So geht's: Wie Shops ohne Rechtsprobleme oder Kundenverlust Social Media nutzen

Safe Harbor, Standardverträge und EU-US-Privacy Shield

Ungeachtet aller Vorteile, die Unternehmen von der Nutzung der Social Media haben, drängt sich doch die Frage auf, ob dies angesichts der aktuellen Entwicklungen um das Safe Harbor Agreement überhaupt noch zulässig ist. Hintergrund ist, dass die Social Media vielfach auf Serverfarmen in den Vereinigten Staaten zurückgreifen, ihren Hauptsitz dort haben oder sogar in den USA die personenbezogenen Daten erheben und verarbeiten.

In diesem Zusammenhang sollte das Safe Harbor Agreement den Datenverkehr zwischen EU und USA im Einklang mit der Richtlinie 95/46/EG regeln. Das Resultat: Die Europäische Kommission erkannte die USA als datenschutzrechtlich "sicheren Drittstaat" an. Der Europäische Gerichtshof kippte das Safe Harbor Agreement jedoch - unter Bezugnahme auf die Zugriffsmöglichkeit der US-Geheimdienste. Die invasiven Eingriffe bzw. Eingriffsmöglichkeiten der US-Behörden verletzen die Grundrechte der EU-Bürger auf Ebene von Rechtschutz, Privatleben und Datenschutz massiv.

Entsprechend sind die USA seit der Entscheidung nicht mehr als Land mit angemessenem Schutzniveau für personenbezogene Daten eingestuft. Damit sind seit Ende Januar 2016 jegliche vertraglichen Reglungen von Datenübertragungen zwischen den USA und der EU, die auf dem Safe Harbor Agreement beruhen, ungültig. Dies kann im Falle einer Meldung bei den einschlägigen Aufsichtsbehörden zu einer Sanktionierung von bis zu 300.000 Euro führen.

Die momentan einzig gangbare Alternative scheinen die EU-Standardvertragsklauseln zu sein. Diese sind ein vorgefertigtes Vertragswerk der Europäischen Union, das Reglungen zur transatlantischen Datenübertragung im Einklang mit einschlägigen Vorschriften enthält. Allerdings handelt es sich hier um ein zusammenhängendes und feststehendes Vertragsgerüst, das wortwörtlich übernommen werden muss. Eine Anpassung oder gar eine Zusammenstellung nach dem Baukastenprinzip sind unzulässig. Dennoch sind viele Anbieter von Social Media auf die EU-Standardvertragsklauseln umgeschwenkt und wahren so die Rechtskonformität.

Diese Ausgangslage wird sich durch das EU-US-Privacy Shield ändern. Nachdem die Europäische Kommission die nun öffentlichen Dokumente geprüft und für ausreichend befunden hat, wird sich nach der Unterzeichnung mit dem Safe Harbor-Nachfolgeprogramm ein neuer, gangbarer Weg eröffnen. Allerdings sagt dies lediglich etwas über die Rechtmäßigkeit des Handelns, nicht über die Reichweite des Schutzes aus.

Social Login - bequem, aber nicht ohne Risiko

Kommen wir bei den Umsetzungsmöglichkeiten zunächst auf eine der beliebtesten zu sprechen: den sogenannten Social Login. Grundsätzlich fragt das administrierende Unternehmen bei der Registrierung für einen Dienst auf einer Website oder in einer App dabei personenbezogene Daten ab - insbesondere Name, Vorname, Geburtsdatum, Adresse, E-Mail-Adresse und Telefonnummer.

Abschluss findet dieser Vorgang zumeist durch einen Bestätigungslink, der an die E-Mail-Adresse des Registrierenden geschickt wird. Der Social Login ersetzt diesen Vorgang durch den Informationsaustausch über ein Social Network. Dabei werden die benötigten Daten an den Dienstanbieter übermittelt. Der Registrierende oder der User meldet sich also über seinen Account im entsprechenden Netzwerk beim Dienst des Unternehmens an. Technisch werden diese Login-Varianten als Social Plugin in Form eines iFrames eingebunden.

Dies erscheint grundsätzlich recht bequem, kann sich jedoch datenschutzrechtlich als problematisch erweisen. Dies liegt an dem Datenaustausch, der stattfindet: Zunächst werden die durch das soziale Netzwerk bereitgestellten Daten vom Dienstanbieter ausgelesen. Dazu gehören unter anderem - hier am Beispiel Facebook-Connect - Name, Vorname, Geburtstag, Geschlecht, Sprache, Profilbild, Titelbild, Social Media ID, Adresse, E-Mail-Adresse, Freundeslisten sowie auch "Gefällt mir"-Angaben. Umgekehrt erlangt auch das Social Media-Netzwerk Informationen und Datensätze aus dieser Übertragung - der Dienstanbieter übermittelt dem Netzwerk seinerseits die von ihm gesammelten Daten.

Ein solches Vorgehen widerspricht einigen Grundsätzen, denen natürlich auch Wirtschaftsunternehmen verpflichtet sind: dem Grundsatz der Datensparsamkeit sowie dem Gebot der Zweckgebundenheit. Während die Datensparsamkeit darauf verpflichtet, nur das Minimum an Daten zu erheben, das für die Zweckerfüllung notwendig ist, bindet das Gebot der Zweckgebundenheit die Verwendung der Daten an den ursprünglichen Zweck der Erhebung. Zudem kommt der Grundsatz des Verbots mit Erlaubnisvorbehalt zum Tragen: Danach ist jede Verarbeitung personenbezogener Daten nur mit einer gesetzlichen Erlaubnis oder der Einwilligung des Betroffenen zulässig. Es erweist sich also als brisant, dass auch Registrierende oder User betroffen sind, die eben keinen Gebrauch vom Social Login machen. So werden ohne Kenntnis des Users bereits bei Aufruf der Unternehmens-Webseite personenbezogene Daten erhoben, u.a. die IP-Adresse - einfach durch eine Verbindung zur Seite des Anbieters des Social Networks.

Da in beiden Szenarien (mit und ohne Verbindung zum Social Network) sowohl das administrierende Unternehmen als auch der Anbieter des Netzwerks als verarbeitende Stelle im datenschutzrechtlichen Sinne auftreten, gelten für sie entsprechende Verpflichtungen. Dem Grundsatz des Verbots mit Erlaubnisvorbehalt unterliegen Bestandsdaten im Sinne des § 14 Telemediengesetz, Nutzerdaten im Sinne des § 15 Telemediengesetz und Daten zur Erfüllung eines Geschäftszwecks im Sinne des § 28 Bundesdatenschutzgesetz. Hierunter fallen unter anderem Namen, E-Mail-Adressen und Geburtsdaten. Darüber hinausgehende Daten bedürfen allerdings einer Einwilligung durch den Betroffenen. Auf diese Einwilligungsnotwendigkeit muss entsprechend sowohl bei der initialen Nutzung des Social Login als auch in der Datenschutzerklärung hingewiesen werden. Für den unternehmerischen Alltag bewahrheitet sich ein ehernes Gesetz: stets absichern. Eine Datenschutzerklärung und die Einbettung einer interaktiven Einwilligungsoption für die Freischaltung des Social Logins sichern hier das Unternehmen als Dienstanbieter ab.

Sharing

Ähnliche Probleme wirft die Funktionalität des Sharing auf, eines der beliebtesten Marketingtools. Beim Sharing wird der Besucher einer Website eingeladen, das angebotene Produkt oder die Dienstleistungen mit dem eigenen Profil in einem Social Network zu verbinden oder zu bewerten - um letztlich ein User-Cross-Selling und Multiplikationseffekte zu erreichen. Auch im Rahmen des Sharing werden Daten über den Websitebesucher sowie den tatsächlich teilenden oder bewertenden Nutzer im bereits beschriebenen Umfang ausgetauscht.

Allerdings lässt sich diesem Problem relativ leicht begegnen - durch verschiedene technische Lösungen. Oft kommen sogenannte Zwei-Klick-Lösungen oder aber skript-freie Umsetzungen zum Einsatz. Ins Blickfeld von Unternehmen gehört insbesondere die Zwei-Klick-Lösung, die eine Mitwirkungs- und Zwischeninstanz einbaut. Der Nutzer wird dabei dazu aufgefordert, die Social Media-Nutzung durch das Anklicken eines zusätzlichen Buttons freizuschalten - daher der Name Zwei-Klick-Lösung. So werden nicht bereits beim Laden der Seite Informationen von anderen Servern abgerufen - oder zumindest deutlich weniger als ohne Zwei-Klick-Lösung. Das Resultat ist eine schneller geladene Seite mit weniger Overhead. Zugleich eröffnet das Mitwirkungselement dem Nutzer die Möglichkeit, sich der Datenerhebung zu entziehen. Eine Lösung rein auf Script-Seite vermeidet zwar den technischen Overhead, bringt aber keine datenschutzrechtlichen Vorzüge.

Social Profiling, Social Engineering, Social Hacking

Der Social Login und das Sharing werfen eine grundsätzliche Frage auf: Warum all dieser Aufwand und das Interesse an den Datensätzen? Letztlich ist das Ziel natürlich eine marktwirtschaftliche Erschließung des Individuums - das ganz konkret seinen Interessen entsprechend adressiert und im Idealfall in Richtung der eigenen Produkte oder Dienstleistungen beeinflusst werden soll.

• Beim sogenannten Social Profiling wird anhand der Daten, die man über die Eigenschaften, Handlungen und Neigungen einer Person gesammelt hat, ein Persönlichkeitsprofil erstellt. Dazu dienen spezielle Software-Lösungen oder Analyse-Tools.


• In einem nächsten Schritt, beim sogenannten Social Engineering, werden diese Persönlichkeitsprofile dann genutzt, um durch bewusste Einflussnahme - beispielsweise via individualisierter Werbebanner oder Angebots-Emails - die Zielperson zu einem bestimmten Handeln zu bewegen. Dies kann im Kauf bestimmter Produkte oder auch in der Preisgabe weiterer Informationen bestehen.
• Das Social Hacking verfolgt sogar eine kriminelle Zielsetzung, es ist letztlich auf das Eindringen in Computersysteme bzw. das Abgreifen vertraulicher Daten gerichtet.

So verwerflich Social Hacking auch ist - das Social Profiling und das Social Engineering sollte man nicht verteufeln. Schließlich handelt es sich dabei lediglich um einen spezifischen Ansatz der Marktforschung, der für Unternehmen überaus relevant sein kann: Dienst- und Produktanbieter versuchen dabei nur, den Konsumenten seinen Wünschen und Bedürfnissen gemäß zu adressieren.

Grundsätzlich sollten also eine Gefahren-Nutzen-Abwägung sowie eine risiko-orientierte Umsetzung im Vordergrund stehen. Sich hier vor der marktwirtschaftlichen Realität zu verschließen, führt letztlich nur zum Verlust von Adressatennähe, Kundenloyalität und Marktanteilen.

Der Mitarbeiter als Quelle und Adressat

Besonders beim Begriff der Adressatennähe sind die eigenen Mitarbeiter des Unternehmens gleich doppelt betroffen. Social Media zu nutzen, birgt ein erhebliches Gefährdungspotenzial bei Performance-, Datenschutz- oder Haftungsthematiken. Einerseits kann eine private Nutzung von Social Media während der Arbeitszeit natürlich die Produktivität der Mitarbeiter unmittelbar beeinflussen. Aber auch die vertriebs- oder beratungsorientierte Nutzung im Auftrag des Arbeitgebers birgt Risiken.

So sehen Interessenten und Kunden die Reaktionszeit auf "Posts" vielfach als ein Qualitätsmerkmal. Dem Mitarbeiter bleibt bei seiner Reaktion daher kaum Zeit für eine Qualitätssicherung. Fehlt es jedoch an der entsprechenden Einweisung und Schulung, können die qualitativen Mängel einer Reaktion im Web desaströse Folgen im Kontext von Haftung und Marketing haben. Die Mitarbeiter zu involvieren, hat also ebenso zeitliche wie qualitative Implikationen.

Datenschutzrechtlich wird dabei vor allem der Umgang mit erhobenen Daten relevant. Die Mitarbeiter des Unternehmens müssen sich bewusst sein, dass Nutzung, Weitergabe oder gar Veröffentlichung personenbezogener oder personenbeziehbarer Daten stets an strikte rechtliche Rahmenbedingungen geknüpft sind. Anfragen oder Erhebungen dürfen - ohne entsprechende gesetzliche oder durch den Betroffenen vorgenommene Erlaubnis - nicht nach außen getragen werden.

Eine persönliche Verwendung der Datensätze oder gar eine Vorteilsnahme dadurch ist unter allen Umständen zu unterbinden. In diesem Zusammenhang waren beispielsweise einige Krankenhäuser in den Medien. Deren Krankenschwestern hatten Bilder von Neugeborenen auf privaten Facebook-Accounts veröffentlicht - mit direkten datenschutz- und haftungsrechtlichen Konsequenzen. Leider ist dies kein "beispielloses", einzigartiges Vergehen, sondern leicht auf alle gesellschaftlichen Bereiche übertragbar. Doch auch solchen Risikoherden können Unternehmen entgegenwirken - etwa indem sie Sensibilisierungsschulungen, Richtlinien und Best Practices als Standard einführen.

Regelkonforme Umsetzung ist Managementaufgabe

Es bleibt festzuhalten, dass die Nutzung von Social Media datenschutzrechtliche Risiken birgt. Bei bewusstem und regelkonformem Vorgehen lassen sich diese Risiken jedoch gut und schnell handhaben oder ganz ausschließen. Zentral dafür ist das Bewusstsein, dass eine regelkonforme Umsetzung stets auch eine Managementaufgabe ist. Die Führungsebene des Unternehmens trägt die Verantwortung dafür, dass geeignete Rahmenbedingungen die Risiken reduzieren. Die Aufgabe der Führungsebene mit ihrer Leitungs- und Organisationsfunktion ist es, Leitlinien, Richtlinien und Best Practices einzuführen, die das Social Media-Konzept präventiv und proaktiv angehen.

Ein wesentliches Element der Rahmenbedingungen besteht darin, ein nachhaltiges Informationssicherheitssystem mit einem umfassenden Datenschutzmanagement zu schaffen. Ohne einen ganzheitlichen organisatorischen Ansatz dieser Art werden die Risikoherde im Rahmen der Ausgestaltung und Operationalisierung nicht adressiert. Die verbleibenden Lücken würden immense Haftungsrisiken, den Verlust des Zugangs zum Adressaten und die Gefahr empfindlicher Umsatzeinbußen mit sich bringen. Das Datenschutzmanagement muss darum auf jeden Fall auch ein Konzept zur Nutzung der Social Media beinhalten. In ihm lassen sich Aspekte wie das Rechtemanagement, Verantwortungen, Prozesse oder Kontrollinstanzen definieren. Zudem sind die Gestaltung und der Einsatz von Einwilligungsabläufen und Datenschutzerklärungen von höchster Relevanz.

---

iBusiness-Gastautor Jan Alexander Linxweiler ist Associate bei der Management- und Technologieberatung Cassini Consulting  .