Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein

Mitte August 2011 ging das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein, das ULD, an die Öffentlichkeit mit der Mitteilung, dass die Nutzung von Facebooks Fanpages und Social-Plugins, z. B. des „Gefällt mir“-Buttons, gegen deutsches und europäisches Datenschutzrecht verstößt. Webseitenbetreiber in Schleswig-Holstein wurden aufgefordert, diese Anwendungen abzuschalten; anderenfalls könnten aufsichtsbehördliche Maßnahmen eingeleitet werden. Die Empörung über diesen Schritt war groß. Der Ministerpräsident und die IHK des Landes – beide betreiben eigene Facebook-Fanpages – setzten sich ebenso zur Wehr wie der Branchenverband „Digitale Wirtschaft Schleswig-Holstein“ (DiWiSH), der meinte, dass der Wirtschaftsstandort zwischen den Meeren geschädigt würde. Die Empörung nährt sich anscheinend von folgender Erwägung: „Was derart gut ankommt und millionenfach in Deutschland und in der Welt genutzt wird, das kann doch nicht verboten sein.“ Das ULD war anderer Meinung und mahnte eine kleine Zahl ausgewählter Webseitenbetreibern im Oktober ab, weil Fanpages und „Gefällt mir“-Buttons den Internet-Nutzenden weder eine hinreichende Information über die Datenverarbeitung noch Wahlmöglichkeiten geben, so wie dies das Telemediengesetz und das Bundesdatenschutzgesetz verlangen. Ebenso wenig rechtlich gerechtfertigt ist die tatsächlich erfolgende personenbezogene Datenverarbeitung durch Facebook in den USA, also im datenschutzfernen Drittausland.

Facebook reagierte elektrisiert. Waren vorangegangene Kontaktversuche des ULD wegen Einzelbeschwerden bis dahin folgen- und fruchtlos, so suchte das Unternehmen jetzt den Dialog mit den Datenschützern in Kiel. Inzwischen fanden zwei Gespräche, eine Ausschusssitzung im Landtag in Kiel und eine im Bundestag in Berlin statt. Diese Gespräche waren äußerst freundlich und sachlich. Was nicht erfolgte, war bisher eine Änderung des rechtswidrigen Angebotes. Was geändert werden muss, ist dem Unternehmen inzwischen hinreichend klar gemacht worden.

Die Datenschützer im Norden Deutschlands sind keine wildgewordenen Technikignoranten, sondern tun ihre Pflicht, indem sie versuchen, den Datenschutz in ihrem Zuständigkeitsbereich umzusetzen. Da Facebook in Irland und den USA direkt nicht zu erreichen sind, werden die Webseitenbetreiber in Deutschland zur Verantwortung gezogen. Nun wird behauptet, diese seien gar nicht verantwortlich. Dies sieht das ULD anders: Behörden und Untenehmen können kein rechtswidriges Internetangebot nutzen und dann geltend machen, für die Rechtswidrigkeit sei ein ausländisches Unternehmen zuständig. Auch das vorgetragene Argument, die ULD-Abmahnaktion verzerre den Wettbewerb, ist an den Haaren herbeigezogen: Wer den Wettbewerb verzerrt gegenüber den sich rechtskonform verhaltenden Webseitenanbietern sind solche, die Angebote wie das von Facebook einbinden. Das Problem von Fanpages und der Einbindung fremder Webseiten beschränkt sich nicht auf diesen Anbieter, betrifft z. B. auch Google+.

Dem ULD geht es nicht um das Drangsalieren einzelner Webseitenbetreiber, sondern um eine Klärung der – angeblich nicht eindeutigen – Rechtslage und darum, dass Datenschutz im Internet besser umgesetzt wird. Daher suchen wir auch eine gerichtliche Klärung. Als wir den Ministerpräsidenten und die IHK im Lande aufforderten, insofern mit uns das gleiche Ziel zu verfolgen, erntete das ULD – bisher – nur Körbe.

Es kann aber nicht nur darum gehen, eine gerichtliche Klärung der bestehenden Rechtslage zu erhalten, um allen Beteiligten Rechtssicherheit zu schaffen. Es muss auch darum gehen, das Datenschutzrecht, das teilweise noch aus der Vorinternetzeit stammt, auf den aktuellen technischen Stand zu bringen. Das ULD hat hierzu schon vor einem Jahr Formulierungsvorschläge gemacht. Der Bundesrat hat mit einem Beschluss einen wichtigen Beitrag geleistet. Wer sich aber weiterhin auf Tauchstation befindet, ist das zuständige Bundesinnenministerium und die Bundesregierung. Das Ministerium meint, es müsse auf Europa warten und könne auf unverbindliche Selbstverpflichtungen setzen. Dies ist unverantwortlich: Europa braucht Vorbilder und Zeit. Selbstverpflichtungen der Wirtschaft können gesetzliche Regelungen nicht ersetzen.

Die zu regelnden Sachverhalte sowie die möglichen Lösungen liegen auf dem Tisch. Das Einwilligungserfordernis bei Social Communities lässt sich mit „Privacy by Default“ umsetzen, also mit datenschutzfreundlichen Grundeinstellungen, umfassender Information und einfachen Wahlmöglichkeiten. Die örtliche Zuständigkeit muss sich daran orientieren, wo Anbieter auf dem Markt agieren. Die datenschutzrechtliche Verantwortlichkeit muss daran gemessen werden, wer faktische Einflussmöglichkeiten hat. Die materiellrechtlichen Regelungen müssen gewährleisten, dass Datenschutz einerseits und Meinungsäußerungs- und Informationsfreiheit gewahrt bleiben. Hinzu kommen viele Einzelfragen, von der Gesichtserkennung bis zum Auslesen von Adressbüchern, von der Sicherung individueller Verantwortlichkeit bis zur Sicherstellung von Anonymität und Pseudonymität.

Die Auseinandersetzung um den Datenschutz im Internet hat eben erst richtig begonnen. Daher gibt es keine Alternative dazu, dass das ULD seiner Aufgabe weiterhin nachkommt, etwa weil ihm der „Gefällt mir“-Button datenschutzrechtlich nicht gefällt.

Dr. Thilo Weichert ist Leiter des Unabhängigen Landeszentrums für Datenschutz Schleswig-Holstein