Diskussion um "Gefällt-mir"-Knopf Facebook bemängelt Datenschützer-Gutachten

Nächste Runde im Streit zwischen Facebook und Schleswig-Holsteins Datenschützer Thilo Weichert: Vor einem Ausschuss des Landtags kontert Europa-Verantwortlicher Richard Allan die Vorwürfe gegen sein Unternehmen - doch den Konflikt kann er nicht entschärfen.

Ein Glamour-Gremium ist der Innen- und Rechtsausschuss des schleswig-holsteinischen Landtags nicht: Themen wie "Entwurf eines Gesetzes zur Änderung der Gemeindeordnung" oder "Gesetz zur Aufhebung des Fahrberechtigungszuständigkeitsgesetzes" stehen dort in der Regel auf der Tagesordnung, selbst für Politik-Süchtige ist derlei Graubrot meist ungenießbar.

Dass an diesem Mittwoch alles anders ist, Unternehmen, Webseiten-Betreiber und nicht zuletzt viele Internet-Nutzer nach Kiel blicken, ist Thilo Weichert zu verdanken. Der oberste Datenschützer des Bundeslandes hatte jüngst eine Offensive gegen die Datenschutz-Vorstellungen von Facebook eingeleitet, das in Deutschland etwa 20 Millionen Mitglieder zählt: Das Landeszentrum für Datenschutz (ULD) hatte untersucht, welche Informationen Facebook von deutschen Nutzern sammelt.

Weil der Konzern demnach Daten von Nicht-Mitgliedern sammelt, wenn diese die Seite oder Plattformen mit eingebundenen Facebook-Modulen besuchen, hatte Weichert alle Stellen im Norden aufgefordert, ihre Facebook-Fanseiten und die "Gefällt-mir"-Buttons zu entfernen, die auch sueddeutsche.de verwendet. Wer sich weigert, kann ab 1. Oktober mit einer Abmahnung und Bußgeldern bis zu 50.000 Euro rechnen.

Zur Sitzung des Innenausschusses war deshalb neben Weichert Facebooks Europa-Verantwortlicher Richard Allan gekommen, um diesen Vorwürfen zu begegnen. Seine Botschaft: "Wir erstellen keine Profile von Menschen, die keine Mitglieder sind." Die Analyse der Datenschützer sei zwar nicht falsch, aber lückenhaft. Nun will Facebook innerhalb einer Woche die Mutmaßungen schriftlich widerlegen. Ein im Vorfeld von Facebook zusammengestelltes Papier (hier als pdf) konkretisiert die Kritik an Weicherts Vorwürfen:

[] Facebook erklärt, keine "pseudonoymen" Profile von Internet-Nutzern zu erheben, die eine Seite mit eingebautem Like-Button besuchen. In dem ULD-Papier wird behauptet, Facebook würde auch bei Nicht-Nutzern einen Cookie auf dem Rechner oder dem Smartphone installieren, der diesen dann stets erkennen kann, soweit der Cookie nicht gelöscht wird. Damit wäre alleine über die Auswertung der Cookie-Daten eine Analyse des Surfverhalten eines Nutzers möglich.

Facebook bestätigt zwar, einen "Data-Cookie" zu installieren, interpretiert dessen Funktion allerdings als Versuch, "schadhaftes Verhalten" wie zahlreiche fehlgeschlagene Login-Versuche und die Erstellung von Spam-Accounts zu erkennen. Im Blog Netzpolitik.org wird dies so interpretiert: "Der Like-Button trackt auch Nichtnutzer für 90 Tage Dauer - und zwar mittels eines Cookies. Die IP wird dabei nicht gespeichert, weil ja das (sehr viel aussagekräftigere, eindeutige) Cookie ausreicht, denn im Cookie werden Informationen gespeichert, die zu einer eindeutigen Identifikation ausreichen. Es sei denn, man hat noch nie Facebook.com besucht." *

[] Die Speicherung der IP-Adresse nimmt Facebook nach eigenen Angaben anonymisiert vor. Wenn sich herausstellt, dass ein Nutzer aus Deutschland eine Seite mit dem Facebook "Gefällt-mir"-Knopf besucht, wird dessen IP-Adresse in eine künstliche Adresse umgewandelt, also anonymisiert. Die Daten, die Facebook erhält, könnten also keinen Computer-Anschlüssen oder gar Personen zugeordnet werden. Facebook speichert damit zwar Informationen, wie viele Nutzer aus Deutschland eine Seite mit dem "Gefällt-mir"-Button besuchen, allerdings nicht, welche IP-Adresse sich hinter den Besuchern verbirgt.

Dies gilt für unangemeldete Internet-Surfer, aber auch für Facebook-Mitglieder, die eingeloggt sind. Deren IP-Adresse wird nur aufgezeichnet, wenn ein angemeldeter Nutzer tatsächlich den "Gefällt-mir"-Knopf drückt. "Wir löschen diese Daten innerhalb von 90 Tagen", heißt es dazu bei Facebook.

[] Auch die Facebook-Fanseiten sollen nach Unternehmensangaben keine persönlichen Daten von Nicht-Facebook-Nutzern sammeln. Dass Facebook Aktionen angemeldeter Nutzer protokolliert, die sich auf der Seite bewegen, ist bekannt und in der Datenschutzrichtlinie des Portals vermerkt.

Den Administratoren der Seite werden dem Papier zufolge keinerlei Statistiken zur Verfügung gestellt, die identifizierbare Informationen zu einzelnen Nutzern enthalten - Administratoren von Facebook-Gruppen können dies auch bestätigen.

Facebook-Mann Allan stellte in der Anhörung zudem klar, dass die Facebook-Fanseiten seinem Unternehmen, nicht der dort auftretenden Marke gehöre - damit dürfte er auch verhindern wollen, dass noch mehr betroffene Firmen nun aus Angst vor Geldstrafen ihren Auftritt dort löschen.

[] Die Version des "Gefällt-mir"-Knopfs, die heise.de anbietet, lehnt ULD-Mann Weichert ab, Facebook-Vertreter Allan will die Idee erst noch genauer begutachten. In dieser modifizierten Variante des Buttons wird die Datenübertragung erst nach dem zweiten Klick aktiviert. Sollte Facebook tatsächlich keine IP-Adressen der deutschen Besucher von Seiten mit dem Knopf speichern, wäre diese Lösung allerdings womöglich sowieso überflüssig.

Schleswig-Holsteins Datenschützer scheint Facebook trotz der Erklärungen nicht zu trauen. Die Rechtslage habe sich nicht geändert, sagte Weichert nach einem ersten Gespräch mit Allan zu diesem Thema. "Das große Problem besteht in der Datenübermittlung aus Schleswig-Holstein und Deutschland in die USA." Diese bleibt den Nutzern laut Weichert verborgen, obwohl deren Einwilligung nötig sei.

Auch sei bislang unklar, was Facebook mit den Daten mache. Weichert verlangte von Facebook daher Änderungen in der Geschäftspolitik und mehr Transparenz. Das Unternehmen müsse sich "gewaltig bewegen", wird er in der Pressemitteilung des ULD zitiert. Weil Facebook bislang nicht offenlege, was es mit den Nutzerdaten mache, würden dem ULD weiterhin nötige Informationen fehlen.

An der Ankündigung, zum 1. Oktober Webseitenbetreiber in Schleswig-Holstein zu sanktionieren, will Weichert deshalb festhalten. Allerdings sollen zuerst "öffentliche Stellen sowie große private Anbieter" überprüft werden.

*Absatz am 8.9.2011 ergänzt.