Ich weiß wo du bist und was du willst!

Und obwohl es für das Recht auf informationelle Selbstbestimmung viele gute Gründe gibt, halten einige die Bedenken schlicht für übertrieben und sehen sogar den digitalen Wirtschaftsstandort Deutschland in Gefahr – was mindestens genauso übertrieben ist.

Um es gleich vorweg zu sagen: Es geht im Folgenden nicht darum, Mobiles Marketing, Digitales Couponing oder Geotagging-Dienste an den Pranger zu stellen. Solange es sich um seriöse Anbieter solcher Werbe- und Marketingmaßnahmen handelt, muss obige Überschrift im Grunde um einen entscheidenden Zusatz ergänzt werden – nämlich den, dass der Anbieter zwar weiß, wo der Nutzer gerade ist, er jedoch nicht weiß, wer der Nutzer ist. Oder anders ausgedrückt: Der Anbieter weiß anhand der Mobilfunknummer, der Geräteidentifikation oder GPS, wo sich das mobile Device gerade befindet, um dem User dann über die erfassten Geodaten exakt die – und nur die – Angebote und Services anzubieten, für die er sich mittels SMS oder im Rahmen einer App freiwillig registriert hat. Persönliche Daten des Nutzers sind dafür oftmals gar nicht notwendig. Außerdem wird die Ortung – z.B. über GPS – vom Anwender immer selbst initiiert, und zwar erst in dem Moment, in dem er eine Couponing-App oder einen Location-based Service aufruft. Eine dauerhafte GPS-Überwachung geschweige denn die Erstellung eines Bewegungsprofils findet nicht statt. Vorausgesetzt, alles läuft im gesetzlichen Rahmen...

Trennungsgebot

Doch es ist wie immer im Leben. Dort, wo es Möglichkeiten zum Missbrauch gibt, wird es auch immer jemanden geben, der versucht, sich bietende „Lücken“ zu nutzen. Lücken in der Technik, Lücken in der Gesetzgebung oder selbsteingebaute Tücken in seinen Allgemeinen Geschäftsbedingungen. MOBILE BUSINESS wollte von verschiedenen Experten und Akteuren aus dem (weitläufigen) Umfeld des Mobile Marketing wissen, wie Unternehmen rechts- und verbraucherschutzkonforme Kampagnen aufsetzen können, um die eigene Marke zu stärken, Kunden zu gewinnen, den Umsatz zu erhöhen und/oder ihren Kunden einen nutzenbringenden Service zu liefern. Hinsichtlich des Datenschutzes verweist Thomas Schauf darauf, dass Mobile-Marketing-Kampagnen generell nicht anders funktionieren als Online-Kampagnen, bei denen Werbemittel auf Webseiten eingebucht werden. Anders hingegen sehe es bei der Werbung via SMS aus, die der Projektleiter Selbstkontrolle Online-Datenschutz im Bundesverband Digitale Wirtschaft (BVDW) e.V. mit dem E-Mail-Marketing vergleicht. Denn auch hier greifen die Unternehmen auf einen Dienstleister zurück, der aufgrund der Erlaubnis der Nutzer in der Lage ist, Werbebotschaften zu plazieren. „Wenn durch die Werbeaktion selbst Kontakte generiert werden sollen, dürfen diese Daten später nicht mit den Daten realer Käufe in einer Datenbank gespeichert, geschweige denn zusammen verarbeitet werden – hier gilt ein klares Trennungsgebot“, stellt Schauf unmissverständlich klar und fügt hinzu, dass die Nutzung einer Telefonnummer zum Zwecke der Zusendung von Werbe-SMS auch nach wettbewerbsrechtlichen Vorgaben generell einer expliziten Vorabeinwilligung bedarf, um nicht als Spam zu gelten. „Werden personenbezogene Daten für Werbezwecke erhoben bzw. genutzt, muss derjenige, der die Daten erhebt, ebenfalls die Einwilligung des Betroffenen einholen.“

Zustimmung erforderlich

Rechtsanwalt Oliver Poche von der Kanzlei Scheuermann, Westerhoff, Strittmatter pflichtet bei: „Zunächst ist jede Erhebung, Verarbeitung und Nutzung personenbezogener Daten unzulässig; ausnahmsweise sind die Handlungen aber dann erlaubt, wenn der Betroffene eingewilligt hat oder eine gesetzliche Vorschrift die Verarbeitung legitimiert.“ Insoweit sollten Unternehmen zunächst darauf achten, dass die Betroffenen wirksam in die Erhebung, Verarbeitung und Nutzung der personenbezogenen Daten eingewilligt haben. Eine Einwilligung in die Verwendung solcher Daten wird in elektronischen Medien nur wirksam durch eine gesonderte Erklärung („Opt-In“) des Betroffenen.

Ohne Zustimmung des Betroffenen genutzt werden können anonymisierte oder zusammengefasste (aggregierte) Daten und Datensammlungen. Entscheidend ist dabei laut Oliver Poche jedoch, ob die Daten nicht mehr oder nur mit einem unverhältnismäßig großen Aufwand an Zeit, Kosten und Arbeitskraft einem Menschen zugeordnet werden können. Insoweit ist die Erstellung anonymer Profile grundsätzlich zulässig. „Da aber die Frage, wann ein Aufwand unverhältnismäßig groß ist, nicht pauschal zu beantworten ist, ist dies im Einzelfall zu prüfen.“ Vorsicht ist also geboten.

Falls sich ein Anwender bzw. Endnutzer also für einen mobilen Service oder ein mobiles Angebot registriert, muss er eine faire Chance haben, zu erkennen, was mit seinen Daten passiert, welche Daten gesammelt werden und wie sie später in das eigene Angebot eingebunden werden. „Vielfach erfolgt nämlich eine Ansprache, bei der nicht völlig klar ist, ob es sich um eine Werbeanzeige oder eine individuelle Kontaktaufnahme handelt – etwa bei der Information über eine neue Anwendung“, kritisiert Thomas Wilmer von der Frankfurter Kanzlei Avocado. Doch die Pflichten des Mobile-Marketing-Anbieters enden nicht bei der korrekten Informationsgestaltung gegenüber dem Nutzer. Vielmehr sind die Unternehmen gemäß § 9 Datenschutzgesetz auch dazu verpflichtet, organisatorische und technische Maßnahmen zu ergreifen, die den Schutz der gespeicherten Daten gewährleisten. Insbesondere bei sensiblen Daten wie Kreditkarten- oder Bankangaben sollten sichere Verschlüsselungstechniken eingesetzt werden. Unternehmen, die mobiles Marketing/Couponing über einen Dienstleister abwickeln wollen – Handelsunternehmen oder Filialisten beispielsweise – sollten darauf drängen, dass in jedem Falle eine Erklärung zur Auftragsdatenverarbeitung unterzeichnet wird, in der genau geregelt wird, welche Aufgaben der Dienstleister übernimmt, welche Sicherheitsstandards er erfüllt und wie die Haftung bei Datenverlusten verteilt ist.

Anbieter um Datenschutz bemüht

Dass sich auch viele Anbieter ausführlich mit dem Thema Datenschutz auseinandersetzen, zeigt exemplarisch das Beispiel des Kölner Unternehmens Coupies. Welche Maßnahmen zu ergreifen sind, hängt für Unternehmenssprecher Tom Engel von der Ausgestaltung der Mobile-Couponing-Aktion ab und muss im Einzelfalle geprüft werden. Er sieht allerdings zwei grundlegende Fragen, an denen man sich orientieren kann:

Frage 1 Verarbeitet einer der Akteure – beispielsweise der Dienstleister – personenbezogene Daten für einen der anderen Akteure (werbendes Unternehmen)?

Es gibt Kampagnen, bei denen der Kundenstamm eines Dienstleisters oder Portals angesprochen wird, aber auch solche, bei denen ein Hersteller seinen eigenen Kundenstamm anspricht (z.B. Kundenbindungsprogramme). Wenn für letzteres ein Dienstleister involviert wird, sollte geprüft werden, ob ein Akteur als Auftragsdatenverarbeiter im Sinne des § 11 des Bundesdatenschutzgesetzes handelt. Generell ist das Unternehmen in der Verantwortung, welches die Nutzerdaten hält.

Frage 2 Werden personenbezogene Reporting-Daten zwischen Akteuren der Aktion ausgetauscht?

Dieser Austausch liegt beispielsweise vor, wenn ein Dienstleister dem Auftraggeber personenbezogene Daten seiner Nutzer zur Verfügung stellt und nicht als Auftragsdatenverarbeiter handelt. In jedem Falle, wo Coupon-Einlösungen Individuen zugeordnet werden (personalisierte Coupons), sollten Datenschutzaspekte besonders berücksichtigt werden. Vor allem vor dem Hintergrund, dass abhängig von den konkreten Umständen bei Rechtsverstößen des Dienstleisters häufig der Auftraggeber haftet, wie Rechtanwalt Jan Schneider, SKW Rechtsanwälte, feststellt.

Es wäre zwar schön, wenn sich alle Teilnehmer an die Spielregeln hielten, doch dies wird wohl eher Wunschtraum bleiben. Wenn man schaut, wo Datenreservoirs schier unermesslichen Ausmaßes liegen, kommen einem unweigerlich die Sozialen Netzwerke in den Sinn. Und die werden mittlerweile angezapft.

Datenschutz vs. freiwillige Datenfreigabe

Dabei ist Situation geradezu paradox: Auf der einen Seite wird die Diskussion um den Datenschutz teilweise erbittert geführt, auf der anderen Seite verraten viele internet-affine Menschen bereitwillig teilweise intimste Dinge über sich. Informationen, die durch geschicktes Verbinden zu einem immer stimmigeren Gesamtbild zusammengepuzzelt werden können. Dr. Felix Wittern, Partner der Kanzlei Field Fisher Waterhouse in Hamburg, wirft angesichts des sich rasch verändernden Nutzerverhaltens denn auch die Frage auf, inwieweit das Recht auf informationelle Selbstbestimmung in Zeiten von Social Media und Digitalem Marketing überhaupt noch im traditionellen Sinne funktionieren kann. „In ganz vielen Fällen sollte Nutzern heute klar sein, dass sie im Netz viele Details über sich und ihr Umfeld preisgeben – und damit im Zweifel immer auch eine Tür zu möglichem Missbrauch öffnen.“

Die Argumentation, die Rechte des Internetnutzers infragezustellen, nur weil er von möglichem Missbrauch wissen kann, fordert jedoch Widerspruch geradezu heraus. Den liefert denn auch Rechtsanwalt Jan Schneider: „Die Preisgabe privater Informationen beinhaltet kein Einverständnis zu deren Missbrauch. Selbst wer bereitwillig im Internet etwas von sich preisgibt, hat einen Anspruch auf rechtskonformen Umgang mit diesen Daten.“ Dies sieht Oliver Poche ähnlich. Er bewertet den Sachverhalt so, dass die Nutzung personenbezogener Daten, die von Dritten ausgelesen werden, zumindest problematisch, wenn nicht rechtswidrig ist. Grundsätzlich regele zwar § 14 Abs. 5 BDGS, dass Daten, die allgemein zugänglich sind, gespeichert, verändert und genutzt werden dürfen. Ob soziale Netzwerke allgemein zugängliche Informationsquellen sind, sei jedoch fraglich.

Auch für Benedikt Hanswille, Creative Technology Director bei 12snap, einer Agentur für digitales Crossmarketing, kann diese Schlussfolgerung nicht wirklich nachvollziehen. Er sieht das Teilen von Informationen über soziale Plattformen als Kommunikation unter Freunden. „Zu diesen Freunden gehören jedoch nicht die Werbung bzw. die kommerzielle Verwendung dieser Informationen. Nutzer reagieren grundsätzlich empfindlich, wenn ihre geteilten Informationen auf einmal in Anzeigen oder anderen Inhalten wiederverwendet werden, ohne dass sie explizit die Erlaubnis erteilt haben.“ Somit sollten die Nutzer zumindest die Möglichkeit haben, zu entscheiden, ob sie personalisierte Werbung erhalten möchten oder nicht.

Verlockung Social Media

Dabei sind die Möglichkeiten verlockend. Jan Schneider berichtet von beeindruckend effektiven technischen Möglichkeiten der automatisierten Suche, Verknüpfung und Nutzung von Personendaten. Viele dieser Möglichkeiten seien hierzulande zwar, wie schon beschrieben, rechtswidrig, würden aber dennoch verwendet – frei nach dem Motto: Wo kein Kläger, da kein Richter. In der Regel sind nicht einmal besondere technische Ausspähversuche notwendig. Meist genügt laut Avocado-Anwalt Thomas Wilmer entweder die Strategie, die frei zugänglichen Daten aus verschiedenen Plattformen miteinander automatisiert zu verknüpfen, was insbesondere bei gebräuchlichen Namen mit einer hohen Fehlerquote versehen ist. Für erfolgversprechender hält er allerdings das Ausnutzen der Arglosigkeit der Kunden bei der Eingabe von Daten für Gewinnspielen oder bei der Registrierung für kostenlose Anwendungen.

Doch auch ein Handeln im vermeintlich legalen Raum, jedoch ohne Wissen des Kunden, wird immer entdeckt werden und zu Irritationen bis hin zum Gefühl des Betrugs führen. Diese Irritationen könnten laut Benedikt Hanswille gerade in Zeiten von Social Media schnell eine breite Öffentlichkeit erreichen. Mit den entsprechenden negativen Konsequenzen für das Image eines Unternehmens. Die Reaktionen im Netz ließen sich nämlich nur noch schwerlich kontrollieren.

Ist dies also der Preis, den man in sozialen Netzen zahlt? Nach dem Motto: Nichts ist gratis, nur das man in diesen Fällen mit persönlichen Informationen statt mit Geld bezahlt? Tom Engel von Coupies ist generell der Meinung, die Deutschen schössen in Sachen Datenschutz manches Mal über das Ziel hinaus, wie das Beispiel der verpixelten Häuser in Google Street View belege. Auf der anderen Seite sieht er Deutschland als das Land, in dem Standards gesetzt und der allzu gedankenlose Umgang mit personenbezogenen Daten, etwa die Weitergabe von Adressen, eingedämmt wird. „Fakt ist: Will man die neuen Möglichkeiten des mobilen Internets richtig nutzen, muss man bereit sein, ein Stück von sich preiszugeben, da nur so diese Dienste funktionieren können.“

Den Namen braucht man nicht

Ein ortsbasierter Dienst benötige eben die Geoposition des Users. Möchte der nun Informationen erhalten, die zu ihm passen, dann müsse das System eben Informationen über ihn zur Verfügung gestellt bekommen, beispielsweise Alter und Geschlecht. Nicht notwendig hingegen sei die Kenntnis über den Namen, die Telefonnummer oder gar den Beziehungsstatus. Engel sieht folglich die User und die werbenden Unternehmen in der Pflicht. Die User sollten nur das zur Verfügung stellen, was für den Dienst benötigt werde, umgekehrt sollten die Unternehmen nur die Daten erheben, die sie wirklich benötigen. „Alter, Geschlecht und Einlösungen (von digitalen Coupons) bezogen auf die Geoposition und die Tages/Uhrzeit geben in aggregierter Form genügend Informationen für das Marketing. Diese Daten sind nicht auf Personen bezogen und nicht mit Usern verknüpfbar“, schließt Engel. Der Haken dabei ist, dass die Unternehmen genau wissen, was sie benötigen, die User aber nicht. Wenn sie darüber hinaus einen Nutzen in einer Anwendung sehen, sind die Datenschutzbedenken ganz schnell vergessen. Die App wird heruntergeladen und die Nutzungsbedingungen werden ohne vorheriges Durchlesen akzeptiert, wie Judith Halbach vom ECC es beschreibt. Dieses unbedachte Handeln ist allerdings auch nicht weiter verwunderlich, schaut man sich die ellenlangen AGB der Anbieter an. Die scheinen nur darauf zu spekulieren, dass sich die allenfalls für Juristen dechiffrierbaren Texte sowieso niemand in Gänze zu Gemüte führt, und plazieren den Button zum Akzeptieren ganz oben. Das ist schön bequem, zur Transparenz trägt dieses Verfahren allerdings nicht bei.

Keine unnötige „Wirrniss“

Transparenz ist laut Jan Schneider also das A und O, weil Transparenz Vertrauen schafft. In diesem Zusammenhang ist es dann auch irrelevant, wieviel Medienkompetenz ein Mensch besitzt. „Gemäß § 307 Abs.1 Satz 2 BGB sind intransparente Klauseln in AGB dann unwirksam, wenn es dadurch zu einer Benachteiligung von Verbrauchern oder Unternehmern kommt“, zitiert Thomas Schauf vom BVDW den Gesetzgeber, und fährt fort: „AGB-Bestimmungen müssen aus sich heraus klar und verständlich sein. Das ist schon dann nicht der Fall, wenn die Bestimmungen Rechte des Vertragspartners unter Verwendung von mehrdeutigen Worten oder Verweise auf unbekannte Dritte regeln und damit eine unter Umständen nachteilige Rechtsausübung bewirken. Es muss eine ‚unnötige Wirrnis’ vermieden werden.“ Solche Klauseln könnten im übrigen auch wegen überraschendem oder mehrdeutigem Inhalt gemäß § 305c BGB unwirksam sein. AGB-Klauseln dürfen also auch nicht an versteckter Stelle Dinge regeln, wo man sie nicht vermutet. Thomas Wilmer rät Werbetreibenden bzw. deren Dienstleistern als vertrauensbildende Maßnahme zu freiwilligen Zertifizierungen oder zu Nachweisen über Audits.   

Bildquelle: iStockphoto.com/contour99