Nutzerdaten: Irischer Datenschützer entlastet Facebook
Fast drei Monate lang hat die irische Datenschutzbehörde DPC analysiert, ob Facebook irisches und europäisches Datenschutzrecht verletzt oder nicht. Nun hat sie einen ersten Bericht über die Betriebsprüfung und die Gespräche mit Facebook vorgelegt. Die Kernaussage: Das Unternehmen hält sich an irische und europäische Richtlinien. Facebook verspricht dennoch zahlreiche Änderungen, um Nutzer besser zu informieren, was mit ihren Daten geschieht. Weitere Änderungen will das Unternehmen zumindest überdenken.
149 Seiten umfasst der vollständige Bericht(öffnet im neuen Fenster) der DPC, 77 weitere Seiten die technische Analyse(öffnet im neuen Fenster) einzelner Facebook-Funktionen. Diese Berichte sind deshalb so wichtig, weil Facebook seinen europäischen Hauptsitz in Dublin hat und sich auf irisches und europäisches Datenschutzrecht beruft.
Gary Davis, der die Untersuchung leitete, lobt zunächst die Bereitschaft von Facebook, Änderungen vorzunehmen, um die europäischen Datenschutzrichtlinien nicht nur zu erfüllen, sondern sogar "Musterlösungen" (best practice) zu bieten. Der wichtigste Satz in dem 149-Seiten-Papier aber steht auf Seite vier: "Die Empfehlungen in diesem Bericht implizieren nicht, dass das derzeitige Vorgehen von Facebook Irland nicht dem irischen Datenschutzrecht entspricht."
Grundsätzlich wollte die Behörde untersuchen,
- ob Facebook Nutzerdaten "fair" sammelt,
- ob die Nutzer verständliche Informationen darüber bekommen, wie ihre Daten verarbeitet werden,
- ob Facebook unverhältnismäßig viele Daten sammelt,
- ob die Daten sicher vorgehalten und auch wirklich gelöscht werden, wenn sie nicht mehr gebraucht werden,
- ob Facebook seinen Nutzern – mit wenigen Ausnahmen – einen Zugang zu allen persönlichen Daten gewährt.
Weiterhin überprüfte die Behörde, ob sich durch die Gesichtserkennung und das Markieren anderer Nutzer, durch den "Gefällt-mir"-Button und Apps von Drittanbietern weitere datenschutzrechtliche Probleme ergeben.
Einige dieser Punkte standen auf der Liste von Davis, weil die Initiative "Europe versus Facebook", gegründet vom Wiener Jurastudenten Max Schrems, insgesamt 22 Beschwerden bei der Behörde eingereicht hat. Schrems hatte unter anderem beklagt, dass er nach einem Antrag auf Herausgabe seiner persönlichen Daten längst nicht alles bekommen habe, was Facebook über ihn gespeichert hat.
Facebook will daran arbeiten, mehr Daten herauszugeben
Doch die Datenschutzbehörde kommt zu einem anderen Schluss als Schrems. Er und seine Mitstreiter bei "Europe versus Facebook" zeigen sich in einer ersten Reaktion(öffnet im neuen Fenster) zwar überglücklich, doch streng genommen kommt ihnen Facebook nur ein wenig entgegen. Die DPC gibt sich zum Beispiel damit zufrieden, dass Facebook daran arbeiten will, auf Anfrage der Nutzer mehr Daten herauszugeben als bisher. Zu wenig Daten aber waren es nach Ansicht der DPC offenbar nicht.
Solche Aussagen ziehen sich durch den gesamten Bericht, die DPC zeigt sich sehr liberal. So will sie Facebook nicht darüber belehren, ob Opt-in-Funktionen in den Privatsphäre-Einstellungen besser wären als die bisherige Praxis, zunächst einmal fast alles zu aktivieren, also bestenfalls ein Opt-out anzubieten. Facebook möge das einfach "überdenken".
Auch Werbeformen wie die "gesponserten Meldungen", in denen Facebook-Mitglieder neben Firmenlogos auftauchen, will die DPC nicht stoppen. Sie verlangt lediglich, dass Facebook seinen Nutzern besser erklärt, was da mit ihrem Namen und ihren Fotos passiert.
Eine ganze Reihe solcher eher kosmetischer Änderungen will Facebook in den nächsten Monaten umsetzen:
- Die Privatsphäre-Einstellungen und Datenschutzrichtlinien sollen einfacher und deutlicher sichtbar gemacht werden,
- Daten, die von ausgeloggten Nutzern sowie von Nichtmitgliedern über den "Gefällt-mir"-Button gesammelt werden, sollen nach zehn Tagen anonymisiert und nach 90 Tagen gelöscht werden; von eingeloggten Nutzern sollen solche Daten nach 90 Tagen anonymisiert werden,
- ein Hinweis, dass jemand einen Nutzer auf einem Foto markiert hat, soll auffälliger und öfter eingeblendet werden,
- der Zugang von Facebook-Mitarbeitern zu Nutzerdaten soll strenger geregelt werden,
- Profile sollen 40 Tage nach einem entsprechenden Antrag vollständig und unwiederbringlich gelöscht sein – daran arbeitet Facebook nach eigener Aussage zumindest.
Facebook zeigte sich entsprechend "erfreut, dass der Report klarstellt, dass sich Facebook an die europäischen Datenschutzprinzipien hält und dem irischen Gesetz entspricht. Selbstverständlich hebt der Bericht auch einige Bereiche hervor, in denen wir uns noch verbessern und mit Best Practices vorangehen können – aber diese Empfehlungen basieren auf bereits bestehendem Datenschutz und Regelkonformität." Facebook erklärte sich einverstanden, dass der gesamte Bericht veröffentlicht wird.
Im Juli 2012 will die Behörde untersuchen, inwieweit Facebook die versprochenen Änderungen umgesetzt hat.
Der Artikel erschien zuerst bei Zeit Online(öffnet im neuen Fenster)
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.