Datenschutzbeauftragte: Einbindungen in deutsche Websites weithin unzulässig

Schon 2009 stellten die Datenschutz-Aufsichtsbehörden klar, dass Anbieter von Internetportalen und -diensten die IP-Adresse ihrer Nutzer nicht unverkürzt speichern dürfen. In einer Entschließung vom 28./29.09.2011 zu sozialen Netzwerken machen die Datenschutzbeauftragten nun deutlich, dass Anbieter auch Dritten eine unverkürzte Speicherung von IP-Adressen nicht ermöglichen dürfen, indem sie deren Code in das eigene Portal einbinden:

Die aktuelle von Social-Plugin-Anbietern vorgesehene Funktionsweise ist unzulässig, wenn bereits durch den Besuch einer Webseite und auch ohne Klick auf beispielsweise den „Gefällt-mir“-Knopf eine Übermittlung von Nutzendendaten in die USA ausgelöst wird, auch wenn die Nutzenden gar nicht bei der entsprechenden Plattform registriert sind. […] Die Datenschutzbeauftragten des Bundes und der Länder fordern daher alle öffentlichen Stellen auf, von der Nutzung von Social-Plugins abzusehen, die den geltenden Standards nicht genügen.

Obwohl die Datenschutzkonferenz nur für öffentliche Stellen zuständig ist, gilt für Privatpersonen und Unternehmen nichts anderes. Besonders der schleswig-holsteinische Landesdatenschutzbeauftragte hat darauf aufmerksam gemacht, dass die Verantwortung für die Zulässigkeit von Einbindungen bei dem einbindenden Portalbetreiber liegt (sog. Auftragsdatenverarbeitung) und nicht bei Facebook und Co. Bei unzulässigen Einbindungen drohen deutschen Betreibern Geldbußen bis zu 50.000 Euro (§ 16 TMG).

Für diese Rechtslage gibt es sehr gute Gründe: Durch direkte Einbindungen ermöglichen es deutsche Anbieter Facebook, Twitter, Google und Co., jedem ihrer Nutzer beim Surfen über die Schulter schauen und personenbeziehbare Surfprotokolle z.B. in den USA anzulegen und unkontrollierbar weiterzuverwenden und weiterzuverkaufen, selbst wenn der Nutzer den externen Inhalt gar nicht nutzen möchte. Solange sich der Nutzer damit nicht einverstanden erklärt hat (z.B. durch Klick auf einen externen Link), ist eine solche personenbeziehbare Surfprotokollierung unzulässig. Übrigens sehen es 62% der deutschen Internetnutzer kritisch, dass ihr Verhalten im Internet (z.B. beim Surfen) erfasst wird.

Rechtslage

Das Telemediengesetz verpflichtet Anbieter von Internetportalen unter Bußgeldandrohung dazu, „durch technische und organisatorische Vorkehrungen sicherzustellen, dass […] die anfallenden personenbezogenen Daten über den Ablauf des Zugriffs oder der sonstigen Nutzung unmittelbar nach deren Beendigung gelöscht […] werden“ (§ 13 TMG). Dieses Verbot einer personenbeziehbaren Surfprotokollierung gilt nicht nur für den eigenen Server der Anbieter bzw. den Server des von ihnen genutzten Hosters.

Auch Code von Drittanbietern darf nur dann in die eigene Website eingebunden werden, wenn sichergestellt ist, dass diese Drittanbieter die IP-Adressen der Nutzer oder personenbeziehbare Cookies nicht unverkürzt prot…