Europe vs. Facebook: Erfolge in Irland

Ihr habt wahrscheinlich alle die Aktion von Max aus Österreich mit verfolgt, der vor einiger Zeit für ziemlichen Wirbel gesorgt hat, als er herausfand, dass man alle seine Daten, die Facebook so speichert, auf einer CD beantragen kann. Damit ist tatsächlich alles an Daten gemeint, nicht der olle Kram, den eh jeder kennt – das mit dem Herunterladen von Daten. Nachdem es in der letzten Zeit etwas ruhiger war, gibt es nun News der irischen Datenschützer, die ich euch nicht vorenthalten möchte, vielleicht interessiert es ja den einen oder anderen Facebook-Fan / -Hasser – es geht um Erhebungszeiträume von IPs & Co. Der gleich folgende Text wurde von Europe vs. Facebook veröffentlicht, Facbook äußert sich hier.

Die irische Datenschutzbehörde hat nach 22 Anzeigen der österreichischen Studentengruppe („europe-v-facebook.org“) eine umfangreiche Betriebsprüfung von „Facebook Ireland Ltd“ durchgeführt. Dabei wurden zwei mehrtägige Untersuchungen in Facebook’s Europazentrale in Dublin durchgeführt. Ein erster Bericht liegt nun vor: Die Ergebnisse des Berichts decken sich über weite Strecken mit den von uns angezeigten Vergehen gegen den Europäischen Datenschutz. Wir sind überaus glücklich über diesen ersten Schritt:

Facebook muss den über 40.000 Nutzer, die eine Kopie der Datensätze verlangt haben alle Daten herausgeben. Inklusive z.B. den Gesichtserkennungsdaten und allen anderen im Hintergrund gespeicherten Daten. Facebook muss seine Datenschutzrichtlinien in vielen Punkten ändern und verbessern. Facebook darf Nutzerdaten nur noch beschränkt für gezielte Werbung verwenden.

Die Datennutzung von „Social Plug-Ins“ wie zB. der „Like-Button“ darf nur mehr sehr eingeschränkt vorgenommen werden. „Tracking“ von Nutzern mittels des „Like-Buttons“ darf nicht (mehr) vorgenommen werden. Die Nutzerbilder dürfen nicht mehr für die Werbung gewisser Produkte eingesetzt werden, wenn der Nutzer nicht ausdrücklich zustimmt. Die Nutzer müssen eine Möglichkeit erhalten Daten wirklich zu „löschen“. Bisher wurden gelöschte Daten weiter von Facebook behalten. Nutzer dürfen nicht mehr ohne deren Zustimmung zu Gruppen hinzugefügt werden.

Inaktive oder deaktivierte Profile müssen gelöscht werden wenn der Nutzer lange Zeit nicht mehr online war. Von IP-Adressen welche via Social-Plugins gesammelt werden müssen die letzten die Zahlen gelöscht werden. Eingaben im „Suche“-Feld auf Facebook müssen nach maximal 6 Monaten gelöscht werden. Wenn Nutzer die Werbungen anklicken darf diese Information nicht länger als 2 Jahre gespeichert werden.

Nutzerdaten müssen gelöscht werden wenn die Registrierung auf facebook.com nicht zu Ende geführt wurde. Bei Anwendungen („Applications“) dürfen die Nutzer Daten von Dritten (z.B. Freunden) nur noch limitiert an die Anwendung weiterleiten. Bei Anwendungen („Applications“) muss Facebook die Datenschutzbedingungen des Anbieters überprüfen. Die Gesichtserkennung auf Facebook wurde illegal aktiviert. Alle Nutzer müssen nun erneut zustimmen. Facebook muss sicherstellen, dass Mitarbeiter nur die Daten zu Gesicht bekommen die für ihre Arbeit unbedingt notwendig sind. Bisher gibt es kein solches System bei Facebook.

Konsequenzen? Die irische Datenschutzkommission ist die einzige europäische Behörde, die ggf.  auch die europäischen Datenschutzgesetze gegen Facebook durchsetzen kann. Der Bericht zeigt  Facebook sehr deutliche Grenzen bei der Nutzung von persönlichen Daten in Europa auf. Folgt  Facebook den im Bericht vorgeschlagenen Maßnahmen nicht, so kann die irische Behörde auch  Strafen von bis zu € 100.000 verhängen.