Was technisch möglich ist, ist noch nicht erlaubt

2018 wurde öffentlich, dass die Politikberatungsfirma Cambridge Analytica Daten von Facebook-Nutzern verwendet hatte, die über eine scheinbar harmlose Anwendung, ein Persönlichkeitsquiz, erhoben worden waren. Facebook selbst schätzte die Zahl der Betroffenen auf bis zu 87 Millionen. Nur ein kleiner Teil davon hatte das Quiz genutzt. Die übrigen waren Facebook-Freunde dieser Nutzer, deren Daten über die damaligen Schnittstellen der Plattform zugänglich waren, ohne dass sie dem zugestimmt hatten. Die amerikanische Handelsaufsicht FTC verhängte 2019 gegen Facebook eine Strafe von fünf Milliarden US-Dollar und stellte in einem eigenen Verfahren gegen Cambridge Analytica fest, dass die Daten für das Profiling und die gezielte Ansprache von Wählern genutzt worden waren.

Der Fall wurzelt in der Gestaltung der Plattform selbst. Der Zugriff auf Daten von Personen, die eine Anwendung nie genutzt hatten, war damals eine bewusst angelegte Funktion, die Drittanbietern die Entwicklung sozialer Funktionen erleichtern sollte. Genutzt wurde sie für einen Zweck, der weit über das hinausging, was jemand bei der Installation eines Persönlichkeitsquiz vernünftigerweise erwarten konnte.

Facebook hatte diese Möglichkeit selbst geschaffen und ihre Risiken nach Einschätzung der FTC nicht ausreichend geprüft und begrenzt. Dass Cambridge Analytica gegen die Plattformregeln verstieß, ändert daran wenig, weil die technische Architektur diesen Missbrauch erst ermöglichte. Als Facebook Ende 2015 von der Weitergabe erfuhr, forderte das Unternehmen die Löschung der Daten und begnügte sich mit einer schriftlichen Bestätigung, ohne selbst zu prüfen, ob gelöscht wurde. Wie bei der Sicherheitslücke von Equifax blieb es bei einer Anweisung ohne Kontrolle.

Schnittstellen zu Drittanbietern, die Weitergabe von Mitgliederdaten in Vereinen oder neue Auswertungen in kirchlichen Einrichtungen werfen im Kleinen dieselben Fragen auf. Bevor eine Organisation eine neue Möglichkeit der Datennutzung schafft oder Dritten öffnet, muss geklärt sein, ob die Nutzung rechtlich zulässig ist und ob die Organisation ihre Verwendung nachvollziehen und im Zweifel unterbinden kann. Technische Machbarkeit ersetzt weder die rechtliche Prüfung noch die Fähigkeit, die spätere Verwendung zu kontrollieren.

Technische Machbarkeit ersetzt weder die rechtliche Prüfung noch die Fähigkeit, die Verwendung von Daten zu kontrollieren. Eine Löschbestätigung ohne Nachprüfung bleibt eine Anweisung ohne Kontrolle.

Mehr solcher Fälle gibt es hier!