Aufsichtsbehörden dem folgen und ob dies einer gerichtlichen Prüfung stand halten würde.

• Nach Aussage von Google und dem Landesdatenschutzbeauftragten wird bei der IP-Adresse  ”das letzte Oktett der IP-Adresse vor jeglicher Speicherung gelöscht (…), so dass darüber keine Identifizierung des Nutzers mehr möglich ist.”  Das ist, der Definition aus § 3 Abs. 6 BDSG folgend, eine Anonymisierung. Mit erfolgter Anonymisierung ist ein Personenbezug nicht mehr herstellbar und daher keine datenschutzrechtliche Zulässigkeit für die weitere Verarbeitung erforderlich. Es verwundert, warum dann allerdings gleichzeitig eine Vereinbarung über die Auftragsdatenverarbeitung mit Google abschlossen werden soll. Einzig einleuchtende Begründung hierfür, wäre die Tatsache, dass die Anonymisierung nicht auf der jeweiligen Webseite direkt erfolgt, sondern nach Übermittlung an Google aber bevor die anonymisierte IP-Adresse für Google Analytics verarbeitet wird. Schaut man in die Mustervereinbarung von Google, erfährt man überrascht, dass sich diese nicht nur auf den Anonymisierungsvorgang bezieht sondern die Analyse durch Google Analytics insgesamt. Da “Kundendaten” neben der IP-Adresse auch Cookie-Informationen enthält, stellt sich die Frage, welchen Personenbezug durch diese Cookies hergestellt werden kann und warum, in Abweichung der IP-Adresse, hier keine Anonymisierung vor der Erhebung, Verarbeitung und Nutzung erforderlich sein soll.

• Am überraschensten erscheint jedoch, dass die Mustervereinbarung die Zustimmung der Aufsichtsbehörde erhalten hat, da sie wohl den Anforderungen aus § 11 Abs. 2 BDSG nicht gerecht wird. So vermisst man Angaben über Dauer der Auftragsdatenverarbeitung und die Art der verarbeiteten Daten ist nur vage umschrieben und führt nur “insbesondere” konkrete Beispiele auf. Auch die Anforderungen an die Kontrollrechte entsprechen nicht der bisherigen Auffassung und der Intention des Gesetzgebers. Es bleibt daher abzuwarten, ob sich diese Erleichterung der Kontrollrechte wirklich durchsetzt.

• Arg verwunderlich ist auch die Einschränkung der Einzelweisungen durch den Auftraggeber. Diese kann der Auftraggeber nur erteilen, wenn er die zur Durchführung von Google veranschlagten Kosten begleicht. Dadurch, dass der Auftragnehmer die Kosten für die Durchführung einer Weisung des Auftragnehmers frei bestimmen kann, wird letztlich die Weisungsgebundenheit ausgehebelt und der Sinn der Auftragsdatenverarbeitung ad absurdum geführt. Es ist erstaunlich, dass dies die Zustimmung des Landesdatenschutzbeauftragten gefunden hat.

Was war der Vorwurf und wie ist er nun gelöst worden?

Google Analytics wurden drei Dinge vorgeworfen: Einerseits IP-Adressen ohne die nach Ansicht der Aufsichtsbehörden erforderlichen Einwilligung in die USA zu übermitteln. Andererseits war der Vorwurf, Google würde Profile im Sinne von § 15 Abs. 3 TMG erstellen ohne eine ausreichende Widerrufsmöglichkeit zu bieten. Schließlich sei Google Analytics ein klassischer Fall der Auftragsdatenverarbeitung der den Anforderungen des § 11 BDSG nicht genüge.

Bereits vor einigen Monaten hatte Google nachgebessert und ein Opt-Out Plugin sowie eine Anonymisierungsmöglichkeit vorgestellt. Beide waren jedoch weiterhin als unzureichend angesehen worden, da einerseits nicht alle Browser erfasst wurden und die IP-Adressen erst nach Übermittlung in die USA anonymisiert wurden.

Nun hat Google anscheinend drei Dinge geändert:

1. Google bietet nun für alle gängigen Browser AddOns an
2. Die Daten werden in Europa anonymisiert
3. Google schließt mit Kunden eine schriftliche Vereinbarung über die Auftragsdatenverarbeitung nach § 11 BDSG

Das klingt alles schön und gut. Der reinen Lehre folgend wid man sich jedenfalls hinsichtlich der ersten Lösung verwundert die Augen reiben. Sowohl Google als auch der Landesdatenschutzbeauftragte geben zu, dass alle gängigen Desktop-Browser eine Opt-Out Lösung bieten (IE, Firefox, Chrome, Safari und Opera). Da weder Spartenbrowser noch Smartphones und TabletPCs hiervon erfasst sind, ist jedenfalls mit solchen Geräten ein Widerspruch nach § 15 Abs. 3 TMG weiterhin nicht möglich. Erstaunlich, dass dies jedoch hier als vernachlässigbar angesehen wird.

Die Vereinbarung zur Auftragsdatenverarbeitung ist zudem ein noch nie dagewesenes Novum. Wie Kollege Ferner schreibt, bleibt abzuwarten, ob dies eine abschreckende Hürde für Nutzer darstellt.

Update 13:40: Der Kollege Stadler hat sich bereits die Zeit genommen, die Vereinbarung zur Auftragsdatenverarbeitung genau anzuschauen und auch deren Erforderlichkeit hinterfragt. Da eine Anonymisierung allerdings erst NACH einer Übermittlung an Google (unklar bleibt ob Google Deutschland, Google Inc. oder eine andere Gesellschaft des Konzerns gemeint ist) erfolgt, ist insoweit weiterhin eine Datenschutzerklärung und wohl auch die Vereinbarung zur Auftragsdatenverarbeitung erforderlich.

Update: Einer vertieften Analyse habe ich einen gesonderten Blogpost gewidmet.

eine Massnahme oder eine Sammlung von Massnahmen, die den gefühlten Schutz von Daten verbessern ohne dabei die Daten funktional vor Ge- oder Missbrauch zu schützen.

Das halte ich nicht für “Theater” sondern reinen Populismus, dennoch ist der Begriff des “Datenschutztheaters” durchaus treffend, wenn man sich aktuelle Diskussionen um den Datenschutz ansieht. Ich würde noch ein prominentes Beispiel dazu packen: Den heise 2-Klick Button (dazu mehr in diesem Blogbeitrag). Der heise Verlag hat eine datensparsame Lösung für die Einbindung von Social Media Plugins präsentiert, die gefühlt den Schutz von Daten verbessert, das rechtliche Problem aber lediglich um einen Klick verzögert.

Die Liste der Datenschutztheater ließe sich wohl endlos fortsetzen, aber wie kommt es regelmäßig zu solch einem Datenschutztheater? Zu Beginn des Datenschutztheaters steht regelmäßig ein Verstoß gegen Datenschutzrecht. Dieser wird durch Aufsichtsbehörden oder in der Öffentlichkeit heftig kritisiert. Die Kritik der Aufsichtsbehörden erfolgt dabei regelmäßig durch Stellungnahmen auf Landes-, Bundes- oder gar EU-Ebene durch Gremien wie der Düsseldorfer Kreis oder die Art. 29 Datenschutzgruppe. Selten wird ein angeprangerter Verstoß durch eine Aufsichtsbehörde auch tatsächlich auch sanktioniert.

Schlechte Publicity sind im Datenschutz derzeit ein schärferes Schwert als Bußgelder und Untersagungsverfügung. Das führt dazu, dass Lösungen regelmäßig zwischen Wirtschaft und Aufsichtsbehörden “ausgehandelt” werden, ohne dabei zu wirklich datenschutzrechtlich sauberen Lösungen zu führen, die man als Datenschutztheater bezeichnen kann. Aus Sicht der betroffenen Unternehmen ist dies durchaus nachvollziehbar, denn gerichtliche Verfahren dauern lange und sorgen dementsprechend lange für schlechte Presse. Es gibt jedoch auch Datenschutztheater (etwa Google Analytics oder Facebook) da hat man den Eindruck, dass auch die Aufsichtsbehörden eine gerichtliche Klärung scheuen und lieber halb gare Lösungen akzeptieren, statt die eigene Rechtsauffassung durchzusetzen.

Das führt jedoch dazu, dass gerade auf dem Bereich des Datenschutzrechts keine oder kaum belastbare Rechtsprechung existiert, welches zur Klärung der offenen Streitthemen im Datenschutz beiträgt. Es werden daher noch viele Datenschutztheater folgen.

Frage: Was ist so schlimm am Like-Button?

Thilo Weichert: Der Button tut nicht körperlich weh. Das Anclicken des Buttons löst aber Datenverarbeitungen aus, die für die Nutzenden weder transparent noch selbstbestimmt sind. Es geht um das Setzen eines Cookies, um die Profilierung mit Hilfe des Cookies bei Facebook/USA und die kommerzielle oder sonstige Nutzung dieser Profile, worüber Facebook nicht ansatzweise Informationen herausgibt. Das verstößt gegen das deutsche Telemediengesetz und gegen die europäische E-Privacy-Directive. In diesen Verstößen liegen unzweifelhaft Verletzungen des Grundrechts auf informationelle Selbstbestimmung der Betroffenen.

Es geht also um das “Klicken” des Like-Buttons, was ein Cookie setzt.  Das klang bislang noch ganz anders und würde sämtliche (für einen Datenschutzhardliner unzureichenden) 2-Klick-Lösungen überflüssig machen. Da ich die mir aufdrängende Frage schon gestellt habe, frage ich lieber: Woher kommt der Sinneswandel?