Beschluss der obersten Datenschutz-Aufsichtsbehörden (Düsseldorfer Kreis): Facebook “Gefällt mir”-Button ohne 2-Stufen-Lösung ist rechtswidrig

Die zum sog. Düsseldorfer Kreis zusammengeschlossenen obersten Aufsichtsbehörden für den Datenschutz im nicht-öffentlichen Bereich haben am 08.12.2011 einen gemeinsamen Beschluss zum “Datenschutz in sozialen Netzwerken” gefasst. Neben zahlreichen bekannten Feststellungen verabschiedete sich der Kreis mit der folgenden kryptischen Forderung allerdings eher in eine Nebelwand: “In Deutschland ansässige Unternehmen, die durch das Einbinden von Social Plugins eines Netzwerkes auf sich aufmerksam machen wollen oder sich mit Fanpages in einem Netzwerk präsentieren, haben eine eigene Verantwortung hinsichtlich der Daten von Nutzerinnen und Nutzern ihres Angebots. Es müssen zuvor Erklärungen eingeholt werden, die eine Verarbeitung von Daten ihrer Nutzerinnen und Nutzer durch den Betreiber des sozialen Netzwerkes rechtfertigen können. Die Erklärungen sind nur dann rechtswirksam, wenn verlässliche Informationen über die dem Netzwerkbetreiber zur Verfügung gestellten Daten und den Zweck der Erhebung der Daten durch den Netzwerkbetreiber gegeben werden können.” Alles klar soweit? In dem Beschluss wurde - was nicht neu ist - unterstrichen, dass auch Anbieter, die außerhalb des Europäischen Wirtschaftsraumes ansässig sind, gemäß § 1 Abs. 5 Satz 2 BDSG dem hiesigen Datenschutzrecht unterliegen, soweit sie ihre Daten durch Rückgriff auf Rechner von Nutzerinnen und Nutzern in Deutschland erheben. Die Anwendung des BDSG könne in diesen Fällen nicht durch das schlichte Gründen einer rechtlich selbstständigen Niederlassung in einem anderen Staat des Europäischen Wirtschaftsraumes umgangen werden (§ 1 Abs. 5 Satz 1 BDSG). Diese Erklärung zielt auf Unternehmen wie Facebook und Google ab, die in diesem Jahr wiederholt in das Blickfeld der Datenschützer geraten waren. Insbesondere der Schleswig-Holsteinische Datenschützer Thilo Weichert hatte durch einen Alleingang gegen Facebook-Plugins und Facebook-Fanpages für erhebliche Unruhe gesorgt (hier, hier und hier).

Der Düsseldorfer Kreis fordert weiter:

“- Es muss zur Wahrung des Rechts auf informationelle Selbstbestimmung eine leicht zugängliche und verständliche Information darüber gegeben werden, welche Daten erhoben und für welche Zwecke verarbeitet werden. … Die Voreinstellungen des Netzwerkes müssen auf dem Einwilligungsprinzip beruhen, jedenfalls soweit nicht der Zweck der Mitgliedschaft eine Angabe von Daten zwingend voraussetzt. Eine Datenverarbeitung zunächst zu beginnen und nur eine Widerspruchsmöglichkeit in den Voreinstellungen zu ermöglichen, ist nicht gesetzmäßig.

- Es muss eine einfache Möglichkeit für Betroffene geben, ihre Ansprüche auf Auskunft, Berichtigung und Löschung von Daten geltend zu machen. Grundvoraussetzung hierfür ist die Angabe von entsprechenden Kontaktdaten an leicht auffindbarer Stelle, damit die Betroffenen wissen, wohin sie sich wenden können.

- Die Verwertung von Fotos für Zwecke der Gesichtserken…