Soziale Netzwerke: Max gegen Mark

Die Daten-CD kam mit der Post. Darauf 1200 A4-Seiten mit den Daten, die Facebook über Max Schrems gespeichert hat. Seit drei Jahren ist der 23-jährige Jurastudent aus Wien Mitglied bei dem sozialen Netzwerk von Mark Zuckerberg. Weil er wissen wollte, welche Informationen Facebook über ihn speichert, bat er das Netzwerk um Auskunft. Nur mit Mühe kam er an die Daten – und war schockiert, als er das Ergebnis sah. Doch auch andere soziale Netzwerke wie Google+ und die deutsche VZ-Gruppe speichern Nutzerdaten. Wir zeigen, welche Informationen gesammelt werden, wie die Nutzer darüber Auskunft bekommen und wie man seine Daten löschen kann.

Facebook ist das größte soziale Netzwerk mit 800 Millionen Mitgliedern. Nahezu alles, was der Nutzer auf den Seiten von Facebook macht, wird festgehalten. Es geht los mit persönlichen Angaben wie Name, Wohnort, Geburtstag, Kreditkartennummer. „Alles wurde gespeichert – alle Nachrichten, alle Chats inklusive sensibler Informationen über Freunde“, berichtete Schrems. Dazu gehören Fotos und Videos, Notizen und Aufenthaltsorte, das „Anstupsen“ von Mitgliedern, Veranstaltungen, zu denen der Nutzer eingeladen wird – egal, ob er zu- oder absagt oder die Einladung ignoriert. Gespeichert wird auch, welche „Freunde“ der Nutzer in seinem Netzwerk hat, ebenso jegliche Kontaktanfragen oder -ablehnungen. Falls der Nutzer einen Kontakt beendet, wird auch das festgehalten. Daten in insgesamt 57 Kategorien hat Schrems Paket umfasst.

Was ihn besonders überraschte: Selbst von ihm gelöschte Daten wurden von Facebook weiterhin gespeichert. „Wie kann man den User mehr verarschen, als ihm zu sagen: ,Es wurde gelöscht’ – und in Wirklichkeit ist noch alles da?“, sagte Schrems, der auch Initiator der Gruppe „Europe versus Facebook“ ist. Facebook suggeriere den Nutzern damit fälschlicherweise, dass sie jederzeit alles löschen könnten. Dass das offenbar nicht geht, ist auch im Hinblick auf die neue Funktion des Netzwerks problematisch. Timeline heißt sie und ist eine Art Zeitleiste, mit der die Nutzer die wichtigsten Stationen ihres Lebens darstellen können. Facebook will damit eine Art Lebensarchiv werden.

Wie Schrems kann jeder Nutzer bei Facebook einen Überblick über seine Daten bekommen. Eine kurze Übersicht erhält man über die eigenen Kontoeinstellungen mit einem Klick auf „Lade eine Kopie deiner Facebook-Daten herunter“. Hier werden persönliche Informationen angezeigt und können heruntergeladen werden. Dazu gehören Pinnwand-Beiträge, Fotos und Videos. Um die Herausgabe aller Daten zu erreichen, muss ein gut verstecktes Formular ausgefüllt werden. Die Angaben dort müssen mit denen des Facebook-Profil übereinstimmen. Zudem muss der Nutzer das Gesetz zitieren, wonach er Dateneinsicht beansprucht. Schrems empfiehlt, sich auf Artikel 12 der Europäischen Datenschutzrichtlinie zu berufen und „Section 4 DPA + Art. 12 Directive 95/46/EG“ einzutragen. Dem Antrag muss eine Kopie oder ein Foto des Personalausweises beigefügt werden, damit Dritte die Daten nicht anfordern können.

Nach spätestens 40 Tagen muss Facebook die Daten herausgeben. Allerdings versuchte das Netzwerk nach Angaben von Schrems, ihn immer wieder abzuwimmeln. Er ließ jedoch nicht locker und wandte sich an den irischen Datenschutzbeauftragten. Der ist zuständig, weil in den Nutzungsbedingungen von Facebook steht, dass europäische Facebook-Mitglieder eine Vereinbarung mit der Firma Facebook Ireland Limited eingehen. Nach Durchsicht der Daten hat Schrems 22 verschiedene Anzeigen gegen Facebook eingereicht, der irische Datenschutzbeauftragte ermittelt.

Facebook versichert, dass „im vollen Maße mit dem irischen Datenschutzbeauftragten“ kooperiert werde. Auf die Frage, warum Facebook nicht wie vorgegeben die vom Nutzer gelöschten Daten dauerhaft entfernt, gibt es nur ausweichende Antworten. Möglicherweise hätten die Informationen für Nachforschungen aufbewahrt werden müssen, wurde dem Tagesspiegel mitgeteilt.

Google+ ist das jüngste soziale Netzwerk. Im Sommer startete der Ableger des amerikanischen Suchmaschinenbetreibers mit einer geschlossenen Beta-Phase, in der neue Mitglieder nur nach Einladung aufgenommen wurden. Inzwischen hat sich das Netzwerk für alle Internet-Nutzer geöffnet. Vom Aufbau besteht der wesentliche Unterschied zu Facebook darin, dass die Kontakte in Kreisen organisiert werden. Doch auch in seiner Datenschutzpolitik unterscheidet sich Google+ von Facebook. „Wir sind der Meinung, dass der Nutzer Herr seiner Daten sein muss“, sagt Google-Deutschland-Sprecher Stefan Keuchel. Bei Google kann direkt über das Internet festgestellt werden, welche Daten der Internet-Konzern über den jeweiligen Nutzer gespeichert hat – allerdings mit einer Einschränkung: Er muss über ein Google-Konto verfügen. Sobald er sich mit seinem Nutzernamen und dem dazu- gehörigen Passwort angemeldet hat, erhält er Zugang zu den beiden Tools, über die Google den Nutzern Einblick in die gespeicherten Daten gewährt.

Die zentrale Schnittstelle für die Nutzerdaten ist das Google Dashboard. Es ist über eine gesicherte Adresse zu erreichen. Hier können die Informationen zum Konto, zum eigenen Profil, zu den Android-Geräten des Nutzers angesehen werden. Ferner erreichbar sind: Aufgabenplaner, Kalender, Mailkonto sowie andere Google-Dienste wie Picasa-Webalben oder Google Docs. Über das Dashboard können die Dienste bearbeitet werden. Zudem lassen sich die Datenschutzeinstellungen anpassen. Das Dashboard umfasst Keuchel zufolge alle personalisierten Google-Dienste. Für die von Google+ gespeicherten Nutzerdaten muss ein anderes Werkzeug mit dem Namen „Google Takeout“ aufgerufen werden. Mittels Takeout lassen sich viele der in Google+ gespeicherten Daten in ein externes Archiv übertragen. Auf diese Weise sieht man unter anderem, welche Profildaten gespeichert wurden, was Google über die angelegten Kreise und ihre Nutzer weiß, welche Webseiten man anderen Nutzern empfohlen hat und auf welche Nachrichten im Stream hingewiesen wurde. Eine automatische Löschung von Daten gibt es Google zufolge nicht, vielmehr können die Nutzer ihre Daten selbst dauerhaft entfernen.

Die VZ-Netzwerke mit SchülerVZ, StudiVZ, FreundeVZ speichern und verarbeiten Nutzerdaten nach deutschem Datenschutzrecht. Die VZ-Netzwerke sind seit Mai 2007 Mitglied der Freiwilligen Selbstkontrolle Multimedia-Diensteanbieter (FSM). Der FSM-Verhaltenskodex sieht unter anderem vor, dass sämtliche gespeicherten Profilinhalte zu löschen sind, sobald ein Nutzer seine Mitgliedschaft beendet, sagt Stephanie Trinkl, Leiterin der VZ-Rechtsabteilung, dem Tagesspiegel. Der Kodex verlangt zudem, dass von der Abfrage besonders sensibler Daten – wie Religionszugehörigkeit oder Gesundheitsdaten – von Kindern und Jugendlichen abzusehen ist. Nicht-temporäre Daten wie Profilangaben oder Fotos werden so lange gespeichert, bis der Nutzer sie löscht. Log-Files, die bei der Nutzung der Webseiten anfallen, werden spätestens nach fünf Tagen gelöscht. Und Angaben, die der Nutzer in seinem Profil geändert oder gelöscht hat, werden nicht weiter gespeichert, sondern „von unseren Datenbanken unwiederbringlich entfernt“, wie Trinkl betont.

Allerdings verdient auch die VZ-Gruppe ihr Geld mit Werbung: Für die Netzwerke StudiVZ und FreundeVZ gilt, dass einige Daten für personalisierte Werbung ausgewertet werden. Dazu gehören Geschlecht und Religion, Interessen (Bücher, Filme, Musik) oder Gruppen-Mitgliedschaften. Per Opt-Out-Widerspruch kann die personalisierte Werbung deaktiviert werden. Für die Mitglieder von SchülerVZ werden keine personenbezogenen Daten für personalisierte Werbung ausgewertet.

Einblick in die gespeicherten Daten kann per Mail an datenschutz@vz.net oder postalisch an VZ Netzwerke Ltd, Datenschutzbeauftragter, Saarbrücker Str. 38, 10405 Berlin beantragt werden.