© Bildagentur PantherMedia / damedeeso
Na, heute schon Daten an Facebook gespendet? Vielleicht sogar, ohne davon zu wissen? Dass Facebook nicht nur Daten sammelt, die direkt auf der Seite generiert werden, sondern auch gerne in „freier Wildbahn“, etwa auf Shopseiten, die den Like-Button implementiert haben bzw. hatten, wildert, hat schon für so manchen Skandal und für Gerichtsurteile gesorgt. Wenn es aber um richtig sensible Daten geht, zum Beispiel um Gesundheitsdaten, würde man eher nicht vermuten, dass Facebook Bescheid weiß. Das postet nun wirklich nicht jeder direkt auf der Plattform. Okay, abgesehen von denen vielleicht, die eine eigene Fanpage für ihr vierjähriges Kind erstellen, auf dem sie den Alltag mit Diabetes dokumentieren. Das ist dann die freie Entscheidung des Nutzers und passiert nicht versehentlich. Eine technische Panne beim BSD, dem Blutspendedienst des Bayerischen Roten Kreuzes (BRK), hat dazu geführt, dass Daten an Facebook übermittelt wurden, die u.a. Rückschlüsse auf Erkrankungen, Schwangerschaften und Drogenkonsum zugelassen haben.
VORGECHECKT UND SCHON GETRACKT
Wie ist so etwas in einer Zeit, in dem sich Unternehmer vor der DSGVO wie das Harry-Potter-Universum vor Lord Voldemort fürchten, möglich? Durch den Trackingcode Facebook-Pixel, der eigentlich dafür sorgen soll, dass Seitenbetreiber herausfinden, wie wirksam die auf Facebook geschalteten Werbeanzeigen sind. Technisch ist das relativ einfach, datenschutzrechtlich ausgesprochen problematisch. Das Ding ist nämlich: Daten, die Facebook auf der Seite sammelt, die den Trackingcode implementiert hat, sind dann eben Daten, die Facebook hat, analysieren und nutzen kann. Schwangere bekommen dann zum Beispiel Werbung für Essiggurken angezeigt, Diabetiker Werbung für Blutzuckermessgeräte und Drogensüchtigen wird das neue Album von „Haftbefehl“ oder eine passende Entzugsklinik empfohlen.
Im Grunde genommen praktisch, möchte man meinen, aber eben auch manipulativ und durch eine vom Verbraucher ungewollte Überwachung gewonnen. Im Bereich „Gesundheitsdaten“ auf alle Fälle ein absolutes No-Go. Der Sprecher des Blutspendedienstes, Patric Nohe, bestreitet natürlich, dass Rückschlüsse auf sensible Gesundheitsdaten möglich wären, doch die Recherche der Süddeutschen Zeitung ergibt ein anderes Bild: Die Antworten auf die Fragen, die dem potenziellen Blutspender bei einem Online-Vorcheck gestellt werden, hätten über die gleichbleibende Nummerierung rekonstruiert werden können. Auch wenn nur jeweils „JA“ oder „NEIN“ an Facebook übertragen wurde, wären also entsprechende Rückschlüsse möglich gewesen. Der Vorcheck beinhaltet insgesamt 29 Fragen wie diese: „Konsumieren Sie Drogen?“, „Besteht oder bestand bei Ihnen ein erhöhtes Risiko für sexuell übertragbare Erkrankungen?“, „Sind Sie jemals positiv auf HIV oder HTLV getestet worden?“, „Sind Sie momentan schwanger oder Mutter eines Kindes, das vor weniger als 6 Monaten geboren (natürliche Geburt oder Kaiserschnitt) wurde?“ usw.
Wie lange die Umfrage mit dem Trackingcode lief und wie viele Nutzer den Fragebogen ausgefüllt haben, teilte der Blutspendedienst nicht mit. Eine Viertel Million Menschen spenden jedes Jahr Blut beim BSD. Es könnten also durchaus eine Menge Daten, die Rückschlüsse auf den Gesundheitsstatus von Nutzern zulassen, bei der Social-Media-Plattform gelandet sein. Die Übertragung von Gesundheitsdaten ist den Geschäftsbedingungen von Facebook zufolge allerdings gar nicht zulässig.
JETZT MACHT DAS LANDESAMT FÜR DATENSCHUTZAUFSICHT EINEN VORCHECK
Was sehr wohl zulässig ist, ist die Analyse mit Big-Data-Tools. Hierbei geht es um Ähnlichkeiten, die Rückschlüsse auf das Verhalten im Netz oder eben im Hinblick auf die Beantwortung von durchnummerierten Fragen eines Blutspendedienstes zulassen. So können Zielgruppen ziemlich exakt differenziert werden. Dann geht es nicht mehr darum, dass Schwangere vorzugsweise Essiggurken kaufen, sondern darum, dass Menschen, die Frage Nummer 7 mit JA beantwortet haben, empfänglich für Mixed Pickles sind.
In Ordnung ist das deshalb aber noch lange nicht, zumal hier Menschen, die in edler Absicht gehandelt haben, ausgespäht wurden, ohne davon zu wissen. Das ist ein inakzeptabler Eingriff in die Privatsphäre, auch wenn er versehentlich geschehen ist.
Deshalb prüft das Landesamt für Datenschutzaufsicht nun auch, ob in diesem Fall ein Verstoß gegen die DSGVO vorliegt.
Bleibt noch die Frage zu klären, warum auf einer Seite, die derart sensible Daten abfragt, überhaupt ein Facebook-Pixeleingebunden wird… Da sollte den Verantwortlichen mal ein Seminar „Internetfit, aber richtig!“ verordnet werden.