Social-Plug-ins und Da­ten­schutz: Tipps zur Rechts­la­ge

Mit der wach­sen­den Po­pu­la­ri­tät sozialer Netzwerke erfreuen sich auch Social-Plug-ins für Facebook, Twitter, Instagram und andere Platt­for­men großer Be­liebt­heit. Diese auf Websites ein­ge­bun­de­nen Module er­mög­li­chen es Nutzern, In­ter­net­an­ge­bo­te per Klick auf Social-Network-Profile zu verlinken und dort wei­ter­zu­emp­feh­len – etwa in Form von Likes, Shares, Pins oder Tweets. Solche prak­ti­schen Er­wei­te­run­gen, die die Reich­wei­te von Websites durchaus erhöhen können, sollten ihre Betreiber jedoch mit Bedacht nutzen – denn Social Plug-ins sind in puncto Da­ten­schutz ein strit­ti­ges Thema. Das zeigt sich deutlich an der aktuellen Rechts­la­ge. Erfahren Sie im Folgenden, womit Sie sich als Website-Betreiber vor dem Einsatz von Social-Plug-ins unbedingt aus­ein­an­der­set­zen sollten.

Die Rechts­la­ge im deutschen Raum zum Thema Social-Plug-ins ist derzeit zwar noch nicht ab­schlie­ßend geregelt, al­ler­dings haben neue landes- und EU-weite Gesetze sowie Ge­richts­ur­tei­le in der jüngeren Ver­gan­gen­heit zum Umdenken bei der Nutzung von Social-Media-Buttons geführt. Rechts­exper­ten raten deshalb sowohl privaten als auch kom­mer­zi­el­len Website-Be­trei­bern, verstärkt Vor­sor­ge­maß­nah­men zu treffen, um sich vor Be­schwer­den und Ab­mah­nun­gen wegen Da­ten­schutz­män­geln zu schützen: Denn in den meisten Fällen steht hier­zu­lan­de der Da­ten­schutz von Nutzern über kom­mer­zi­el­len Ein­zel­in­ter­es­sen.

Mit dem In­kraft­tre­ten des „Gesetzes zur Ver­bes­se­rung der zi­vil­recht­li­chen Durch­set­zung von ver­brau­cher­schüt­zen­den Vor­schrif­ten des Da­ten­schutz­rechts“ am 24.Februar 2016 hat sich die Rechts­la­ge in Deutsch­land geändert. Es erklärt den Da­ten­schutz in Deutsch­land offiziell zum Ver­brau­cher­schutz­recht. Da auch Social-Plug-ins den Da­ten­schutz von Nutzern betreffen, sind Websites mit Social-Media-Buttons in­zwi­schen ins Fa­den­kreuz zahl­rei­cher Anwälte geraten. Denn im Zuge des neuen Gesetzes sind un­voll­stän­di­ge oder feh­ler­haf­te Da­ten­schutz­er­klä­run­gen im Internet ab­mahn­fä­hig geworden: Wer per­so­nen­be­zo­ge­ne Daten von Ver­brau­chern online erfasst und zu Werbe-, Pro­fi­ler­stel­lungs- oder Han­dels­zwe­cken wei­ter­ver­ar­bei­tet, muss seine Nutzer vorab voll­um­fäng­lich darüber aufklären. Ist dies nicht der Fall, kann er mit ent­spre­chen­dem Bußgeld abgemahnt und zur Un­ter­las­sung ver­pflich­tet werden. Diese Regelung betrifft besonders den Da­ten­schutz im Bereich E-Commerce bzw. bei On­line­shops, wo de­zi­dier­te Ver­brau­cher­infor­ma­tio­nen wie aus­führ­li­che AGBs oder Wi­der­rufs­be­leh­run­gen ohnehin Pflicht sind. Daten mit Per­so­nen­be­zug dürfen aber auch auf Websites ohne On­line­shop nur dann erhoben werden, wenn sie zu einem vorher klar fest­ge­leg­ten und recht­mä­ßi­gen Zweck (etwa der Erfüllung eines Ver­trags­ver­hält­nis­ses oder zur not­wen­di­gen Me­di­en­nut­zung) erfasst werden, also eine ein­deu­ti­ge Zweck­bin­dung haben. Damit diese Erhebung rechtens ist, muss ihr der Nutzer nach vor­he­ri­ger Er­läu­te­rung über Art und Umfang der Da­ten­nut­zung explizit zustimmen. Ein Beispiel hierfür ist etwa die Zu­stim­mung von Nutzern eines News­let­ter-Abon­ne­ments via Double-Opt-in-Verfahren. Dabei bestätigt der Nutzer durch Klick auf einen ihm zu­ge­sand­ten Link, dass er in die Ver­ar­bei­tung seiner Daten ein­wil­ligt. Existiert auf einer Website keine ent­spre­chen­de Da­ten­schutz­er­klä­rung über die Ver­wen­dung solcher Nut­zer­da­ten, ist der Website-Betreiber ju­ris­tisch an­greif­bar.

Die Ein­bin­dung von Social-Plug-ins, wie den so­ge­nann­ten „Like-Buttons“ („Gefällt-mir-Knöpfen“) von Facebook, ist in Deutsch­land oft pro­ble­ma­tisch. Da Betreiber von Websites mit Like-Button all­ge­mei­nen Da­ten­schutz-An­for­de­run­gen ebenfalls genügen müssen, ergibt sich in diesem Fall ein zumindest dis­kus­si­ons­wür­di­ges Problem, das sich anhand des Social-Plug-ins von Facebook il­lus­trie­ren lässt: Nutzer, die Webseiten aufrufen, über­mit­teln Anbietern allein dadurch bereits Daten – wie etwa Brow­ser­na­men, prä­fe­rier­te Sprache und die IP-Adresse ihres Endgeräts. Diese mittels so­ge­nann­ter „Cookies“ ge­spei­cher­ten Daten können mit Zu­stim­mung des Nutzers zu Analyse- und Mar­ke­ting­zwe­cken für das Re­tar­ge­ting verwendet werden. Sofern User dies nicht aus­drück­lich über ihre Ein­stel­lungs-Optionen blo­ckie­ren, schickt der eigene Browser bereits vor­han­de­ne Cookies zur be­tref­fen­den Domain au­to­ma­tisch mit. Über die Zei­chen­ket­ten eines solchen Cookies lassen sich einzelne User zuordnen. Da­ten­schüt­zer stehen dem ins­be­son­de­re deswegen kritisch gegenüber, weil der jeweilige Dienst solche In­for­ma­tio­nen mit anderen bereits über den User ge­spei­cher­ten Daten zu­sam­men­füh­ren kann. Mithilfe dieser schon bekannten Daten kann er über Social-Plug-ins den User also relativ genau iden­ti­fi­zie­ren. Ist man dazu noch in ein soziales Netzwerk wie Facebook ein­ge­loggt (oder hat dort einen Account), lässt sich nach dem Öffnen einer Seite via Gefällt-mir-Button her­aus­fin­den, welche Seite gerade besucht wird. Der Like-Button gefährdet den Da­ten­schutz also insofern, als hierdurch per­so­nen­be­zo­ge­ne Daten ohne den Zwi­schen­schritt einer of­fi­zi­el­len Zu­stim­mung aus­ge­wer­tet werden können. Was aus Sicht des all­ge­mei­nen Da­ten­schut­zes be­grü­ßens­wert ist, hat jedoch oft negative Folgen für Anbieter von Web­in­hal­ten. Bereits im Jahr 2011 kam es aufgrund des Social-Plug-ins von Facebook zur ersten da­ten­schutz­recht­li­chen Abmahnung eines Un­ter­neh­mens, das den Like-Button offenbar ohne größere Bedenken in ihre Website ein­ge­bet­tet hatte. In einem Urteil vom 9. März 2016 erklärte das Land­ge­richt Düs­sel­dorf die einfache Ein­bin­dung des Facebook-Like-Buttons schließ­lich für rechts­wid­rig, da die Über­tra­gung von Nut­zer­da­ten ohne explizite Zu­stim­mung gegen deutsches Recht verstoße. Der Hinweis innerhalb der Da­ten­schutz­er­klä­rung allein reicht also hier zum Schutz nicht aus. Vielmehr müssten Ver­brau­cher in jedem Fall vorab über Umfang und Art der Daten in­for­miert werden, die bei der Nutzung von Social-Plug-ins über­tra­gen würden. An­dern­falls wi­der­sprä­che die Nutzung von Social-Media-Buttons dem Da­ten­schutz.

Da Social-Plug-ins in Ver­bin­dung mit Da­ten­schutz-Re­ge­lun­gen erst seit jüngerer Zeit öf­fent­li­ches Thema sind, kann sich die dies­be­züg­li­che Rechts­la­ge schnell ändern. Es gibt weder einen hun­dert­pro­zen­tig sicheren Schutz gegen Ab­mah­nun­gen noch kann die Nutzung von Social-Media-Buttons generell als Verstoß be­trach­tet werden – es kommt eben auf die Da­ten­schutz­be­din­gun­gen an. Für Sei­ten­be­trei­ber gibt es derzeit 3 sinnvolle Mög­lich­kei­ten, sich besser ab­zu­si­chern:

• Verzicht auf Social-Plug-ins: Wenn Sie ganz sicher gehen möchten, ver­zich­ten Sie einfach auf die Nutzung von Social-Media-Buttons. Dann müssen Sie al­ler­dings in Kauf nehmen, dass Ihre Website weniger Reich­wei­te durch Di­rekt­ver­lin­kung mit sozialen Netz­wer­ken generiert.

• 2-Klick-Lösung: Um we­nigs­tens zu vermeiden, dass schon vor dem ersten Klick auf Sharing-Buttons Nut­zer­da­ten über­tra­gen werden, sollten Sie auf die Original-Share-Buttons ver­zich­ten. Er­satz­wei­se können Sie ein Plug-ins zwi­schen­schal­ten, bei dem Nutzer erst durch erneuten Klick die Zu­stim­mung zum Sammeln ihrer Nut­zer­da­ten geben. Diese Option ist jedoch nur eine Teil­si­cher­heit, da sie die grund­sätz­li­che Da­ten­samm­lung nicht ver­hin­dert, sondern lediglich um einen Klick verzögert. Manche Experten sehen hier trotzdem noch Rest­ri­si­ken hin­sicht­lich der Da­ten­schutz­re­ge­lun­gen.

• Si­cher­heits-Plug-in: Falls Sie nicht gänzlich auf Social-Media-Buttons ver­zich­ten wollen, können Sie auch ein Plug-in zwi­schen­schal­ten, das ein direktes und um­fas­sen­des Daten-Tracking durch Social Networks ver­hin­dert. Das von heise in­iti­ier­te Plug-in „Shariff“ ersetzt bei­spiels­wei­se den Social-Media-Button un­auf­fäl­lig durch einem sta­ti­schen Link, der die Nut­zer­da­ten erst dann freigibt, wenn der Button aktiv durch den Nutzer geklickt wird.

Wie ri­si­ko­freu­dig man als Betreiber in diesem Punkt ist, bleibt jedem selbst über­las­sen. Es empfiehlt sich aber, die ju­ris­ti­sche Ent­wick­lung in Deutsch­land auf­merk­sam zu verfolgen.

Die Rechts­la­ge zum Thema Da­ten­schutz, und somit auch zu Social-Plug-ins wird im All­ge­mei­nen durch nationale Gesetze bestimmt. So fällt die Recht­spre­chung je nach Land un­ter­schied­lich aus. In Deutsch­land, Ös­ter­reich und der Schweiz gelten weit­ge­hend ähnliche und ver­gleichs­wei­se strenge Da­ten­schutz­re­ge­lun­gen. Eine Da­ten­über­mitt­lung ins Nicht-EU-Ausland ist laut Deutschem Bun­des­da­ten­schutz­ge­setz (BDSG) nur dann erlaubt, wenn das jeweilige „Drittland“ einen ver­gleich­ba­ren Da­ten­schutz ge­währ­leis­tet oder eine Aus­nah­me­re­ge­lung für die jeweilige Über­mitt­lung vorliegt. Als unsichere Länder werden bislang zum Beispiel Japan, Indien und China ein­ge­stuft. Die USA gelten, im Gegensatz zu Deutsch­land, in puncto Da­ten­schutz als besonders liberal, da es dort kein bran­chen­über­grei­fen­des Da­ten­schutz­ge­setz gibt. Bislang soll das so­ge­nann­te EU-US-Privacy Shield-Abkommen einen rechts­si­che­ren Da­ten­trans­fer zwischen den USA und Europa ga­ran­tie­ren – hierbei obliegt es in­ter­na­tio­nal agie­ren­den Un­ter­neh­men, die sich zu dem Abkommen ver­pflich­ten, bestimmte Min­dest­stan­dards ein­zu­hal­ten. Al­ler­dings ist unklar, wie lange die geltende Ver­ein­ba­rung im Rahmen der po­li­ti­schen Ent­wick­lun­gen in den USA noch bestehen bleibt. Manche Experten und Bür­ger­recht­ler zweifeln die Rechts­si­cher­heit des Ver­fah­rens an – vor allem in Bezug auf die da­ten­schutz­recht­li­che „Pri­vi­le­gie­rung“ von Nicht-US-Bürgern. Beim Thema Hosting wird es jedoch etwas kom­pli­zier­ter: Im All­ge­mei­nen lässt sich sagen, dass nur dann Da­ten­schutz nach deutschem Recht ga­ran­tiert werden kann, wenn der jeweilige Hosting-Provider mit seinem Re­chen­zen­trum auch in Deutsch­land sitzt – dort un­ter­liegt der Da­ten­schutz grund­sätz­lich deutschem Recht. Sind Server, die per­sön­li­che Daten ver­ar­bei­ten, in aus­län­di­sche Re­chen­zen­tren aus­ge­la­gert (wie etwa bei manchen Cloud-Anbietern), un­ter­lie­gen diese prin­zi­pi­ell den je­wei­li­gen Lan­des­ge­set­zen. Daher sollten sich Nutzer vorab in­for­mie­ren, ob über ihren Hoster Da­ten­schutz nach deutschem bzw. EU-Recht ge­währ­leis­tet wird. Ansonsten bleibt durchaus ein Rest­ri­si­ko bestehen. Im März 2017 haben sich al­ler­dings mehrere Service-Provider über die Or­ga­ni­sa­ti­on CISPE (Cloud In­fra­struc­tu­re Services Providers in Europe) zu einem al­ter­na­ti­ven „Code of Conduct“ ver­pflich­tet, die Kunden von Cloud-Services die Option bieten, Daten nur in EU-/EWR –Ländern zu speichern und ver­ar­bei­ten zu lassen.

Im Dezember 2015 erfolgte die Ver­ab­schie­dung der EU-Da­ten­schutz-Grund­ver­ord­nung (EU-DSGVO) als Ersatz der vor­an­ge­gan­ge­nen EU-Da­ten­schutz­richt­li­nie 95/46/EG. Die neue Da­ten­schutz-Grund­ver­ord­nung der EU (DSGVO) sieht vor, dass zum 25. Mai 2018 ein­heit­li­che Vor­schrif­ten für alle EU-Mit­glieds­staa­ten gelten. Unter anderem sollen hierdurch der Anspruch von Nutzern auf Trans­pa­renz der ge­sam­mel­ten Daten gestärkt und die Buß­geld­hö­he fle­xi­bi­li­siert werden. Außerdem soll eine Ein­wil­li­gung in die Ver­ar­bei­tung per­so­nen­be­zo­ge­ner Daten mit der neuen Ver­ord­nung erst ab 16 Jahren möglich sein (vorher war das Min­dest­al­ter 13 Jahre). Die Da­ten­schutz-Vorgaben sind dann auch außerhalb Europas bindend, also etwa für US-Un­ter­neh­men im eu­ro­päi­schen Markt.

Die Rechts­la­ge zu Social-Plug-ins und Da­ten­schutz ist derzeit in stetiger Ent­wick­lung. Theo­re­tisch kann sich mit jedem weiteren Ge­richts­ur­teil und neuen tech­ni­schen Funk­tio­nen die Situation für Website-Betreiber ändern. Wer also in puncto Da­ten­schutz ganz si­cher­ge­hen will, sollte sich daher immer bei Experten und Fach­ma­ga­zi­nen über den ak­tu­ells­ten Stand in­for­mie­ren bzw. bei konkreten recht­li­chen Fragen Fach­an­wäl­te für IT- und Me­di­en­recht kon­sul­tie­ren. Nur so können Sie ge­währ­leis­ten, dass Ihre Website in allen Belangen den der­zei­ti­gen Auflagen gerecht wird. Fest steht, dass sich zumindest EU-weite Betreiber von Websites bald auf strengere Richt­li­ni­en ein­stel­len müssen. Daher ist es in jedem Fall geboten, die Daten der eigenen Nutzer zu jedem Zeitpunkt so gut wie möglich zu schützen