Jusletter IT

Das soziale Netzwerk Facebook verbindet unabhängig von nationalstaatlichen Grenzen Millionen von Menschen. Der Erhalt von räumlich distanzierten Freundschaften scheint durch einfache Daumen-hoch Zeichen kinderleicht. Angepriesen wird Facebook als kostenlose Plattform, die Nutzer bezahlen allerdings indirekt trotzdem. Mit den über die Nutzer gesammelten Daten werden im Rahmen von Big Data Persönlichkeitsprofile¹ erstellt und diese genutzt um personalisierte Werbung anzubieten. In diesem Prozess werden viele datenschutzrechtliche Aspekte tangiert. In der Schweiz werden die Persönlichkeits- und Grundrechte von Personen, deren Daten bearbeitet werden, mittels Datenschutzgesetz geschützt.² Mit dem eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (im weiteren EDÖB)³ wurde eine Aufsichts- und Beratungsfunktion im Datenschutzgesetz institutionalisiert. Die Behörde hat im Rahmen ihrer Aufsichtstätigkeit über die Datenbearbeitung im Privatbereich mehrere Abklärungen nach Art. 29 des Datenschutzgesetzes (DSG) durchgeführt. Jüngste Beispiele sind die Empfehlungen des EDÖB an das Bonusprogramm der Helsana Gruppe (April 2018) und an Decathlon Schweiz (Mai 2018).⁴ Im erstgenannten Fall ist eine Klage beim Bundesverwaltungsgericht hängig, da die Helsana Zusatzversicherungen AG die Empfehlungen des EDÖB abgelehnt hat. Bei den Kundenbindungsprogrammen von Coop (Supercard) und Migros (Cumulus) wurden ebenso Abklärungen und diese wurden durch die Datenschutzbehörde getroffen, Empfehlungen wurden durch die Beteiligten jedoch mehrheitlich eingehalten.⁵ Die tragenden Argumente für die Kontrolle der Datenbearbeitungen der jeweiligen Unternehmen waren regelmässig der grosse Benutzerkreis und die Sensibilität der bearbeiteten Daten.

Ausgehend von den letztgenannten Fällen, stellt sich der Autor die Frage, ob die Datenschutzbehörde aufgrund der Grösse des Benutzerkreises und der Sensibilität der bearbeiteten Daten auch die Datenbank und die Datenbearbeitungsmethoden des in der Schweiz meistgenutzten sozialen Netzwerks Facebook im Rahmen von Art. 29 DSG überprüfen sollte.

Bei den Nutzern eines sozialen Netzwerks handelt es sich um Datenbearbeiter i.S. des DSG, wenn Personendaten von Dritten zugänglich gemacht werden.⁶ Hingegen ist beim sog. posten von eigenen Informationen auf Facebook das DSG nicht anwendbar.⁷ Die von den Nutzern bereitgestellten Daten sind als Personendaten im Sinne des DSG zu beurteilen.⁸ Regelmässig handelt es sich bei den durch Facebook bearbeiteten Daten um besonders schützenswerte Personendaten⁹ oder um Persönlichkeitsprofile, die einen höheren Schutz geniessen als gewöhnliche Personendaten.¹⁰ Die Plattformbetreiber sind als Inhaber der Datensammlung von den Datenschutzregeln miterfasst, da in der Regel alle Daten auf dem sozialen Netzwerk gespeichert werden und dem Netzwerkbetreiber unbeschränkt zur Verfügung stehen.¹¹

Die aktuellen Kollisionsregeln¹² in der Schweiz stossen bei Haftungsthemen hinsichtlich sozialer Netzwerke, die ihr Angebot global anbieten ohne gleichzeitig einen inländischen Sitz zu haben, schnell an ihre Grenzen.¹³ Inwieweit Nutzer in einem Streitfall gegen den Betreiber von Facebook auf rechtlichen Beistand der Schweizer Gerichte zählen können, ist grösstenteils noch offen.¹⁴ Es mangelt an einer klaren Anknüpfung hinsichtlich der Frage des anwendbaren Rechts.¹⁵ In den AGB¹⁶ von Facebook wird zwar eine Rechtswahl angegeben und gleichzeitig auch eine Wahl des Gerichtsstandes.¹⁷ Die Rechtswahl und der Gerichtsstand liegen allerdings regelmässig sehr weit vom Wohnsitz des Betroffenen entfernt. Das Anliegen den grundrechtlichen Charakter des Datenschutzes zu verwirklichen wird dementsprechend behindert. Dies könnte sich dann ändern, wenn den betroffenen Personen für die Beurteilung der Datenbearbeitungen das Recht an ihrem Wohnsitz und ihr Wohnsitzgerichtsstand zwingend offenstehen würden.¹⁸

Beim Betreiber des hier betrachteten sozialen Netzwerks Facebook handelt es sich um das gleichnamige US-amerikanische Unternehmen Facebook Inc. Jedes Mitglied von Facebook muss den AGB des Unternehmens zustimmen. Die AGB stellen eine Einwilligungserklärung im Sinne eines Rechtfertigungsgrundes dar (Art. 4 Abs. 5 und Art. 13 Abs. 1 DSG).¹⁹ Die Einwilligung zum blossen Beitritt in das soziale Netzwerk erfolgt freiwillig, die Rahmenbedingungen der Datenbearbeitung werden jedoch umfassend in den AGB geregelt, wodurch letztlich die Freiheit der Benutzer beschränkt wird. Einwilligungen hinsichtlich der Erfassung von besonders schützenswerten Personendaten werden keine abgefragt und auch nicht erteilt. Dies ist eine potenzielle Gefahr für die Persönlichkeitsrechte der Benutzer und könnte insofern einen Systemfehler darstellen.²⁰

Facebook verstösst gegen den Grundsatz von Treu und Glauben (Art. 2 Abs. 1 des Zivilgesetzbuches [ZGB]), indem das Unternehmen Daten über Nichtmitglieder sammelt, ohne dass letztere damit rechnen müssten oder vorgängig informiert wurden. Festgestellt hat dies die französische Datenschutzbehörde, Commission Nationale de l’Informatique et de Libertés (CNIL), in einem förmlichen Schreiben an Facebook vom 26. Januar 2016 im Rahmen einer Überprüfung der Datenschutzrichtlinien von Facebook.²¹

Fraglich ist, ob das Ausmass der Datensammlung für die Erfüllung des Zwecks²² erforderlich ist oder ob er nicht auch mit geringerem Datenvolumen erreicht werden könnte. In den Datenrichtlinien von Facebook wird aufgelistet welche Daten gesammelt und wozu sie benötigt werden.²³ Es werden beispielsweise eher offensichtliche Punkte erwähnt wonach die Aktivitäten auf Facebook oder die bereitgestellten Informationen gesammelt werden. Ferner gibt es auch weniger offensichtliche Punkte wie unter anderem der Hinweis, dass Geräteinformationen gesammelt werden. Daneben werden auch das Betriebssystem, Geräteeinstellungen, Datei- und Software-Namen, der Gerätestandort, Verbindungsinformation, Sprache sowie die IP-Adresse verzeichnet. Das soziale Netzwerk verstösst in diesem Sinne nicht gegen Treu und Glauben bei seinen Mitgliedern, indem es heimlich Datenbearbeitungen betreibt, mit welchen die Benutzer nicht rechnen mussten. Es wird offen deklariert. Nicht offen deklariert wird jedoch, dass die Daten auf Facebook kombiniert werden können und so im Ergebnis viel mehr Aufschluss über den Benutzer geben als tatsächlich suggeriert wird. Gemäss einem Bericht der Washington Post und dem Schreiben der französischen Datenschutzbehörde (CNIL) verwertet Facebook 96 persönliche Daten einer Person durch Kombinationen im Rahmen von Big Data Analtytics²⁴, um personalisierte Werbungen anbieten zu können. Darunter auch sexuelle Orientierung, religiöse sowie politische Anschauungen, Hausbesitz oder Informationen über den Lebensmitteleinkauf.²⁵ Es ist nicht ersichtlich, inwiefern der Vernetzung der Menschen untereinander gedient wird, wenn Facebook weiss, wie und wo die Nutzer einkaufen oder ob die Nutzer zur Miete oder im eigenen Haus wohnen. Eine klare Grenzziehung hinsichtlich der erforderlichen Informationen ist jedoch nicht wirklich möglich, eine offene Deklarierung aller gesammelten Daten wäre hingegen für das Unternehmen aber problemlos möglich.

Hinsichtlich der Frage der Zumutbarkeit (Verhältnismässigkeit i.e.S.) ist festzuhalten, dass Facebook ein Geschäftsinteresse an der Sammlung von Daten hat. Ferner spricht für das Sammeln von jeglichen Daten durch Facebook, dass es realitätsfern wäre zu glauben, dass das Unternehmen eine Dienstleistung ohne jegliche Gegenleistung anbietet. Die Entwicklung und Betreibung eines sozialen Netzwerks bedeutet einen enormen finanziellen Aufwand.²⁶ Die Plattform ist für Werbetreibende umso attraktiver, je mehr die Betreiber solcher Plattformen über ihre Nutzer wissen. Auch wenn gewisse Informationen prima vista nicht erforderlich erscheinen könnten sie im Rahmen von Big Data Analytics monetarisiert werden. Andererseits liegen Risiken für die Privatsphäre und die informationelle Selbstbestimmung der Nutzer vor. Es besteht viel Ungewissheit und Intransparenz hinsichtlich der Datenbearbeitungsmethoden von Facebook. Das Geschäftsgeheimnis kann nicht als Argument dienen für die Datenaufbewahrung von ehemaligen Benutzern, der Speicherung von Daten von Nicht-Mitgliedern, die Überwachung von persönlichen Nachrichten oder die Verwertung von Kontaktdaten bei der Eingabe der Mobiltelefonnummer.²⁷ Die Rechte der Nicht-Mitglieder bzw. die Privatsphäre der Mitglieder wiegen schwerer als die wirtschaftlichen Interessen der Plattformbetreiber.

Der Zweck von Facebook ist sehr weit formuliert.²⁸ Darunter leidet die Zweckbindung der Datenbearbeitung und damit mangels Erkennbarkeit der Datenbearbeitung gleichzeitig auch das Prinzip von Treu und Glauben sowie die Verhältnismässigkeit.²⁹ Die Erkennbarkeit der Datenbearbeitung liegt bei den durch das soziale Netzwerk selbst bereitgestellten Informationen im Rahmen der unternehmenseigenen Datenrichtlinien vor. Keine Erkennbarkeit liegt jedoch vor, wenn Facebook durch Kombinationen von Daten sehr persönliche Eigenschaften seiner Nutzer errechnet, zu welchen die Nutzer keine ausdrückliche Einwilligung abgegeben haben (Art. 4 Abs. 5 DSG). Hinsichtlich dieser Daten liegt auch kein Rechtfertigungsgrund für die Bearbeitung vor (Art. 13 Abs. 1 DSG). Erst recht liegt keine Zweckbindung oder Einwilligung vor, wenn Facebook Informationen von Nicht-Mitgliedern sammelt und diese speichert. Folglich lässt sich das Risikopotenzial für Persönlichkeitsverletzungen durch Datenbearbeiter aufgrund der AGB schwer voraussehen. Die einwilligenden Nutzer wissen nicht wirklich worauf sie sich einlassen, wenn sie auf das Kästchen mit der Formulierung «Ich habe die AGB gelesen und bin einverstanden mit den Bedingungen» klicken.

Benutzer von Facebook aus der Schweiz schliessen die Nutzungsvereinbarung mit Facebook Ireland Limited ab.³⁰ Das Unternehmen in Irland mit Sitz in Dublin stellt eine Tochtergesellschaft der Muttergesellschaft in den USA dar. Facebook nahm am Safe-Harbor Programm zwischen der USA und der Schweiz teil.³¹ Dies diente als Ausnahme für grenzüberschreitende Datenbekanntgaben i.S.v. Art. 6 Abs. 2 lit. a DSG. Letzteres war deshalb nötig, da gemäss den Nutzungsbedingungen von Facebook der Benutzer zustimmt, dass seine persönlichen Daten in die USA weitergeleitet und dort verarbeitet werden. Das stellte insofern ein Problem dar, als aus einem Urteil des EuGHs hervorging, dass eine hohe Wahrscheinlichkeit des Zugriffs des amerikanischen Auslandsgeheimdienstes (NSA) auf personenbezogene Daten auf Facebook in Europa bestand.³² Gleicher Meinung war der Bundesrat in der Stellungnahme auf die Interpellation Eichenberger, in welcher das Gremium davon sprach, dass die Amerikaner einen «weitgehenden Gebrauch von ihren Zugriffsrechten gemacht» hätten.³³ Die USA war seit den Snowden-Enthüllungen³⁴ und dem Urteil des EuGH nicht mehr auf der Liste des EDÖB als Land mit angemessenem Datenschutz. Dadurch lag keine Ausnahme im Sinne von Art. 6 Abs. 2 lit. a DSG vor. Bekräftigt wurde dies durch die Pressemitteilung vom 22. Oktober 2015, in welchem die Datenschutzbehörde erklärte, dass er das Safe-Harbor-Abkommen als nicht genügende Rechtsgrundlage für Datenübermittlung von Personendaten in die USA betrachtet.³⁵. Mittlerweile wurde das Safe-Harbor-Abkommen im Januar 2017 durch das Privacy Shield Abkommen ersetzt.³⁶ Inwiefern sich dieses Abkommen in der Praxis erweist, wird sich erst noch zeigen müssen. Klar ist bereits, dass Facebook am Privacy Shield Abkommen teilnimmt, aber gleichzeitig den Geltungsbereich dieses Abkommens auf die Dienste von Facebook stark einschränkt.³⁷

In einer älteren Version der AGB von Facebook formulierte das Unternehmen, dass es nach besten Kräften für die Datensicherheit sorgt, garantieren können sie diese jedoch nicht. Letztere Formulierung wurde durch den derzeitigen Datenschutzbeauftragten des Kantons Zürich Baeriswyl bereits im Jahre 2010 kritisiert.³⁸ Von Facebook kann zwar keine absolute Sicherheit verlangt werden, dennoch könnte sich das Unternehmen mindestens verpflichten internationale Standards einzuhalten.³⁹ So wurde angesichts der Snowden-Enthüllungen klar, dass Facebook an einem Überwachungsprogramm namens PRISM des amerikanischen Auslandsgeheimdienstes (NSA) teilnimmt.⁴⁰ Ferner wurde im jüngsten Datenskandal im Zusammenhang mit Facebook und Cambridge Analytica deutlich, dass Cambridge Analytica unrechtmässig über 87 Millionen Nutzerdaten analysiert haben soll, wovon auch bis zu 29’00 Schweizer Nutzer betroffen waren.⁴¹ Mark Zuckerberg, der CEO und Vorsitzende von Facebook Inc., hat vor dem amerikanischen Kongress eingestanden, dass die Benutzerdaten nicht genügend geschützt wurden und es deshalb zu unrechtmässigen Analysen kam, welche in der Folge für den Wahlkampf von Donald Trump verwendet wurden.⁴²

Es ist davon auszugehen, dass die Zuständigkeit des EDÖB wahrscheinlich durch das Bundesgericht bejaht werden würde. Facebook enthält Informationen über Personen in der Schweiz und veröffentlicht diese in einer Weise, dass sie in der Schweiz abrufbar sind. Demnach liegt ein überwiegender Anknüpfungspunkt zur Schweiz vor. Dem steht – in Anlehnung an das Google Street View Urteil des Bundesgerichts⁴³ – auch nicht entgegen, dass die Datenbearbeitung selbst im Ausland erfolgt. Das EDÖB erachtete gemäss einem Schlussbericht über die Evaluation des DSG vom Jahre 2011 die Erfolgsaussichten einer Abklärung von Facebook jedoch als sehr gering, weil das Unternehmen im Gegensatz zu Google keinen Sitz in der Schweiz hat.⁴⁴ Ferner seien die Chancen eines positiven Urteils sowie die Frage nach einer allfälligen Rechtsdurchsetzung im internationalen Umfeld mit zu grossen Unsicherheiten und einem unverhältnismässig hohen Ressourceneinsatz verbunden.⁴⁵ Das Argument des Mangelnden Sitzes kann jedoch nicht mehr überzeugend vorgebracht werden, da Facebook mittlerweile seit dem 23. August 2016 im Genfer Vorort Châtelaine eine Niederlassung eröffnet hat.⁴⁶

Das Argument der Unsicherheit und des grossen Ressourceneinsatzes vermag in der Praxis teilweise zu überzeugen. Dennoch stellt sich an dieser Stelle die theoretische Frage, ob im Fall von Facebook ein Tatbestand nach Art. 29 Abs. 1 lit. a–b DSG vorliegt und Abklärungen und Empfehlungen seitens des EDÖB möglich wären.

Facebook hat laut eigenen Angaben mehr als zwei Milliarden monatliche Nutzer weltweit.⁴⁷ Davon entfallen 3.76 Millionen Nutzer auf die Schweiz.⁴⁸ Das quantitative Element der Überprüfung ist in Anbetracht der Praxis des EDÖB zweifelsohne erfüllt. Ferner werden sensible Daten auf Facebook bearbeitet.⁴⁹ Die Daten der Mitglieder werden Dritten durch Facebook zu Marketingzwecken zur Verfügung gestellt. Die Datenbearbeitung erfolgt in den USA und damit findet eine grenzüberschreitende Bekanntgabe von Daten in ein Land mit ungenügenden Datenschutzmassnahmen statt (Art. 6 DSG).⁵⁰ Die Bearbeitungsmethoden von Facebook stellen somit eine Gefahr für die Persönlichkeitsrechte einer grösseren Anzahl von Personen dar. Zumal auch die Datenbearbeitungsgrundsätze verletzt werden.⁵¹ Ein Systemfehler nach Art. 29 Abs. 1 lit. a DSG kann folglich bejaht werden.

Bei den durch Facebook bearbeiteten Daten handelt es sich regelmässig um besonders schützenswerte Daten sowie um Persönlichkeitsprofile. Ferner werden die Daten Dritten zu Werbezwecken bekannt gegeben. Es treffen auf den Plattformbetreiber keine Ausnahmeregelungen nach Art. 11a Abs. 5 lit. a–f DSG zu. Demnach müsste Facebook – wenn man entsprechend dem Google Street View Urteil des Bundesgerichts davon ausgeht, dass ein überwiegender Anknüpfungspunkt zur Schweiz vorliegt – seine Datenbank registriert haben. Die Anmeldung müsste im Register der Datensammlung des EDÖB (WebDatareg) einsehbar sein.⁵² Eine solche Anmeldung ist jedoch nicht auffindbar. Folglich kann angenommen werden, dass sie nie erfolgt ist. Im Ergebnis liegt insofern eine meldepflichtige Datensammlung vor, welche pflichtwidrig vom Datenbearbeiter nicht angemeldet wurde.

Die Analyse der datenschutzrechtlichen Bearbeitungsgrundsätze in Verbindung mit den Abklärungen und Empfehlungen im Privatrechtsbereich nach geltendem Recht haben ergeben, dass das soziale Netzwerk Facebook potenziell geeignet ist, die Persönlichkeitsrechte einer grösseren Anzahl von Personen zu verletzen. Letzteres haben die jüngsten Datenmissbrauchsfälle auch klar gezeigt. Die Voraussetzungen für eine Sachverhaltsabklärung durch den EDÖB sind gegeben. Die zuständige Behörde führt allerdings trotz erfüllter Tatbestände keine Sachverhaltsabklärungen durch. Gerechtfertigt wird dies aus Gründen der Rechtsunsicherheit im Zusammenhang einer allfälligen Rechtsdurchsetzung im internationalen Umfeld und der Ressourcenknappheit der Behörde. Aufgrund der kann Formulierungen in Art. 29 Abs. 2–4 DSG liegt insofern allerdings keine pflichtwidrige Unterlassung der Behörde vor. Es bleibt an dieser Stelle bloss zu hoffen, dass nicht jede datenschutzrechtlich zuständige Behörde in gleicher Weise untätig bleibt.

Serdal Avsar cand. Blaw; bei der vorliegenden Arbeit handelt es sich um eine Bachelorarbeit die an der Universität Zürich im Zusammenhang eines Seminars bei Prof. Dr. Reto M. Hilty im Jahre 2016 geschrieben wurde.