Datenschutzkonforme Gestaltung von Social Networks

Soziale Netzwerke (Social Networks) wie StudiVZ, XING & Co geraten – teilweise selbstverschuldet – immer wieder in Konflikt mit dem Datenschutz.

Die Betreiber solcher Plattformen haben naturgemäß mit einer Vielzahl von sensiblen Daten und Informationen ihrer Nutzer zu tun. Schließlich erstellen die Nutzer auf den Netzwerken über sich freiwillig umfangreiche Persönlichkeitsprofile und offenbaren besondere Arten personenbezogener Daten. Auch auf den Foren hinterlassen diese dauerhafte Datenspuren. Im Gegensatz zu dem Businessnetzwerk XING bergen andere Social-Networks wie studiVZ, schülerVZ noch darüber hinausgehende Risiken. Nutzer hinterlassen umfangreiches (teilweise privates) Bildmaterial in Fotoalben und verzichten teilweise auf ihr Recht am eigenen Bild beim Verlinken von Fotos durch Dritte.

Die großen Zahlen registrierter Nutzer zeigen die hohe Akzeptanz dieser Social Networks. Seit Anfang diese Jahres haben die Netzwerke – nachvollziehbarerweise – verstärkt mit Monetarisierungsbemühungen begonnen, bei denen vor allem die große Zahl an Informationen über ihre Nutzer als Mehrwert und damit die Möglichkeit zielgruppengenauer Werbung angeführt wird.Soziale Netwerke und der Datenschutz

Ohne Frage bieten diese Networks nicht nur für die Nutzer, sondern auch für Werber einen besonderen Mehrwert.

Die Vergangenheit hat allerdings gezeigt, dass Nutzer nicht alles mit sich beziehungsweise vor allem ihren Daten machen lassen. Da das Datenschutzrecht durchaus Möglichkeiten bietet, solche Netzwerke auch datenschutzkonform zu betreiben und die Sensibilität für dieses Thema immer größer wird, ist Betreibern solcher Communities zu raten, auch solche datrenschutzrechtlichen Belange im Rahmen ihrer Business-Modelle zu berücksichtigen. Möglicherweise wird auch dieses Kriterium ein Faktor sein, Mitglieder zu halten beziehungsweise neue anzuziehen.

In diesem Zusammenhang hat der sogenannte „Düsseldorfer Kreis“ kürzlich einen Beschluss zur datenschutzkonformen Gestaltung sozialer Netze veröffentlicht. Bei dem „Düsseldorfer Kreis“ handelt es sich um eine informelle Vereinigung der obersten Aufsichtsbehörden, die in Deutschland die Einhaltung des Datenschutzes im nicht-öffentlichen Bereich überwachen. Bei den Arbeitstreffen, findet ein regelmässiger Austausch über bundesweit aktuelle Fragen des Datenschutzes in der Wirtschaft statt.

Die nachfolgend aufgeführten Punkte des Beschlusses zeigen ganz gut den Rahmen, an dem sich Social Networks orientieren sollten:

• Anbieter sozialer Netzwerke müssen ihre Nutzer umfassend gemäß den gesetzlichen Vorschriften über die Verarbeitung ihrer personenbezogenen Daten und ihre Wahl- und Gestaltungsmöglichkeiten unterrichten. Das betrifft auch Risiken für die Privatsphäre, die mit der Veröffentlichung von Daten in Nutzerprofilen verbunden sind. Darüber hinaus haben die Anbieter ihre Nutzer aufzuklären, wie diese mit personenbezogenen Daten Dritter zu verfahren haben.

• Die Aufsichtsbehörden weisen darauf hin, dass nach den Bestimmungen des Teleme-diengesetzes (TMG) eine Verwendung von personenbezogenen Nutzungsdaten für Werbezwecke nur zulässig ist, soweit die Betroffenen wirksam darin eingewilligt haben. Bei Werbemaßnahmen aufgrund von Profildaten müssen die Betroffenen nach den Bestimmungen des Bundesdatenschutzgesetzes (BDSG) mindestens eine Widerspruchs-möglichkeit haben. Die Aufsichtsbehörden empfehlen, dass die Anbieter die Nutzer selbst darüber entscheiden lassen, ob – und wenn ja, welche – Profil- oder Nutzungsdaten zur zielgerichteten Werbung durch den Anbieter genutzt werden.

• Die Aufsichtsbehörden erinnern weiterhin daran, dass eine Speicherung von perso-nenbezogenen Nutzungsdaten über das Ende der Verbindung hinaus ohne Einwilligung der Nutzer nur gestattet ist, soweit die Daten zu Abrechnungszwecken gegenüber dem Nutzer erforderlich sind.

• Für eine vorauseilende Speicherung von Daten über die Nutzung sozialer Netzwerke (wie auch anderer Internet-Dienste) für eventuelle zukünftige Strafverfolgung besteht keine Rechtsgrundlage. Sie wird insbesondere auch nicht durch die Regelungen zur Vorratsdatenspeicherung vorgeschrieben.

• Schließlich weisen die Aufsichtsbehörden darauf hin, dass das TMG die Anbieter dazu verpflichtet, das Handeln in sozialen Netzwerken anonym oder unter Pseudonym zu ermöglichen. Dies gilt unabhängig von der Frage, ob in Nutzer sich gegenüber dem Anbieter des sozialen Netzwerks mit seinen Echtdaten identifizieren muss.

• Die Anbieter sind verpflichtet, die erforderlichen technisch-organisatorischen Maßnahmen zur Gewährleistung der Datensicherheit zu treffen. Sie müssen insbesondere einen systematischen oder massenhaften Export oder Download von Profildaten aus dem sozialen Netzwerk verhindern.

• Bei der datenschutzfreundlichen Gestaltung von sozialen Netzwerken kommt den Standardeinstellungen – z. B. für die Verfügbarkeit von Profildaten für Dritte – eine zentrale Bedeutung zu. Die Aufsichtsbehörden fordern die Anbieter sozialer Netzwerke auf, datenschutzfreundliche Standardeinstellungen für ihre Dienste zu wählen, durch die die Privatsphäre der Nutzer möglichst umfassend geschützt wird. Diese Standardeinstellungen müssen besonders restriktiv gefasst werden, wenn sich das Portal an Kinder richtet. Der Zugriff durch Suchmaschinen darf jedenfalls nur vorgesehen werden, soweit der Nutzer ausdrücklich eingewilligt hat.

• Der Nutzer muss die Möglichkeit erhalten, sein Profil auf einfache Weise selbst zu löschen. Schließlich sollten die Anbieter sozialer Netzwerkdienste die Einführung von Verfallsdaten oder zumindest automatische Sperrungen erwägen, die von den Nutzern selbst festgelegt werden können.

Zitat: Beschluss der obersten Aufsichtsbehörde für den Datenschutz im nicht-öffentlichen Bereich am 17./18. April in Wiesbaden

Zusammenfassend sind vor allem die üblichen Grundsätze festzuhalten, nach denen man mit den Daten fast alles tun kann, sofern man eben den Betroffenen hinreichend darüber aufgeklärt hat. Diese Anforderungen orientieren sich am Recht auf informationelle Selbstbestimmung, nachdem jeder Nutzer darüber entscheiden können soll, was mit seinen personenbezogenen Daten geschieht.

Neben dieser rein rechtlichen Komponente ist meines Erachtens auch eine stärkere Medienkompetenz vonnöten. Besonders Jugendlichen sollte noch mehr bewußt gemacht werden, dass das, was sie da ins Internet stellen häufig einer Vielzahl von Menschen zugänglich ist und das Internet nicht so schnell (wenn überhaupt) vergißt.

Nachdem zwischenzeitlich eine Vielzahl vom Personalern erst einmal nach dem Bewerber „googelt“ bevor er ihn zum Bewerbungsgespräch einlädt, ist fraglich, ob all das, was viele Jugendliche heutzutage ins Internet stellen, auch dann bei der Bewerbung noch gefunden werden soll. Passend zu diesem Thema gibt es in Amerika auch schon entsprechende Kampagnen mit dem Titel „Think before you post“.

Diesbezüglich ist auch in Deutschland noch Einiges an Aufklärungsarbeit zu leisten…

Auch zu diesem Thema:

Facebook: Aktuelle Werbestrategie und der Datenschutz
Datenschutzrechtliche Beurteilung der Werbung auf den Profilseiten bei XING

NACHTRAG 3.02.2009:

In einem aktuellen Beitrag stösst Don Alphonso das Thema „Verkauf von Nutzerdaten durch Social Networks“ erneut an. Die dort aufgeworfenen Fragen zeigen deutlich, dass der Datenschutz auch in 2009 ein ganz grosses Thema ist und entsprechende Vorgaben wie die des Düsseldorfer Kreises von grosser Relevanz sind. Zu den datenschutzrechtlichen Grundsätzen vergleiche auch „Datenschutzrechtliche Beurteilung der Werbung auf den Profilseiten bei XING“.