16.12.2011
"Ich setze auf eine gemeinsame europäische Position"
Datenschutz: Die US-Regulierungsbehörde FTC stellt das soziale Netzwerk Facebook unter eine 20-jährige Aufsicht. Ob das den Europäern genügen kann, darüber sprachen die VDI nachrichten mit dem Bundesdatenschutzbeauftragten Peter Schaar: "Die Datenschutzbehörden hier sind aktiv, weil die Nutzer Antworten erwarten."
VDI nachrichten, Düsseldorf, 16. 12. 11, rb
VDI nachrichten: Wie bewerten Sie die Vereinbarung zwischen der FTC und Facebook?
Schaar: Dass jetzt Auflagen erfolgen, ist positiv. Es ist gut, dass die FTC den Beschwerden nachgegangen ist. Es geht um Verstöße gegen das Safe-Harbor-Abkommen* sowie gegen die Fair Trade beziehungsweise Fair Information Practices. Die Frage ist, ob das damit jetzt erledigt ist.
Was macht das amerikanische Rechtsverständnis aus?
Was Facebook seinen Nutzern zugesichert hat, muss es auch einhalten. Ist das nicht der Fall, handelt Facebook "unfair". Solche Abweichungen stellen einen Verstoß dar und können geahndet werden. Während Amerikaner also auf Fairness bauen, setzen die Europäer auf die Einhaltung inhaltlicher Vorgaben.
Was fehlt hier im Vergleich zu den europäischen Datenschutzstandards?
Wir denken, dass jedes Profiling und jede Nutzung außerhalb dessen, was zur Erbringung des Dienstes erforderlich ist, einer Einwilligung bedarf.
Wie bewerten Sie es, dass keine Bußgelder verhängt wurden?
Bußgelder sind nicht der Weisheit letzter Schluss. 20 Jahre Pflichtaufsicht mit regelmäßigem Datenschutzaudit sind mitunter teuerer als jedes Bußgeld, außerdem wird damit versucht, eine nachhaltige Besserung zu erzielen.
Wie ist der Stand der Untersuchung der irischen Datenschutzbehörde?
Die Ergebnisse werden im Januar vorliegen. Ich weiß, dass die Iren das gründlich prüfen. Die europäischen Datenschützer werden diese Ergebnisse abwarten, bevor sie Empfehlungen aussprechen.
Welche Kernfragen müssen jetzt geklärt werden?
Facebook ist in den USA ansässig und behauptet, dass es für die Europäer den Dienst aus Dublin erbringt. Die Frage ist, ob das tatsächlich so ist. In jedem Fall stellt sich die Frage, in welchem Verhältnis die Dubliner Niederlassung zur US-Gesellschaft steht. Ist das eine Auftragsdatenverarbeitung oder sind die Niederlassung und Facebook USA Unternehmen mit eigener Verantwortung?
Was wäre die Konsequenz?
In letztgenanntem Fall wäre es eine Datenübermittlung an Dritte. Aber auch bei der Auftragsdatenverarbeitung muss ein angemessenes Datenschutzniveau nachgewiesen werden. Die Untersuchung der FTC zeigt jedenfalls, dass die Praxis nicht dem europäisch-amerikanischen Safe-Harbor-Abkommen entsprach. Die Übermittlung von Daten aus der EU in die USA wäre also nicht legal gewesen. Der Rechtfertigungsgrund kann daher stark bezweifelt werden.
Wie nützt das FTC-Abkommen den Europäern?
Die Tatsachenfeststellungen der FTC können und werden wir nach europäischem Recht bewerten. Zum Beispiel löscht Facebook Nutzerdaten nicht endgültig, wenn der Nutzer den Löschbefehl absetzt. Das wäre in der EU ein Verstoß, der auf jeden Fall geahndet werden müsste. In den USA wird dies nur deshalb beanstandet, weil die Nutzer nicht darüber informiert werden. In Europa wäre eine solche Praxis selbst mit Nutzerinformation nicht zulässig.
Was bedeutet die irische Prüfung für die deutschen Datenschützer?
Die Datenschutzbehörden hier sind aktiv, auch weil die Nutzer Antworten erwarten. Ob sie auch im Hinblick auf Aktivitäten von Facebook weiter zuständig sind, hängt von den Iren ab. Wenn Facebook allein ein amerikanisches Unternehmen ist, wäre deutsches Datenschutzrecht anzuwenden, soweit es bei uns aktiv ist. Wenn der Dienst von Facebook Dublin erbracht wird, wäre das irische Datenschutzrecht einschlägig und das deutsche Telemediengesetz wäre nur in Bezug auf die Social Plug-ins und Fanseiten anwendbar. Beide Varianten sind sehr kompliziert. Ich setze jedenfalls auf eine gemeinsame europäische Position. CHR. SCHULZKI-HADDOUTI
* Das Safe-Harbor-Abkommen garantiert, dass europäische Kunden bei US-Unternehmen dasselbe Datenschutzniveau genießen wie bei europäischen.