Seit dem 25. Mai 2018 ist die Datenschutzgrundverordnung (DSGVO) der Europäischen Union (EU) direkt anwendbar. Bis zu diesem Stichtag mussten die Regelungen umgesetzt sein, das trifft auch auf viele Soziale Medien zu. Die zweite Untersuchung zu Sozialen Medien und der DSGVO legt den Fokus auf die Kontrollmöglichkeiten der gespeicherten personenbezogenen Daten und zwar auf das Recht auf Auskunft (Art. 15 DSGVO) und das Recht auf Datenübertragbarkeit (Art. 20 DSGVO). Wesentliches Ergebnis: Eine Kontrolle ist für Verbraucher nur schwer bis nicht umsetzbar.
Recht auf Auskunft und Datenübertragbarkeit in der Theorie
Nutzer haben das Recht, Auskunft beim Anbieter darüber zu verlangen, ob dieser personenbezogene Daten über sie gespeichert hat (Art. 15 DSGVO). Sollten Daten erhoben und gespeichert werden, haben Nutzer das Recht auf Auskunft über diese Daten und auch auf weitere Informationen. Sollte nichts vorliegen, ist auch darüber zu informieren. In jedem Fall muss eine Auskunft in präziser, transparenter, verständlicher und leicht zugänglicher Form und in einer einfachen und klaren Sprache erfolgen. Darüber hinaus muss der Anbieter bei einer Anfrage vom Nutzer eine Kopie der personenbezogenen Daten zur Verfügung stellen. Das Recht auf Auskunft sieht zudem vor – im Gegensatz zum alten Bundesdatenschutzgesetz (BDSG a. F.) –, dass Anbieter ihre Nutzer beispielsweise über bestehende Betroffenenrechte- und das Beschwerderecht informieren.
Das neue Recht auf Datenübertragbarkeit (Art. 20 DSGVO) dient der Vereinfachung eines Anbieterwechsels, in dem der Wechselaufwand für Nutzer minimiert werden soll. Das Recht auf Datenübertragbarkeit soll gleichzeitig aber auch eine bessere Kontrolle über die eigenen Daten gewährleisten Selbst bereit gestellte personenbezogene Daten müssen durch den jeweiligen Anbieter in einem strukturierten, gängigen und maschinenlesbaren Format zur Verfügung gestellt werden.. Eine Kontrolle der eigenen Daten auf diesem Wege ermöglicht Verbrauchern unter anderem, ihr Recht auf informationelle Selbstbestimmung wahrnehmen zu können.
In der Praxis: Kontrolle der eigenen Daten schwierig
Die Marktwächterexperten haben bei acht ausgewählten Diensten Sozialer Medien, darunter YouTube, Facebook und WhatsApp, über eine fiktive Testperson die Umsetzung des Rechts auf Auskunft und Datenübertragbarkeit getestet. Erstens wurde überprüft, inwieweit Verbraucher Antworten auf gestellte Anfragen nach Auskunft und Datenübertragbarkeit per E-Mail erhalten. Zweitens wurde über sogenannte Datendownload-Tools getestet, wie Anbieter die personenbezogenen Daten für einen potenziellen Anbieterwechsel bereitstellen. Ziel des Rechts auf Auskunft und des Rechts auf Datenübertragbarkeit ist weiterhin, dass Verbraucher die über sie gespeicherten Daten besser überprüfen können. „Wir haben jedoch festgestellt, dass die geprüften Anbieter Sozialer Medien ihren Nutzern es kaum ermöglichen, die über sie gespeicherten personenbezogenen Daten zu kontrollieren“, erklärt Marco Horn vom Marktwächter-Team der Verbraucherzentrale NRW.
Auskunft für Verbraucher unzureichend, zusätzliche Hürden
Der Praxistest der Marktwächterexperten zeigt: Keiner der Anbieter hat eine angemessene und vollständige Auskunft über die gespeicherten Daten gegeben. Im Gegenteil: Die Anbieter bauen zusätzliche Hürden auf und verweisen, oft in standardisierter Form, auf nicht aussagekräftige allgemeine Hilfebereiche, Webformulare oder Datenschutzerklärungen. Darüber hinaus liegen die Antworten teilweise in englischer Sprache vor. „Das ist aus unserer Sicht nicht hinnehmbar“, sagt Horn. „Auch wenn auf die Anfragen in Ansätzen reagiert wurde, zufriedenstellende Antworten blieben alle Anbieter schuldig. Das Recht auf Auskunft, welches schon nach dem Bundesdatenschutzgesetz (BDSG a. F.) bestand, läuft so ins Leere.“ Als Folge können Verbraucher mangels fundierter Informationen auch weitere Rechte wie Berichtigung, Sperrung und Löschung bestimmter Daten nur schwer wahrnehmen.
Prüfung der übermittelten Daten erschwert
Die Hälfte der geprüften Anbieter verwies in ihren Antworten auf ein Datendownload-Tool, über solche Tools können Nutzer die gespeicherten Daten herunter laden. Aber auch über Datenschutzerklärungen oder die jeweilige App ließen sich die Datendownload-Tools nutzen. Ein genauerer Blick auf die erhaltenen Daten-Pakete fiel ernüchternd aus: Zwar werden Datensätze zur Verfügung gestellt. Allerdings liegen diese in sehr unterschiedlichen Dateiformaten vor und sind mit Standardsoftware meist nicht zu öffnen. Darüber hinaus haben die einzelnen Dateien und Ordner bei allen Anbietern größtenteils englische Bezeichnungen. Der Inhalt der Dateien liegt ebenfalls überwiegend in englischer Sprache vor. Dadurch sind die Daten für Verbraucher kaum einsehbar oder lesbar und damit auch nicht überprüfbar. „Aufgrund der lückenhaften Informationen kann der Verbraucher keine informierte Entscheidung darüber treffen, ob die Daten zutreffend sind und vor allem welche Daten bei einem Wechsel zum neuen Anbieter übertragen werden sollen“, so Horn.
Kontrolle der eigenen Daten: Fehlanzeige!
In einer vorangegangenen Untersuchung stellten die Marktwächterexperten bereits fest, dass Anbieter Sozialer Medien schon im Vorfeld oder während des Anmeldeprozesses bei der jeweiligen App nicht ausreichend darüber informieren, was mit den Daten ihrer Nutzer geschieht. Die aktuelle Studie zeigt, dass eine Kontrolle durch Nutzer Sozialer Medien auch während und nach der Nutzung kaum möglich ist.
