Facebook: Aktuelle Werbestrategie und der Datenschutz

Facebook scheint sich mit seiner neuen Werbestrategie in Deutschland einen ersten datenschutzrechtlichen GAU einzuhandeln. Wie in mehreren Blogs berichtet wird, nutzt Facebook offensichtlich einige Mitgliedernamen zur Schaltung von Adsense-Anzeigen, um so für die eigene PLattform zu werben. Betroffen sind zum Beispiel Jan Theofel (der mir davon berichtet hat), Ibo Evsan , Klaus Eck und Erik Hauth.

Nachdem in vielen Beiträgen bereits die datenschutzrechtlichen Bauchschmerzen geäußert werden, habe ich mich nachfolgend mit der Frage beschäftigt, ob eine solche Werbung mit Mitgliedernamen unter Zugrundelegung deutschen Datenschutzrechts zulässig sein kann.
A. Anwendbares Recht

Erste entscheidende Vorfrage ist, ob überhaupt das deutsche Datenschutzrecht zur Anwendung kommt oder eben das nicht ganz so strenge US-amerikanische System gilt. In den Nutzungsbedingungen wird zwischen den Parteien vereinbart (merkwürdigerweise die einzige Klausel in englischer Sprache), dass das Recht des Staates Delaware gelten soll.

Unter Zugrundelegung des in Deutschland geltenden Verbraucherschutzrechts bzw. § 1 Abs.5 BDSG muss man insofern allerdings zu dem Ergebnis kommen, dass die Geltung des deutschen Datenschutzrechts in dieser Form nicht abbedungen werden kann. Davon ausgehend, dass Facebook keine verantwortliche Stelle im Sinne von § 1 Abs. 5 BDSG in der Europäischen Union hat, ist also zusammenfassend von der Geltung deutschen Datenschutzrechts auszugehen.

B. Deutsches Datenschutzrecht

Im Rahmen des deutschen Datenschutzrechts gilt ein grundsätzliches Verbot mit Erlaubnisvorbehalt, das heißt, dass eine Verarbeitung personenbezogener Daten – d.h. insbesondere des Namens – grundsätzlich verboten ist, so weit nicht eine ausdrückliche Erlaubnis vorliegt. Die Verarbeitung oder Nutzung personenbezogener Daten ist nach dem einschlägigen Bundesdatenschutzgesetz (BDSG) also immer verboten, sofern nicht durch das Bundesdatenschutzgesetz oder andere Rechtsvorschriften ausdrücklich erlaubt bzw. eine hinreichende Einwilligung des Betroffenen vorliegt.

Um also die Vereinbarkeit des geschilderten Vorgehens von Facebook mit den datenschutzrechtlichen Bestimmungen zu prüfen, ist zunächst zu fragen, ob personenbezogene Daten genutzt worden sind, dann ob eine ausdrückliche Einwilligung des Betroffenen vorlag.

Mit der Veröffentlichung der Namen über Adsense und damit der Einbindung in Werbung für die eigene Plattform, liegt selbstverständlich eine Nutzung personenbezogener Daten vor. Den Aussagen auf den oben genannten Blogs zufolge, lag eine entsprechende Einwilligung der jeweiligen Person nicht vor.

Eine entsprechende Einwilligung liegt auch unter Zugrundelegung der bei der Anmeldung akzeptierten Datenschutzrichtlinien von Facebook nicht vor.

Diese lauten:

Bei Facebook geht es um Informationsaustausch mit anderen; Freunde und Leute in deinen Netzwerken; während gleichzeitig Privatsphären- Einstellungen gewährleistet sind, die den anderen Benutzern einen beschränkten Zugang zu deinen Informationen zulassen. Wir ermöglichen dir, selber über die Menge an Informationen zu entscheiden, welche du durch Facebook mit anderen Freunden und Netzwerken teilen möchtest. Unser Netzwerkaufbau und deine Privatsphären- Einstellungen ermöglichen dir, selber zu entscheiden, wer Zugang zu deinen Informationen hat. Wir geben ohne Einwilligung keine Kontaktinformationen an Dritte weiter. Die Informationen werden nur in begrenzten Umständen an Dritte weitergegeben, nämlich wenn 1) es zwingend notwendig ist, um dir eine Dienstleistung zu erweisen, 2) es rechtlich erforderlich ist, 3) wenn wir deine Erlaubnis haben.

Facebook selbst schreibt also, dass die personenbezogenen Daten nur unter ganz eng gefassten Ausnahmen an Dritte weitergeben werden. Die Veröffentlichung Im Internet ist davon also sicherlich nicht gedeckt.

Legt man deutsches Datenschutzrecht zugrunde, ist die Nutzung von Klarnamen zur Schaltung von entsprechenden Adsense-Werbeanzeigen ohne eine entsprechende Genehmigung rechtswidrig und damit unzulässig.

Auf den ersten Blick ist außerdem fraglich, ob Facebook mit dem aktuellen Ansatz den Vorgaben der Safe-Harbor Richtlinien genügt, zu denen sie sich in den Datenschutzbestimmungen ausdrücklich verpflichten. Die Safe-Harbor Richtlinien regeln den Verkehr personenbezogenere Daten zwischen der EU und den USA.

C. Fazit

Gerade weil ich ein großer Freund des Angebots von Facebook bin, verstehe ich auch unabhängig von der rechtlichen Bewertung nicht, wie man im Hause auf die Idee kommen konnte, tatsächlich mit Mitgliedernamen Adsense Werbung zu schalten. Man sollte doch meinen, dass eine solche Aktion zunächst einmal mit einem Juristen besprochen wird, bei dem – vor allem wenn er das Internetgeschäft kennt – sofort die (datenschutzrechtlichen) Alarmglocken schrillen sollten. Entweder man hat überhaupt keinen Juristen bemüht oder eben das ganze aus Amerika heraus veranlasst, ohne über die datenschutzrechtlichen Auswirkungen in den einzelnen Ländern nachzudenken.

Während ich vor einiger Zeit manche der datenschutzrechtlichen Regularien noch für übertrieben gehalten habe, wird im Zusammenhang mit den Möglichkeiten des Internets unmittelbar klar, wir sehr wir datenschutzrechtliche Grenzen zum Schutz des Individuums und des Rechts auf informationelle Selbstbestimmung brauchen. Auch hier bewahrheitet sich wieder einmal meine Prognose, dass das Thema Datenschutz in 2008 ein wichtiges sein wird.

Gerade Facebook, die sich den sensiblen Umgang mit personenbezogenen Daten auf die Fahnen schreiben, darf so ein Faux-Pas nicht passieren. Einerseits kann der User seitenintern entscheiden, inwieweit man seine Profilinformationen an andere Mitglieder freigibt, andererseits veröffentlicht dann aber das Unternehmen selbst die realen Namen mancher Mitglieder ohne entsprechende Zustimmung im Internet und wirbt damit für die eigene Plattform.

PS: Gerade sehe ich noch, dass die deutsche Seite von Facebook noch nicht einmal ein richtiges den Vorgaben des deutschen Rechts entsprechendes Impressum zu haben scheint (zumindest konnte ich keines entdecken, welches wie gefordert leicht erkennbar und unmittelbar erreichbar wäre).

Man sollte doch eigentlich wirklich davon ausgehen, dass sich solch ein Unternehmen wie Facebook auch für den interessanten deutschen Markt ständig von einem Anwalt beraten lässt, der sich gerade im Datenschutz und im Internetrecht auskennt. Der sollte dann neben der Aufklärung über deutsches Datenschautzrecht auch dringend zu einem richtigen Impressum raten…

NACHTRAG 22.04.08:

In manchen Blogposts wird vermutet, dass die aktuelle Werbung mit den Namen durch folgende Klausel der Nutzungsbedingungen gedeckt sei:

Mit dem Posten von Benutzerinhalt auf der Site gibst du uns sowohl die Genehmigung als auch die Anweisung, Kopien davon derart anzufertigen, wie wir es als notwendig erachten, um das Posten und Speichern des Benutzerinhalts zu erleichtern. Mit dem Posten von Benutzerinhalt auf einem beliebigen Teil der Site erteilst du dem Unternehmen automatisch eine unwiderrufliche, zeitlich unbegrenzte, nicht ausschließliche, übertragbare, vollständig bezahlte, weltweite Lizenz (mit dem Recht zur Vergabe von Unterlizenzen) für das Verwenden, Kopieren, öffentliche Aufführen, öffentliche Darstellen, Umformatieren, Übersetzen, Anfertigen von Auszügen (vollständig oder teilweise) und Weitergeben solcher Benutzerinhalte für kommerzielle, Werbe- oder sonstige Zwecke auf oder in Verbindung mit der Site oder mit dem Marketing für die Site, für das Erstellen abgeleiteter Werke oder die Einarbeitung solcher Benutzerinhalte in andere Werke und für das Vergeben und Autorisieren von Unterlizenzen zu Vorstehendem.

Dieses Klausel meint aber nicht den Namen, sondern allein vom Benutzer erstellte und eingestellte Inhalte (Forenbeiträge, Bilder etc.). Insofern rechtfertigen die Nutzungsbedingungen die Adsense-Werbung sicherlich nicht.

Regelungen zum Umgang mit personenbezogenen Daten finden sich vielmehr allein in den Datenschutzbestimmung. Aber auch in diesen findet sich kein hinreichender Hinweis auf die Veröffentlichung des eigenen Namens im Zusammenhang mit entsprechender Werbung.

Eine Veröffentlichung ohne die Zustimmung des Namensinhabers ist unter Zugrundelegung des deutschen Datenschutzrechts unzulässig.

Weiterführend auch

Social Media Marketing & Recht – Dos and Donts beim Werben auf Twitter, Facebook & Co
Social Media Marketing & Recht – Nutzungsbedingungen begrenzen Werbemöglichkeiten