Ist der 2-Klick-Button wirklich datenschutzkonform?

Am Donnerstag stellte der heise-Verlag für seine Internetangebote den “2-Klick-Button” vor. Mit dem 2-Klick-Button soll, so heise, eine “datenschutzfreundliche” Einbindung von Social-Media-PlugIns möglich sein. Das Prinzip ist einfach und alles andere als neu. Auf dieser Seite wird derzeit ebenfalls eine 2-Klick Lösung getestet, die der Kollege Jens Ferner bereits vor Monaten vorgestellt hat, lange bevor das ULD sich zur datenschutzrechtlichen Problematik des Facebook Like-Buttons geäußert hat. Die grafisch ansprechende Lösung des heise-Verlags wurde im Netz, dank der selbstüberzeugten Beschreibung, als die heilbringende Lösung gefeiert. Doch die Reaktion von Facebook kam prompt. Die Umsetzung widerspreche den Plattform-Richtlinien. Der heise-Verlag (und viele Nutzer) reagierten ungläubig, wenn nicht gar eingeschnappt. Schließlich habe der 2-Klick-Button zur Lösung eines datenschutzrechtlichen Problems beigetragen. Aber ist das wirklich so?

2.Klick-Lösungen haben datenschutzrechtlich einen entscheidenden Vorteil. Sie fördern die Datensparsamkeit im Sinne von § 3a BDSG. Anders als bei der direkten Einbindung von Social Media PlugIns werden (personenbezogene) Daten nicht bereits bei Aufruf der Webseite an die jeweiligen Social Media Anbieter übermittelt, sondern erst nachdem durch einen ersten Klick die Social Media Buttons geladen werden. Der Webseitenbesucher hat es also in der Hand, ob eine solche Übermittlung stattfindet, oder ob er für die Social Media Anbieter unbemerkt auf der Seite bleiben will.

Ist durch die so erreichte Datenvermeidung und -sparsamkeit nicht das Problem behoben worden? Dies mag im ersten Augenblick so erscheinen, doch die Kritik des ULD richtet sich im Kern nicht dagegen, dass die Daten überhaupt erhoben werden, sondern dass sie ohne die erforderliche Einwilligung des Nutzers erhoben werden.

Die Anbieter der Social Media PlugIns sind regelmäßig US-amerikanische Unternehmen und erheben und verarbeiten die (personenbezogenen) Daten auf den eigenen Servern in den USA. Da die USA nicht den gleichen Datenschutz gewährleistet, wie die Mitgliedsstaaten in der Europäischen Union, ist eine Übermittlung nach § 4b BDSG regelmäßig nur mit Einwilligung möglich. (So jedenfalls, im Ergebnis das ULD.) Doch die Erteilung der Einwilligung ist an strenge Vorgaben geknüpft (§4a BDSG, § 13 Abs. 2 TMG). Unerlässlich ist, dass der Nutzer vor der Erteilung seiner Einwilligung klar und verständlich darüber aufgeklärt wird welche Daten, durch wen und zu welchem Zweck erhoben, verarbeitet und genutzt werden.

Trotz der vollmundigen Ankündigungen des heise-Verlags muss man an dieser Stelle klar sagen, dass die dort gewählte Umsetzung leider alles andere als datenschutzkonform ist. Zwar wird in Pop-Ups und hinter weiteren Informations-Icons viel v…