Ist Facebook-Tracking mit "sensiblen Daten" erlaubt?

Um potentielle Wähler außerhalb des eigenen Kernsegments zu erreichen, haben österreichische Parteien bei der Nationalratswahl im digitalen Wahlkampf auf sogenanntes „Microtargeting“ gesetzt. Dabei war keines der Bilder, Videos oder Texte Zufall, die Menschen auf Plattformen wie Facebook zielgerichtet zu sehen bekommen haben. Facebook hat etwa die „Likes“ und andere Reaktionen wie „traurig“ oder „wütend“ bei Postings getrackt und mit anderen personenbezogenen Daten, die sie über einzelne Personen haben, zusammengeführt. Auch wer sich ein Video angesehen hat, wer einen Beitrag kommentiert oder geteilt hat, wurde gespeichert.

Targeting mit sensiblen Daten

Das Ziel dabei: Die Personen ausfindig machen, die nur „latent den Standpunkten der Partei oder der Konkurrenten“ zustimmen oder „noch undeklariert“ sind. „Um diese Stimme kann und muss man kämpfen“, erklärte der Digital-Experte Tom Thaler in einem Vortrag auf der Privacy Week. Das bedeutet auch, dass die Parteien zielgerichtet Menschen mit Facebook-Werbung adressiert haben, die maßgeschneidert war – und dabei auch auf sogenannte „sensible Daten“ zugegriffen wurde.

Doch darf man das überhaupt? Die Parteien würden es wohl nicht machen, wenn sie nicht daran glauben würden. Ganz so klar ist dies allerdings nicht. Die futurezone hat recherchiert und bekam bei drei Rechtsexperten jeweils unterschiedliche Auskünfte zu dieser Causa. In Paragraph 4 Absatz 2 des österreichischen Datenschutzgesetzes (DSG 2000) steht, dass die „politische Meinung“ zu den „sensiblen, besonders schutzwürdigen Daten“ gehört.

Einwilligung der Nutzer

Laut der Einschätzung des IT- und Datenschutz-Spezialisten, Axel Anderl von DORDA Rechtsanwälte, handelt es sich beim Facebook-Like einer Partei definitiv um ein „sensibles Datum“ im Sinne der Datenschutzgesetze. „Schließlich geht aus dieser Information in der Regel die politische Meinung des betroffenen Facebook-Users hervor“, sagt Anderl.

Die Verarbeitung dieser Daten unterliegt daher strenger Zulässigkeitsvoraussetzungen: Betroffene müssen ihre politische Meinung entweder selbst veröffentlichen oder ihre ausdrückliche Einwilligung geben. In dem Fall von Facebook-Likes trifft laut Anderl weder das eine, noch das andere zu. „Ein Like einer politischen Partei ist eingeschränkt auf den eigenen Online-Freundeskreis des Betroffenen und ist daher in den meisten Fällen lediglich teilöffentlich. Eine ausreichend konkretisierte Einwilligung der Nutzer zur Verarbeitung sensibler Daten wird von Facebook aktuell gerade nicht eingeholt. Daher haben einige europäische Datenschutzbehörden auch bereits Geldstrafen gegen Facebook verhängt“, erklärt Anderl.

Klagen von Datenschutzbehörden

Die französische Datenschutzbehörde hat Facebook etwa im Mai 2017 zu einer Geldstrafe von 150.000 Euro verurteilt, weil das soziale Netzwerk nicht das ausdrückliche Einverständnis seiner Nutzer eingeholt hat, wenn diese sensible Daten zu politischen Einstellungen teilen. Auch die spanische Datenschutzbehörde hat Facebook mit 1,2 Millionen Euro eine Rekordstrafe aufgebrummt, weil der Konzern zu intransparent mit den Userdaten umgeht. Der Vorwurf lautet auch hier: Facebook habe Informationen wie Geschlecht, religiöse Einstellungen, persönlichen Geschmack oder Browsing-Daten gesammelt, ohne die Betroffenen darüber in Kenntnis zu setzen, wie diese Informationen genutzt werden sollten.

Die Daten werden dabei, wie Auftraggeber der österreichischen Parteien erzählt haben, längst im digitalen Wahlkampf genutzt. Der Datenschutz-Experte Wolfie Christl, der selbst aber kein Jurist ist, meint dazu: „Das Facebook-Tracking mit sensiblen Daten ist eine Frage, die dringend geklärt werden muss. Es ist absurd, dass die Datenschutzbehörde hier nicht schon längst aktiv geworden ist.“ Von der österreichischen Datenschutzbehörde war nach mehrmaligen Anfragen allerdings nur eine Standard-Antwort zu bekommen: „Wie Sie wissen, gibt die Datenschutzbehörde außerhalb konkreter Verfahren keine Stellungnahme ab, weil dies das Ergebnis eines möglichen Verfahrens präjudizieren könnte“, heißt es. Anders als in Belgien, Spanien, Frankreich, Niederlande und Deutschland darf die Datenschutzbehörde nämlich nur aktiv werden, wenn ein konkretes Verfahren eingeleitet wird.

Meldepflicht und Ansichten

Laut Ansicht von Anderl gilt allerdings nach aktueller Rechtslage bei der Verarbeitung von sensiblen Daten eine Meldepflicht samt Vorabkontrolle durch die Datenschutzbehörde. Wenn Daten über die politische Meinung von Facebook-Usern daher auch den (österreichischen) Parteien zu Werbezwecken zugänglich gemacht werden, sind sie selbst meldepflichtig.

Ergänzend fügt der Rechtsexperte Lukas Feiler von der Kanzlei Baker McKenzie hinzu: „Die Parteien haben als Werbende gar keine personenbezogenen Daten, sondern die gehören Facebook – und Facebook unterliegt nicht dem österreichischen Recht, weil es hier keine Niederlassung von Facebook gibt.“

Verschiedene Interpretationen

Tatsächlich hängt hier vieles an der Frage, wer eigentlich der Auftraggeber beim Targeting ist. Laut Max Schrems, Gründer von NOYB.eu, der sich ebenfalls intensiv mit Datenschutzrecht befasst, gibt es hier viele unterschiedliche Rechtsansichten: „Ist Facebook in dem Fall der Dienstleister, die österreichischen Agenturen die Auftraggeber, oder gibt es hier etwa zwei gemeinsame Auftraggeber? Dazu gibt es in vielen Ländern Streitigkeiten und Facebook beruft sich hier meistens auf die Rolle, die für sie gerade am besten passt und was gerade für sie günstig ist. Wenn es um Hasspostings geht, nehmen sie etwa die Nutzer in die Pflicht, wenn es um andere Dinge geht, haben diese wiederum gar keine Rechte.“

Es ist also durchaus schwierig, die Frage, ob das, was im digitalen Wahlkampf zur Nationalratswahl gemacht wurde, legal gewesen ist oder nicht. Anderl etwa ist der Ansicht, dass die „Verarbeitung von sensiblen Daten über die politische Meinung von Facebook-Usern unzulässig“ sei und „mangels Einwilligung der Betroffenen datenschutzrechtlich nicht gerechtfertigt“ sei. Gänzlich klären könnte man eine derartige Frage allerdings nur vor Gericht.