Kategorie: Allgemein

Einsatz von Facebook Custom Audiences – rechtswidrig?

Geschrieben am von Dr. Frank Eickmeier

Unternehmen, die Facebook Custom Audiences einsetzen, riskieren nach Auffassung des Bayerischen Landesamtes für Datenschutzaufsicht die Eröffnung eines Bußgeldverfahrens.

Das Bayerische Landesamt hat in seinem kürzlich veröffentlichen Tätigkeitsbericht 2013/2014 die Ansicht vertreten, dass der Einsatz von „Facebook Custom Audiences“ rechtswidrig sei. Bei „Facebook Custom Audiences“  werden personenbezogene Datensätze, die als Identifier eine E-Mail-Adresse oder eine Telefonnummer besitzen, von Unternehmen anonymisiert (verhasht) und an Facebook übertragen. Facebook vergleicht diese Hashwerte der übermittelten Daten mit eigenen Hashwerten, die im Rahmen der Facebook-Nutzung erhoben wurden. Hierdurch kann Facebook eigene Facebook-Nutzer mit denen der Kunden abgleichen und diese identifizieren.

Beim Einsatz dieser Technologie wird für die Verschlüsselung das bekannte MD5-Verfahren verwendet. Nach Auffassung reicht dieses Verfahren für die Verschlüsselungszwecke nicht aus. Nach Ansicht des Bayerischen Landesamtes könne tatsächlich eine sog. „Brute-Force-Attacke“ dadurch deutlich beschleunigt werden, wenn ursprüngliche Klartexteigenschaften der MD5-gehashten Werte berücksichtigt werden. Wörtlich heißt es in dem Tätigkeitsbericht:

„E-Mail-Adressen bestehen oftmals aus Vornamen, Nachnamen, Punkten und Zahlen und sind dabei aufgrund einer statistischen Verteilung häufig bei wenigen E-Mail-Providern zu finden. Diese Annahme zugrunde gelegt, gehen wir bei einer – sehr vorsichtigen – Schätzung davon aus, dass mindestens 70 – 80 %  aller Hashwerte, die aus E-Mail-Adressen bestehen, von handelsüblichen PCs ohne größeren Aufwand „zurückgerechnet“ werden können“.

Facebook könne deshalb nach Ansicht des Bayerischen Landesamtes ohne wesentlichen Aufwand einen Hashwert bei der überwiegenden Zahl der Fälle zurückrechnen, wodurch auch nicht-Facebook-Nutzer betroffen sein können. Es komme deshalb trotz der vermeintlichen Anonymisierung zu einer Verarbeitung von personenbezogenen Daten die somit eine Einwilligung der betroffenen Personen bedürfe, deren Daten im Rahmen der „Custom Audiences“ an Facebook übermittelt werden. Da diese im Allgemeinen nicht vorliegen dürfte, sei von der Nutzung von „Facebook Custom Audiences“ abzuraten. Tatsächlich könne der Einsatz der „Custom Audiences“ ohne Einwilligung der Nutzer sogar eine Ordnungswidrigkeit darstellen, die mit Bußgeldern sanktioniert werden kann.

Twitter und Geotargeting

Geschrieben am von Dr. Frank Eickmeier

Twitter ermöglicht nun auch Geotargeting. Hierbei handelt es sich um eine Option für Werbetreibende, die auf Twitter geschaltete Werbung nun auch ortsgebunden anzeigen zu können. In Deutschland ermöglicht Twitter bisher die Auswahl aus 16 Städten, in den USA hingegen ist schon eine Auswahl bis auf die Postleitzahl möglich.

Datenschutzrechtlich bietet der neue Service von Twitter für sich genommen keine Bedenken. Zwar arbeitet Twitter mit personenbezogenen Daten, um die Zielgruppe auszuwählen, diese Daten werden laut Twitter nur akkumuliert und damit anonymisiert oder mit Erlaubnis weitergegeben. Für weitere Fragen zu dieser Thematik empfehlen wir auch unseren Beitrag zum location based advertising.

BVDW Whitepaper „Browser-Cookies und alternative Tracking-Technologien“ veröffentlicht.

Geschrieben am von Dr. Frank Eickmeier

Der BVDW hat  unter Mitwirkung von Dr. Frank Eickmeier ein sehr interessantes Whitepaper „Browser-Cookies und alternative Tracking-Technologien veröffentlicht.“ Das Whitepaper beschäftigt sich mit den technischen und den datenschutzrechtlichen Aspekten der alternativen Trackingtechnologien. Neben einer ausführlichen und praxisorientierten Darstellung des Browser-Cookie-Trackings, erläutert das Whitepaper daher alternative browser-basierte Trackingtechnologien wie Fingerprinting, Common-IDs, eTag, Local Storage, Flash-Cookies und Authentication Cache sowie app-basiertes Tracking mittels endgeräteabhängiger IDs. Das Whitepaper ist hier abrufbar: http://www.bvdw.org/medien/browsercookies-und-alternative-tracking-technologien-technische-und-datenschutzrechtliche-aspekte?media=7007.

 

Verhandlungen zur EU-Datenschutzreform treten in Schlussphase ein

Geschrieben am von Dr. Petra Hansmersmann

Die seit geraumer Zeit bereits stattfindenden Verhandlungen zu einer Reformierung des EU-Datenschutzrechts treten in die Schlussphase ein: Nach der EU-Kommission und dem EU-Parlament hat sich am 15.6.2015 nun auch der Rat der EU auf eine Verhandlungsposition geeinigt, so dass nun die als „Trilog“ bezeichnete Verhandlungsphase beginnt, in der die EU-Institutionen versuchen werden, eine gemeinsame Position zu finden. Ziel ist es, diese Verhandlungen bis Ende 2015 abzuschließen, damit die Verordnung dann im Jahr 2018 in Kraft treten kann.

Worum geht es und was erwartet uns?

Bisher war die EU im Bereich Datenschutz nur über Richtlinien aktiv, die von den EU-Mitgliedstaaten zunächst noch in nationales Recht umgesetzt werden müssen. Bei dem jetzt verhandelten Gesetzesvorhaben handelt es sich hingegen um eine Verordnung, die mitunter auch als EU-Gesetz bezeichnet wird, weil sie direkt anwendbares EU-Recht darstellt, das keiner weiteren Umsetzung bedarf.

(mehr …)

Trackingtechnologien und Datenschutz

Geschrieben am von Dr. Frank Eickmeier

In jüngster Zeit entwickeln sich immer mehr neue Trackingtechnologien, die als Alternativen zum Cookie zur Verfügung stehen. Nicht zuletzt durch die e-Privacy Richtlinie der EU versuchen immer mehr Marktteilnehmer, alternative Möglichkeiten auszuloten. Das Cookie ist daher längst nicht mehr die einzige Technologie, die für ein Tracking zur Verfügung steht. Die Stichworte sind „Fingerprinting“, „Local Storage“, eTags, etc.

Um die datenschutzrechtlichen Probleme bei dem Einsatz alternativer Trackingtechnologien besser einschätzen zu können, erscheint es hilfreich, zunächst einmal die datenschutzrechtlichen Grundlagen anzusprechen, die in der Onlinemarketingbranche zur Anwendung gelangen.

Die einschlägigen Gesetze, nämlich das Bundesdatenschutzgesetz (BDSG) und das Telemediengesetz (TMG), unterscheiden dabei zwischen unterschiedlichen Arten von Daten.

(mehr …)