Copyright Zeichnung: C. Pfohlmann, www.pfohlmann.de

Vier Monate ist es her, dass ich in einer großen Analyse von deutschen Medienseiten den großflächigen Einsatz von Facebook-Trackern und damit verbundene Datenschutzrisiken geschildert habe. Nur wenige Verlage haben seitdem etwas geändert. Immer noch werden von vielen Nachrichtenseiten, aber auch allgemein von Websites und Shops das Besucherverhalten profilbezogen an Facebook gemeldet.

Viele empörte Leserinnen und Leser haben auf meinem Blog und anderswo im Netz Tipps ausgetauscht, wie man das Tracking technisch unterbinden kann. In vielen Fällen effektiver ist allerdings eine Datenschutzbeschwerde. Die deutschen Behörden haben bereits sehr deutlich gemacht, dass sie Facebook-Tracker ohne Einwilligung größtenteils für rechtswidrig halten. Noch sind aber keine Bußgelder oder Urteile in diesen Fällen bekannt.

Als Hilfestellung für betroffene Leser und Leserinnen habe ich daher zusammen mit dem IT-Spezialisten Mike Kuketz eine Anleitung und eine Musterbeschwerde erstellt, damit Betroffene leichter gegen den rechtswidrigen Einsatz der Facebook-Tracker vorgehen können. Wir erklären, wie man die wenigen benötigten Belege aufzeichnet und wie man unsere Textvorlage auf konkrete Websites anpasst, die den Facebook-Tracker einsetzen. Als echten Praxisfall haben wir bereits einen Leser ausfindig gemacht, der sich über das Facebook-Tracking bei Zeit Online sehr geärgert hat und der nun mit unserer Vorlage eine Beschwerde bei der Hamburger Datenschutzbehörde eingereicht hat. Mit dem Leser habe ich gestern auch ein Interview geführt.

Selbstverständlich sollte sein, dass die Beschwerde erst eingereicht wird, wenn zuvor der Betreiber der Website mit einer Frist von beispielsweise zwei Wochen aufgefordert wurde, den Facebook-Tracker zu entfernen und darauf nicht reagiert hat. Das ist der effektivere Weg, entlastet die Behörden und ist gerade bei kleineren Website oder Shops auch eine Sache der Fairness.

Ein Dankeschön geht noch an die Presseabteilung von Facebook, die die Musterbeschwerde in ihrer universellen Form erst möglich gemacht hat: Mit ihrer vehementen Aufforderung zur Richtigstellung einer bestimmten Formulierung wurde ich vor einigen Wochen erst richtig hellhörig und stieß bei der weiteren Recherche auf eine technisch-juristische Lücke bei den Business-Tools von Facebook. Die Musterbeschwerde enthält nun einen entsprechenden Absatz und ist dadurch fast universell auf jeden Einsatz des Facebook-Trackers anwendbar.

Im weiteren Verlauf des Artikels möchten wir euch nun die Schritte vorstellen, die nach unserer Auffassung notwendig sind, um eine möglichst stichhaltige Beschwerde einzureichen. Für die zuständige Aufsichtsbehörde sollte klar erkennbar sein, in welcher Weise die eigenen Rechte verletzt werden. Als Beispiel verwenden wir hier ebenfalls Zeit Online.

Schritt 1: Hat die Seite einen Facebook-Tracker?

Für die Analyse verwendet man am besten Firefox oder Chrome, beide Browser enthalten standardmäßig ein Tool, um die externen Verbindungen einer Seite zu betrachten:

Firefox:

• Im Menü Web-Entwickler/Netzwerkanalyse aufrufen (Oder Strg-Shift-E)
• Eine Seite aufrufen (oder mit Strg-F5 neu laden)
• Im Suchfeld (»Adressen durchsuchen«) »facebook« eingeben
• Wenn Inhalte von facebook.com erscheinen und in der Spalte Cookies eine Zahl steht, hatte Facebook Zugriff auf die Cookies und der Personenbezug kann belegt werden.

Chrome:

1. Im Menü More Tools/Developer Tools aufrufen (Oder Ctrl-Shift-I), dann den Tab Netzwerkanalyse
2. Eine Seite aufrufen (oder mit Strg-F5 neu laden)
3. Im Suchfeld (»Filter«) »Facebook« eingeben
4. Wenn Inhalte von facebook.com erscheinen und in der Spalte Cookies eine Zahl steht, hatte Facebook Zugriff auf die Cookies und der Personenbezug kann belegt werden.

Klickt man auf die einzelnen Zeilen und dann auf den Tab Parameter, sieht man, was in den verschiedenen Aufrufen an Facebook übertragen wird. Viele Einbettungen übertragen nur die URL, was für eine Beschwerde bereits ausreicht.(hier z.B. „https://www.zeit.de/politik/ausland/2019-09/iran-hassan-ruhani-atomabkommen-ausstieg“).

Bei Facebook Pixel (was ist ein Zählpixel?) sieht man manchmal auch weitere Parameter, zum Beispiel Button-Klicks oder gesuchte Begriffe.

An dieser Stelle sollte man sich auch einen Überblick verschaffen, wo der Tracker überall eingesetzt wird. Bei ZEIT ONLINE ist er auf der Startseite und auf allen Artikelseiten vorhanden. Das notieren wir ebenfalls für die Beschwerde.

Schritt 2: Gab es eine Einwilligung?

Das ist natürlich sehr unwahrscheinlich: Es gibt fast keine (Medien-)Seiten, die rechtswirksam eine Einwilligung in die Datenweitergabe einholen. Um in Einklang mit der DSGVO zu stehen, dürften die Tracker erst dann Daten weitergeben, wenn eingewilligt wurde. Ein Cookie-Banner am unteren Rand, der nicht geklickt werden muss, reicht keinesfalls aus. Die einzige uns bekannte Nachrichten-Seite, die erst trackt, wenn man eingewilligt hat, ist derStandard.at. In solchem Fall kann man die Beschwerde aber noch mit dem letzten Absatz des Mustertextes durchführen („Lückenhafte Umsetzung der Betroffenenrechte“).

Wenn jetzt jemand das Koppelungsverbot anführen will: Das gilt bei den meisten Nachrichtenseiten aller Wahrscheinlichkeit nach nicht, da die Seiten kostenlos sind und das Tracking die Gegenleistung für den kostenlosen Inhalt ist. Es gibt dann sozusagen nichts, woran etwas gekoppelt wäre. Erst wenn bereits eine primäre Vereinbarung besteht, also bspw. bei einem Abo für den Inhalt gezahlt wurde, besteht eine Hauptdienstleistung und daran darf dann nichts mehr gekoppelt werden. Eine Zustimmung darf in dem Fall nicht mehr Bedingung für die Nutzung gemacht werden.

Schritt 3: Was sagt die Datenschutzerklärung?

Jede Datenweitergabe an Dritte muss in der Datenschutzerklärung aufgeführt sein. Leider ist nicht besonders klar, wie präzise das sein muss, eine Angabe von »Kategorien von Empfängern« ist laut DSGVO auch erlaubt, bspw. »Vermarktungsunternehmen«. Meistens steht aber konkret Facebook in der Liste, so auch bei unserem Beispiel ZEIT ONLINE.

Außerdem muss der Rechtsgrund aufgeführt sein. Davon gibt es sechs Stück, wovon die meisten (z.B. Vertragserfüllung oder rechtliche Verpflichtung) bei Tracking nicht in Frage kommen. Falls es keine Einwilligung gab, kommt eigentlich nur das berechtigte Interesse in Frage. Bei ZEIT ONLINE wird das auch genannt (es ist der DSGVO-Artikel 6, Absatz lit 1f). Da wir in Frage stellen, dass dieses berechtigte Interesse besteht, müssen wir nachlesen, warum die Daten an Facebook weitergeleitet werden sollen. Bei ZEIT ONLINE finden sich im wesentlichen drei Gründe:

• man möchte Anzeigen bei Facebook nur den Personen anzeigen, die vorher die Seite von ZEIT ONLINE besucht haben
• man möchte überprüfen, ob ein Nutzer eine Anzeige bei ZEIT ONLINE angeklickt hat
• man möchte relevante und interessante Anzeigen schalten, um das Angebot zu verbessern

Diese Angaben spielen in der Beschwerde auch eine Rolle und müssten in dem Mustertext entsprechend gestrichen oder angepasst werden.

Außerdem schauen wir pro forma nach, ob es eine Angabe gibt, wer bei der gemeinsamen Datenverarbeitung zwischen der Website und Facebook für die DSGVO-Rechte wie bspw. dem Recht auf eine Datenkopie zuständig ist. Man kann relativ sicher davon ausgehen, dass es hier keine Angabe gibt, weil alle genau wissen, dass das Recht nicht erfüllt werden kann, wie wir noch sehen werden. Das erhöht wiederum die Chancen für einen Erfolg der Beschwerde.

Schließlich schauen wir noch, ob eine Opt-Out-Lösung für Facebook-Tracking genannt wird: Im Normalfall wird unter anderem die zentrale Website Your Online Choices genannt, bei der man ein Opt-Out-Cookie setzen kann. Für diesen Normalfall hat die Musterbeschwerde einen passenden Absatz, der diese Lösung als mangelhaft angreift. Ansonsten kann der Absatz entsprechend geändert oder entfernt werden, er ist nicht zentral für die Beschwerde.

Schritt 4: Dokumentieren

Nun dokumentieren wir das Tracking. Ideal ist der Nachweis mit Weitergabe von personenbezogenen Daten, das ist bei Facebook das Cookie c_user. Die dort verzeichnete Nummer (Facebook-ID) entspricht dem Facebook-Profil, man kann es sogar damit aufrufen. Also sollte man sich bei Facebook einloggen und dann eine beliebige Artikelseite aufrufen. Wir machen einen Screenshot von [1] den übertragenen Parametern:

[2] und den übertragenen Cookies inkl. c_user:

Anschließend klickt man mit der rechten Maustaste in die Zeilen und selektiert Alles als HAR speichern. Diese Datei enthält dann alle Daten der Netzwerkanalyse und kann von der Datenschutzbehörde als Beweis verwendet werden.

Auch die Datenschutzerklärung dokumentieren wir, damit sie nicht nachträglich verändert wird. Entweder in ein PDF drucken oder einen Screenshot des entsprechenden Abschnitts erstellen.

Schritt 5: Die zuständige Behörde finden

Eine Datenschutzbeschwerde ist kostenlos und führt den Betroffenen nicht in einen Prozess. Die Behörde übernimmt diese Aufgabe, falls sich das Unternehmen gegen die Vorwürfe wehrt. Außerdem prüft sie erst selbst die juristische Lage, sodass man auch als Laie nichts falsch machen kann.

Zuerst suchen wir nach der Landesbehörde: Zuständig ist das Bundesland, wo der Betreiber der Website mit dem Tracker ihren Sitz hat. ZEIT ONLINE sitzt beispielsweise in Hamburg. Auf der folgenden Liste können wir die Landesämter für den nicht-öffentlichen und öffentlichen Bereich nachschlagen, die für uns zuständig sind. Hamburg erreichen wir unter https://www.datenschutz-hamburg.de.

Schritt 6: Formlose Beschwerde verfassen

Ob die Beschwerde per E-Mail oder Online-Formular verfasst wird, spielt keine Rolle – doch bevor die Beschwerde eingereicht wird, müssen wir zunächst alles in Textform bringen. Anbei eine Vorlage, die wir für euch erstellt haben und die gerne verwendet werden darf. Sie ist speziell für Medienhäuser verfasst, kann aber an den entsprechen Stellen einfach geändert werden:

———————————————–

Sehr geehrte Damen und Herren,
hiermit möchte ich Datenschutzbeschwerde einlegen gegen:

Webseitenbetreiber GmbH
Datenstraße 1
12345 Speicherort
(im folgenden Beschwerdegegnerin genannt)

Sachverhalt

Die Beschwerdegegnerin betreibt folgende Website:
http[s]://example.com
Dort ist das Trackingtool Facebook Pixel eingebunden. Ich nutzte die Seite {täglich/wöchentlich/regelmäßig}. Außerdem nutzte ich seit {Januar 1970} das soziale Netzwerk Facebook im gleichen Browser. Der Tracker sendete mindestens die URLs der aufgerufenen Seiten zusammen mit meiner Facebook-ID an Facebook. Wie aus den Business-AGB Facebooks ersichtlich ist, wurden meine Daten dort für personalisierte Werbung (daher mit Bezug zu meinem Profil) gespeichert und für Marketingzwecke ausgewertet. Daraus folgt, dass Facebook über die Einbettung des Tracking-Codes meine Nutzung der Seite der Beschwerdegegnerin personenbezogen auswerten konnte.

Verstöße

Keine Rechtmäßigkeit der Verarbeitung

Nach Art. 6(1)f DSGVO muss ein berechtigtes Interesse der Beschwerdegegnerin an der Datenweitergabe das Schutzinteresse des Betroffenen überwiegen. Im vorliegenden Fall erscheint das aus zwei Gründen besonders zweifelhaft:

1. Meine Besuche auf der Website der Beschwerdegegnerin erfolgten ohne Login, waren also meiner Kenntnis nach und auch für die Beschwerdegegnerin zunächst anonym oder pseudonym. Eine Besonderheit der Facebook-Trackers liegt darin, dass durch den Einsatz des Trackers die erfassten Daten gegenüber Facebook mit Personenbezug offengelegt werden, falls nämlich das Login-Cookie c_user von Facebook vorliegt und mitgesendet wird. Dieses Cookie sendet die eindeutige User-ID, die auch in die folgende URL eingesetzt werden kann, um zu einem bestimmten Profil zu gelangen: https://facebook.com/profile.php?id=123456789
   Die Facebook-Profile werden aber, wie auch der Beschwerdegegnerin bekannt sein sollte, in den meisten Fällen mit personenbezogenen Daten wie E-Mail-Adresse, Telefonnummer oder echtem Namen geführt. Daher werden die erhobenen Daten mit Daten über den Träger des Pseudonyms zusammengeführt.Die Weitergabe des Cookies wird in den Dateien belegt, die dieser Beschwerde beigefügt sind. Diese profilbezogene Datenspeicherung ohne erfolgten Login auf der besuchten Seite ist für einen Besucher weder erwartbar noch erkennbar. Unabhängig von den Informationen in der Datenschutzerklärung widerspricht dies dem, was ein Nutzer objektiv und vernünftigerweise erwarten würde. Hinzu kommt, dass das personenbezogene Tracking für Marketing und Werbung in §15 (3) TMG bereits untersagt war und damit wenig nachvollziehbar wäre, warum gerade in diesem Fall ein berechtigtes Interesse nach DSGVO gegenüber meinen Schutzinteressen überwiegen sollte.
2. Die Beschwerdegegnerin hat auf ihrer Website eine Datenschutzerklärung beigefügt.
   http[s]://example.com/datenschutzerklärung
   Dort wird das Facebook-Tracking wie folgt begründet (siehe beigefügte Datei).
   Die Zusammenführung mit meinem Social-Media-Konto und dadurch mit realen Identifiern wie E-Mail-Adresse und vollem Namen ist für die genannten Zwecke ({die Zielgruppenbildung, die Erfolgsmessung und die personalisierte Werbeansprache}) nicht notwendig. Ein pseudonymes Tracking mit Cookies würde einen ähnlichen Zweck erfüllen, ohne die Daten unbemerkt mit den persönlichen Daten der Besucher zu verknüpfen. Die Beschwerdegegnerin führt in ihrer Datenschutzerklärung nicht auf, warum meine Besuche auf der Website mit den Daten in meinem Social-Media-Profil zusammengeführt werden sollen.
   

Hinzu kommen weitere Gründe, die gegen ein Überwiegen des berechtigten Interesses sprechen:

• Die personenbezogenen Daten aus dem Aufruf journalistischer Beiträge beinhalten teilweise sensible Kategorien nach Art. 9 DSGVO, da das Interesse an bestimmten Artikeln mit einer gewissen Wahrscheinlichkeit auf vorliegende schützenswerte Daten des Betroffenen schließen lassen (z.B. politische Meinung und Gesundheitszustand). Falls dadurch überhaupt eine Datenverarbeitung nach Art. 6(1)f DSGVO möglich ist, ist das Schutzbedürfnis des Betroffenen in jedem Fall erhöht.
• Weiterhin werden die Daten bei Facebook mit den Daten anderer von mir besuchten Websites angereichert, wie Facebook in seinen Business AGB bekräftigt (Abs. 2.a.v.1, Satz i): https://de-de.facebook.com/legal/technology_terms Dadurch ist die Ansammlung von Daten und das daraus resultierende Profiling für mich nicht mehr nachvollziehbar. Die Beschwerdegegnerin trägt mit ihrer Verwendung des Facebook-Trackers einen Teil zu dieser intransparenten Verknüpfung von Daten bei.
• Schließlich ist das Widerspruchsrecht mangelhaft umgesetzt. Erstens kann es für erstmalige Leser nicht rechtzeitig ausgeübt werden: Insbesondere wenn Artikel über externe Links aufgerufen werden, hat Facebook von einem Besuch bereits erfahren, bevor ein Widerspruch oder eine Information über die Datenschutzerklärung durchgeführt werden kann. Zweitens werden bei einem Opt-Out die bereits gesammelten Daten nicht gelöscht – dies scheint auch auf Antrag nicht möglich zu sein, wie ich noch ausführen werde. Und drittens muss bei dem Opt-Out allein auf Zusicherungen seitens Facebook vertraut werden: Das Opt-Out-Cookie „oo“, das über youronlinechoices.com gesetzt werden kann, verhindert nicht, dass die gelesene URL und meine Facebook-ID an Facebook übertragen werden. Eine zuverlässige Lösung müsste bereits die Übertragung meiner personenbezogenen Daten verhindern (siehe Erwägungsgrund 78 DSGVO)
  

Keine Beschränkung auf das notwendige Maß

Da der Tracker auf allen Artikelseiten des Angebots integriert ist, werden die Besuche von allen Seiten weitergegeben und damit ein detailliertes Interessensprofil gebildet. Eine Beschränkung auf das notwendige Maß ist hier nicht mehr erkennbar, viel mehr geht es um ein maßloses und zeitlich unbeschränktes Sammeln von Verhaltensdaten.

Wissentlich lückenhafte Umsetzung der Betroffenenrechte

Die Datensammlung ist rechtswidrig, weil Facebook die Betroffenenrechte, insbesondere das Recht auf Kopie nach Art. 15(3) DSGVO und das Recht auf Löschung nach Art. 17 DSGVO aus technischen Gründen nicht erfüllen kann, wenn diese Daten über die Business Tools bzw. Facebook Pixel gesammelt wurden. Wie Paul-Olivier Dehaye in seiner schriftlichen Aussage gegenüber dem Untersuchungsausschuss des britischen Parlaments erklärte, habe Facebook ihm gegenüber schriftlich bekundet, dass die Daten aus Facebooks Business Tools (darunter auch das Tracking-Tool Pixel):

1. Im Digital Ware House (DHW) „Hive“ gespeichert seien
2. Diese Daten aus Log-Einträgen bestünden
3. Diese Daten nicht pro User indexiert würden
4. Es aufgrund der User-Anzahl technisch unmöglich wäre, eine Abfrage pro User durchzuführen
5. Und es daher einen unverhältnismäßigen Aufwand erfordere bzw. technisch unmöglich wäre Auskunft über die gespeicherten Daten zu geben

Quelle: DCMS Digital, Culture, Media and Sports Sports Comittee „Disinformation and ‘fake news’“
http://data.parliament.uk/writtenevidence/committeeevidence.svc/evidencedocument/digital-culture-media-and-sport-committee/fake-news/written/80117.pdf

In einer Anhörung gegenüber dem Senat der USA war ebenfalls die Aussage von Paul-Olivier Dehaye Gegenstand einer Anhörung. Facebook konnte in seiner schriftlichen Antwort die Zweifel an einer funktionierenden Datenauskunft nicht ausräumen (S.118).
https://www.judiciary.senate.gov/imo/media/doc/Zuckerberg%20Responses%20to%20Commerce%20Committee%20QFRs.pdf

In Bezugnahme auf die Rechtsprechung zum Facebook-Plugin (Urteil des EuGH: Fashion ID GmbH gegen die Verbraucherzentrale NRW e.V.) kann davon ausgegangen werden, dass auch die Datenweitergabe in diesem Fall von der Beschwerdegegnerin und Facebook in gemeinsamer Verantwortung (Art. 26 DSGVO) durchgeführt wird. Dies würde bedeuten, dass die Beschwerdegegnerin zusammen mit Facebook in einer Vereinbarung sicherstellen müsste, dass alle Rechte und Informationspflichten nach DSGVO erfüllt werden. Das Wesentliche einer solchen Vereinbarung müsste auch in der Datenschutzerklärung erkennbar sein, was in diesem Fall aber nicht geschehen ist. Im Gegenteil scheint die Beschwerdegegnerin die Datensammlung ermöglicht zu haben, obwohl wie belegt erhebliche Zweifel bestehen, dass Facebook die Rechte der Betroffenen erfüllen kann. Die Beschwerdegegnerin müsste den Einsatz des Facebook-Trackers sofort beenden, da Löschung und Datenkopie für die Daten einzelner Betroffener und daher eine rechtmäßige Verarbeitung aus technischen Gründen nicht möglich ist und der Einsatz oder Nichteinsatz des Trackers auf der Website in der alleinigen Verantwortung der Beschwerdegegnerin liegt. Da Facebook bereits wegen zahlreicher anderer datenschutzwidriger Vorgänge bekannt ist, kann nicht darauf vertraut werden, dass mit dem Unternehmen eine rechtssichere Lösung gefunden werden kann.
Weitere Quellen hierzu:
https://slate.com/technology/2018/04/mark-zuckerbergs-misleading-promise-that-eu-privacy-rules-will-apply-to-american-facebook-users.html
https://theoutline.com/post/4145/zuckerbergs-testimony-contradicted-by-his-own-privacy-ops-team
Außerdem die entsprechende Anhörung des Betroffenen Paul Olivier Dehaye vor dem europäischen Parlament:
https://www.europarl.europa.eu/ep-live/en/committees/video?event=20180625-1530-COMMITTEE-LIBE-ITRE-AFCO-JURI

Zusammenfassung

Damit der Beschwerdegegnerin eine verhaltensbezogene Werbeansprache möglich wurde, wurde ich ohne technische Notwendigkeit einer maßlosen, personenbezogenen Verarbeitung selbst sensibler Leseinteressen ausgesetzt, die für mich nicht erwartbar war. Besonders gravierend ist, dass meine persönlichen Daten nachträglich weder eingesehen noch gelöscht werden können.
Ich bitte die Aufsichtsbehörde zu prüfen, ob der Beschwerdegegnerin der Einsatz des Trackingtools auf Grund von berechtigtem Interesse untersagt werden kann und ob ein Bußgeld zur Abwehr ähnlicher Verstöße verhängt werden kann.

Herzlichen Dank,
Max Mustermann
Musterstr. 1
00000 Musterstadt

————————————

War dieser Beitrag hilfreich? Mit einer Spende unterstützt du meine Arbeit in diesem Bereich.