Source: https://www.delegedata.de/2013/05/unter-der-datenschutzlupe-soziales-netzwerk-path/
Timestamp: 2019-06-19 19:22:52
Document Index: 392792548

Matched Legal Cases: ['§ 1', 'Art. 4', '§ 4', '§ 4', '§ 12', '§ 13', '§ 4', '§ 7']

de lege data | Unter der Datenschutzlupe: soziales Netzwerk „Path“ ")}}return a.proceed()});scriptParent=document.getElementsByTagName("script")[0].parentNode;if(scriptParent.tagName.toLowerCase!=="head"){head=document.getElementsByTagName("head")[0];aop_around(head,"insertBefore");aop_around(head,"appendChild")}aop_around(scriptParent,"insertBefore");aop_around(scriptParent,"appendChild");var a2a_config=a2a_config||{};a2a_config.no_3p=1;var addthis_config={data_use_cookies:false};var _gaq=_gaq||[];_gaq.push(["_gat._anonymizeIp"])}
Negativ viel Path in letzter Zeit jedoch beim Thema Datenschutz auf. Die App lud ohne Genehmigung etwa die gesamten Kontakte des Adressbuches des Nutzers auf die Server des Unternehmens und musste daher eine durch die FTC (Federal Trade Comission) verhängte 800.000 Dollar Strafe zahlen, da sie damit gegen den COPPA (Children’s Online Privacy Protection Act) verstieß.
Angeboten wird der Dienst von dem Firmensitz in San Francisco, USA. Eine europäische Niederlassung scheint nicht zu bestehen. Jedoch richtet sich das Angebot auch an internationale User, wie der Blick in die Datenschutzbestimmungen verrät.
Welches Datenschutzrecht?
Zuerst muss man sich natürlich fragen, gilt denn überhaupt europäisches bzw. deutsches Datenschutzrecht, wenn der Anbieter in den USA sitzt? (unabhängig von dem Ergebnis, ist die Frage der Durchsetzung natürlich eine ganz andere)
Da eine europäische Niederlassung nicht besteht, kommt die Anwendbarkeit deutschen Datenschutzrechts nur über § 1 Abs. 5 S. 2 BDSG in Betracht. Die verantwortliche Stelle müsste sich also in einem Drittstaat befinden, was der Fall ist, und sie müsste personenbezogene Daten in Deutschland erheben, verarbeiten oder nutzen (und dazu auf in Deutschland belegene Mittel zurückgreifen, Art. 4 Abs. 1 lit c ) RL 95/46/EG). Für die Datenverarbeitung von Path über die App, dürfte dies der Fall sein, da sie auf die Mobiltelefone der Nutzer zurückgreift, um personenbezogene Daten zu erheben (zumindest auf diejenigen Daten, welche der Nutzer nicht freiwillig zur Verfügung stellt). Auch nutzt Path Cookies um Daten zu erheben, was ebenfalls für ein „Zurückgreifen“ auf die Mobiltelefone und Rechner spricht.
Offene Klauseln
Betrachtet man nun die Datenschutzbestimmungen, denen man ihm Rahmen der Registrierung zustimmen muss, so fällt negativ auf, dass diese teilweise sehr offen in Bezug auf den Umgang mit personenbezogenen Daten formuliert sind. So heißt es etwa, dass Daten „for any other purpose for which the information was collected“ genutzt werden dürfen. Also für jeglichen anderen Zweck, für den die Daten erhoben wurden, genutzt werden dürfen. Eigentlich soll es aber in der Klausel gerade darum gehen zu erfahren, für welche Zwecke die Daten genutzt werden dürfen. Die datenschutzrechtliche Einwilligung nach § 4 Abs. 1, Abs. 3, § 4a Abs. 1 BDSG (für sog. Inhaltsdaten) und nach § 12 Abs. 1, Abs. 2, § 13 Abs. 1, Abs. 2 TMG (für sog. Nutzungs- und Bestandsdaten) erfordert eine vorherige Unterrichtung bzw. Hinweis auf diese Zwecke und die Art und den Umfang der Verarbeitung. Sie muss zumindest auch hinreichend bestimmt formuliert sein. Jeden einzelnen Zweck aufzuführen erfordert dies freilich nicht, aber gewisse Konkretisierungen sind nötig. Es erscheint also eher fraglich, ob eine solche weite und offene Klausel dem gerecht werden würde.
Für außerhalb der USA wohnhafte Nutzer legen die Datenschutzbestimmungen fest: „By using Path, you consent to the collection, transfer, use, storage and disclosure of your information as described in this privacy policy“. Im Prinzip ist eine solche Einwilligung natürlich möglich, solange die Zwecke der Verarbeitung soweit als möglich konkret beschrieben werden. Jedoch muss eine Einwilligung (wie hier) nach § 4a Abs. 1 S. 3 BDSG, wenn sie mit anderen Erklärungen, also den Datenschutzbestimmungen insgesamt, abgegeben wird, besonders hervorgehoben werden. Nötig ist also etwa ein Fettdruck des Textes oder ein Absetzen vom restlichen Teil, was hier jedoch nicht gegeben ist.
Auch werden die Daten der Nutzer dazu verwendet, um personalisierte Werbung anzuzeigen bzw. an sie zu versenden. Zwar wird unter dem Punkt „Accessing and Modifying Your Information“ auch erklärt, dass in Bezug auf Werbung per E-Mail eine opt-out Möglichkeit besteht. Dies allein genügt jedoch nicht, solange diese Information ebenfalls nicht besonders hervorgehoben im Text sichtbar ist. Desweiteren muss aus wettbewerbsrechtlicher Sicht bemängelt werden, das weder im Rahmen der Registrierung noch in dem Fließtext selbst, eine ausdrückliche Einwilligung in den Erhalt von Werbung per E-Mail verlangt wird. Nach § 7 Abs. 2 Nr. 3 UWG ist hierfür jedoch eben diese erforderlich. Bei der Registrierung müsste also darauf hingewiesen werden, dass der Nutzer auch in den Erhalt von Werbung per E-Mail einwilligt. Auf diese Rechtsverletzung gestützte Unterlassungsansprüche könnten etwa Wettbewerber oder auch eine Verbraucherschutzorganisation geltend machen.
Path selbst ist ein sehr ansprechend gestalteter und interessanter Dienst. Jedoch sollte deutschen Nutzern bewusst sein, dass es sich hier (zumindest derzeit) noch um einen rein in Amerika ansässigen Anbieter handelt, der seinem Handeln (fälschlicherweise) nur heimisches Recht zu Grunde legen wird. Bezeichnenderweise sucht Path derzeit einen Leiter für die Rechtsabteilung.
This entry was posted in Datenschutz-Richtlinie, Datenschutzlupe, Datenschutzrecht, Einwilligung, Internet, Mobiltelefon, Path, soziale Netzwerke, USA, Verbraucherschutz, Werbung. Bookmark the permalink.