Document ID: /fineweb-2-swissfilter-quality_10-filterrobots/filtered/03115.jsonl.gz/1135

(Achtung, dieser Post ist etwas launisch geraten.)
Die irische Datenschutzaufsichtsbehörde hat ihren Bericht für die Phase vom 01. Januar 2018 bis zum 24. Mai 2018 veröffentlicht. Ein (sehr) kurzer Abschnitt aus dem Rapport hat den Weg in die Medien gefunden. Zumindest in jene Medien, die sich ab und zu mit Datenschutz befassen und bei mir auf dem Radar sind, wie z.B. hier bei heise.de oder techcrunch.com.
Der einschlägige Abschnitt aus dem Rapport lautet wie folgt (voller Wortlaut):
Supervision of LinkedIn Ireland – LinkedIn Audit
The DPC concluded its audit of LinkedIn Ireland Unlimited Company (LinkedIn) in respect of its processing of personal data following an investigation of a complaint notified to the DPC by a non-LinkedIn user. The complaint concerned LinkedIn’s obtaining and use of the complainant’s email address for the purpose of targeted advertising on the Facebook Platform. Our investigation identified that LinkedIn Corporation (LinkedIn Corp) in the U.S., LinkedIn Ireland’s data processor, had processed hashed email addresses of approximately 18 million non-LinkedIn members and targeted these individuals on the Facebook Platform with the absence of instruction from the data controller (i.e. LinkedIn Ireland), as is required pursuant to Section 2C(3)(a) of the Acts.
The complaint was ultimately amicably resolved, with LinkedIn implementing a number of immediate actions to cease the processing of user data for the purposes that gave rise to the complaint.
However, following on from this complaint, the DPC was concerned with the wider systemic issues identified and an audit was commenced to verify that LinkedIn had in place appropriate technical security and organisational measures, particularly for its processing of non-member data and its retention of such data. The audit identified that LinkedIn Corp was undertaking the pre-computation of a suggested professional network for non-LinkedIn members. As a result of the findings of our audit, LinkedIn Corp was instructed by LinkedIn Ireland, as data controller of EU user data, to cease pre-compute processing and to delete all personal data associated with such processing prior to 25 May 2018.Quelle: Office of the Data Protection Commissioner, Irland, PDF, Link
Kritische Kreise staunen, dass sich das irische Datenschutzbüro überhaupt dazu aufgemacht hat, bei LinkedIn Nachschau zu halten. Schliesslich ist die irische Datenschutzkommission nicht unbedingt als überzeugte Datenschutzverfechterin bekannt; die Iren haben die grössten Personendatenverarbeitungsindustrien bei sich domiziliert. Aber vielleicht tut man ihnen auch unrecht, wer weiss. Die Franzosen jedenfalls, um ein kleines Beispiel aufzuzeigen, hatten anlässlich ihrer Untersuchungen des Dailymotion-Leaks ein umfassendes Verfahren veranlasst und dazu dann einen detaillierten Entscheid veröffentlicht. Es ging in diesem Fall zwar um rund vier mal mehr Mailadressen, jedoch war der Leak nicht auf vorsätzliches Handeln zurückzuführen, wie hier bei LinkedIn. Bei den Franzosen waren u.a. EUR 50’000.00 fällig (ob der Entscheid vom 2. August 2018 mittlerweile rechtskräftig ist, ist mir unbekannt); bei den Iren hat man sich damit zufriedengegeben, dass LinkedIn die Handlungsanweisungen akzeptiert hat.
Leider geht aus dem publizierten Abschnitt der Datenschutzbehörde nicht hervor, wie LinkedIn genau zu diesen Mailadressen gekommen ist. Als technisches Detail können wir nur entnehmen, dass die Mailadressen in Form von Hashes an Facebook übertragen wurden. Mit grösster Wahrscheinlichkeit über eine API, die Facebook seinen Grosskunden anbietet. Die Mailadresse “user @ mail.com” hat also wenigstens nicht “user @ mail.com” im Klartext gelautet, sondern z.B. “6ad193f57f79ac444c3621370da955e9” als " hat also wenigstens nicht "" im Klartext gelautet, sondern z.B. "6ad193f57f79ac444c3621370da955e9" als MD5-Hash-String (opens in a new tab)" href="https://www.md5hashgenerator.com/" target="_blank">MD5-Hash-String.
Wie kommt es, dass LinkedIn über 18 Millionen Nicht-Member-Mailadressen verfügt? Ich vermute, dass über das freiwillige Teilen des Adressbuchs solche Daten gesammelt werden. Ob das konkret in diesem Fall auch bei LinkedIn so war, wissen wir nicht, schliesslich liefert der veröffentlichte Abschnitt aus dem irischen Rapport keine näheren Details.
Noch viel grundsätzlicher ist aber die Frage, warum es überhaupt soweit kommt, dass man sein Adressbuch hergibt?
Hätte Sie früher Ihr papieriges Adressbüechli irgendeinem Dritten zur Einsicht hingehalten? Kaum. Warum macht man das aber dann, wenn das Adressbuch digital ist? Vermutlich, weil man dann sein Papieradressbuch nicht einem fremden in die Hand geben muss. Weil man nicht zusehen muss, wie sich dieser Fremde daran macht, die Seiten zu kopieren oder die Daten fein säuberlich abzuschreiben. Erst in einer solchen Situation wird einem bewusst, dass da tatsächlich Daten abgesaugt werden. Ein Klick oder Tipper auf dem Smartphone? Viel einfacher, viel schneller. Viel invasiver und auch unbewusster ist so ein Touch auf das Display. Und direkt nach dem Touch wird man mit der nächsten Setup-Option oder Neuigkeit abgelenkt. Schon hat man vergessen, dass einem zuvor das Adressbuch ausgelesen wurde. Hier gibt man für etwas Bequemlichkeit die Daten seiner Kontakte preis. Und in so einem Adressbuch sind meistens nicht nur Mailadressen, sondern häufig auch noch Geburtsdatum, Adressen, Telefonnummern und Fotos in bester Auflösung enthalten.
Mir scheint, dass die Mehrheit der Social Media-Benutzer gedankenlos alles mit allen teilt; Angst, dass die geteilten Daten missbraucht werden, existiert keine (Orwell hat in diesem Punkt noch nicht Recht gekriegt).
Wer sich etwas mehr Gedanken macht, bevor er sein Adressbuch durchsuchen lässt, macht vielleicht sogar ein kleines, wenigstens intuitives Risikoassessment und wägt die Risiken ab, die er mit dem Versenden seines Adressbuchs eingeht (ja, es ist effektiv ein Versenden, denn die Daten verlassen Ihr Smartphone in Richtung anfragenden Bearbeiter und zwar auf Ihren Knopfdruck hin). Meistens geht es ja nicht um Leben und Tod Dritter, sondern “nur” um deren Persönlichkeitsrechte. Nur der kleinere Teil von uns verfügt über Kontakte zu Informanten, Dissidenten oder anderen besonders zu schützenden Personen. Da ist das Assessment schnell erledigt. Wer mit solchen Risikopersonen bekannt ist, pflegt in aller Regel ohnehin einen sorgfältigen Umgang mit Daten.
Ein augenfälliges No-Go wäre in diesem Zusammenhang der Fall, in dem ein Anwalt oder Journalist seine Kontakte teilt. Da würden dann von Gesetzes wegen straf- und standesrechtliche Sanktionen drohen. Faktisch aber immer vorausgesetzt, jemand bemerkt es und hat auch noch die Musse, tätig zu werden. Von den sozialen Netzwerken selber droht da sicher keine Gefahr.
Fragen Sie sich selbst. Wie sind Sie auf diesen Blogpost gestossen? Etwa über LinkedIn oder Xing? Dort hat mein Blog-Automat auch diesen Post veröffentlicht. Und haben Sie von LinkedIn Ihr Adressbuch durchsuchen lassen? Falls ja, dann haben Sie mit grosser Wahrscheinlichkeit auch zur Werbekampagne von LinkedIn beigetragen. Ihre Kontakte werden es Ihnen danken.
Update vom 28.11.2018: Zu einem ähnlichen Schluss ist offenbar auch das Schweizer Konsumentenmagazin Ktipp gekommen: Ktipp vom 27.11.2018 (kostenpflichtig).
Rechtsanwalt Roman Kost ist Spezialist für Informationssicherheit und Datenschutz. Als Anwalt vertritt er Sie unter anderem im Bereich des Hackerstrafrechts, sämtlichen Belangen der IT und der Informationssicherheit sowie des Datenschutzes.