Facebook und Datenschutz – Was ist zu beachten?

Facebook hat sich bei Unternehmen als wichtiges Medium für Marketingzwecke etabliert. Um Anzeigen optimal zu platzieren, nutzt Facebook die Daten seiner Mitglieder. Die Datensammlungen der Plattform sind umfangreich. Nur wenige Nutzer sind sich darüber bewusst, wie viel Facebook tatsächlich über sie weiß. Datenschützer sind nicht nur wegen der Größe der Datensammlungen besorgt, sondern kritisieren auch die mangelnde Transparenz des sozialen Netzwerks. Wir haben uns Facebooks Datenverarbeitung mal genauer angeschaut.

Facebook: Personalisierte Werbung als Geschäftsmodell

Facebook ist nicht nur ein soziales Netzwerk, sondern gleichzeitig eine Plattform für personalisierte Werbung. Die Daten seiner 2,9 Milliarden Mitglieder nutzt der Konzern, um die Anzeigenschaltung zu optimieren. Nur Personen, die als Zielgruppe für das jeweilige Unternehmen interessant sind, sollen die Werbung zu sehen bekommen. Das Werbegeschäft ist Facebooks Haupteinnahmequelle. 2023 erwirtschaftete Meta unter anderem über Anzeigen rund 134,9 Milliarden US-Dollar.

Die Zielgruppen kann Facebook erstaunlich genau ermitteln, da dem Unternehmen eine Vielzahl von Informationen über seine Nutzer zur Verfügung stehen. Die Informationen gehen weit über das Alter und die Adresse der Nutzer hinaus. Beispielsweise wird in die Zielgruppenanalyse miteinbezogen, ob demnächst ein Geburtstag im Freundeskreis des Nutzers ansteht oder wo sich die Person gerne in ihrer Freizeit aufhält. Insgesamt sind derzeit 1300 solcher Merkmale bekannt.

Mark Zuckerberg betont, dass Facebook mit seinem Geschäftsmodell nur gute Absichten verfolgt:

Wir hören von Menschen immer wieder, dass sie sich Anzeigen wünschen, die für sie relevant sind. Folglich müssen wir verstehen, woran sie interessiert sind. Abhängig davon, welchen Seiten Menschen folgen und worauf sie klicken, erstellen wir Kategorien, beispielsweise Menschen in Spanien, die Seiten über Gartenarbeit mögen. Basierend darauf bieten wir Werbetreibenden den Service, Anzeigen für diese Zielgruppe kostenpflichtig zu schalten.

Mythos oder Wahrheit: Hört Facebook meine Gespräche ab?

Wer sich mit einem Freund über ein neues Produkt unterhält, wird oft mit der passenden Anzeige konfrontiert, obwohl keine Internetsuche stattgefunden hat. Kein Wunder, dass sich besorgte Nutzer fragen, ob Facebook sie abhören kann. Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit betonte bereits 2018, dass Nutzer sich vermehrt über potenzielle Abhörvorgänge beschweren. Da sich der Konzernsitz in Hamburg befindet, ist die Hamburger Aufsichtsbehörde für Beschwerden über Facebook zuständig.

Facebook äußerte sich zu den Gerüchten wie folgt:

Facebook hört oder liest nicht mit. Die Facebook-App greift nur dann auf das Mikrofon zu, wenn ein Nutzer dies der App vorher ausdrücklich erlaubt hat und gleichzeitig eine bestimmte Funktion aktiv nutzt, welche Audiosignale erfordert, wie beispielsweise die Aufnahme eines Videos oder einer Sprachnachricht. Grundsätzlich nutzt keine App der Facebook-Familie das Handy-Mikrofon, um Werbung oder Beiträge im News Feed in irgendeiner Weise zu beeinflussen

Trotz umfangreicher Untersuchungen wurde bisher keine versteckte Abhörfunktion bei Facebook gefunden. Das soziale Netzwerk muss seine Mitglieder auch gar nicht abhören, denn die vorhandenen Daten reichen meistens aus, um Werbeanzeige genau im richtigen Moment der passenden Zielgruppe anzubieten.

Welche Daten sammelt Facebook über seine Nutzer?

Die erfolgreiche Anzeigenplatzierung macht deutlich, dass dem Konzern eine breite Datenmenge zur Verfügung steht. Doch wie kommt das Unternehmen an die Masse an personenbezogenen Daten?

Viele Daten werden durch Interaktionen auf der Plattform selbst erhoben. Im Rahmen der Registrierung müssen Nutzer Angaben zu ihrer E-Mail-Adresse oder ihrem Geschlecht machen. Darüber hinaus geben Mitglieder bei der Erstellung ihres Facebook-Profils jedoch freiwillig viele weitere Angaben an. Zum Beispiel welchen Schulabschluss sie haben oder welcher Religion sie angehören. Indirekt tragen User zu vielen weiteren Daten bei, indem sie „Gefällt mir“-Angaben machen oder bei Veranstaltungsseiten auf „Teilnahme“ klicken.

Selbst aus Fotos und Videos, die Mitglieder posten, kann Facebook Daten über den Standort, den Aufnahmezeitpunkt und das verwendete Gerät erheben. Zudem erfasst Facebook das Bewegungsprofil von Personen, die über ihr Smartphone dauerhaft eingeloggt sind.

Facebook hat jedoch auch einen Weg gefunden das Nutzerverhalten außerhalb des sozialen Netzwerks zu überwachen. Facebook bietet Tools und Bausteine für die Entwicklung von Apps und Webseiten an. Zu den Tools gehört beispielsweise der „Gefällt mir“ Button. Wenn Nutzer den Button auf einer Webseite verwenden, kann Facebook die Information mit dem Facebookprofil des Nutzers verknüpfen. Das gleiche gilt natürlich, wenn der Facebook-Account zum Single Sign-On auf einer anderen Website verwendet wird oder eine Website besucht wird, auf der eine Facebook Fanpage eingebunden ist.

Auch wenn Drittanbieterapps das Software Development Kit von Facebook verwenden, kann Facebook unbemerkt weitere Nutzerdaten über fremde Apps sammeln. Facebook erfährt so zum Beispiel, welche Artikel die Person ansieht und über die App kauft.

DSGVO-Auskunftsanspruch: Volle Transparenz von Facebook?

Für die meisten Facebook-Nutzer ist völlig unklar, welche Daten Facebook von ihnen verarbeitet. Nach Art. 15 DSGVO können Betroffene jedoch von Unternehmen Auskünfte über die von ihnen verarbeiteten personenbezogenen Daten verlangen. Facebook-User können eine entsprechende Auskunft über die verarbeiteten Daten herunterladen.

Die Auskunftserteilung durch Facebook steht jedoch schon seit Langem in der Kritik, denn Facebook entscheidet selbst, welche Informationen für die Nutzer relevant sind. Der österreichische Datenschutzaktivist Max Schrems war so unzufrieden mit seiner Datenauskunft, dass er Facebook auf Schadensersatz verklagte. Er war der Meinung, dass die von ihm angeforderte Auskunft über seine verarbeitenden Daten unvollständig und nicht transparent war. Unter anderem seien gelöschte Daten in der Übersicht aufgetaucht.

Der österreichische Oberste Gerichtshof stimmte Schrems zu und sprach ihm in einem Teilurteil bereits einen symbolischen Schadensersatz in Höhe von 500 Euro zu. Facebook habe Schrems keinen vollständigen Zugang zu seinen verarbeiteten Daten gewährt.

Kann ich die Datensammlung von Facebook unterbinden oder einschränken?

Nutzer können in den Privatsphäre-Einstellungen einige wenige Anpassungen vornehmen, um die Datenverarbeitung durch Facebook zu begrenzen. Wer die Datensammelei noch weiter einschränken möchte, kann auf Drittanbieter zurückgreifen. Die Anbieter blockieren Werbeanzeigen und können zum Teil Phishing und Tracking verhindern.

Außerdem bietet das Unternehmen seit dem 1. November 2023 neben der kostenlosen auch ein Abo zu 9,99 € pro Monat für die werbefreie Nutzung eines Kontos des Konzerns an. Solange dieses läuft, werden die von Facebook gesammelten Informationen nicht verwendet, um Werbung auszuspielen. Es werden aber weiterhin Daten von dem Nutzer erhoben und diese dürfen von Meta auch für andere Zwecke verwendet werden. Die Einführung dieses Abos folgte als Antwort auf ein Urteil des EuGH. Dieser stellte in einem Verfahren, indem sich Meta eigentlich gegen eine Anordnung des Bundeskartellamts wehrte, nebenher fest, das Meta seine Datenverarbeitungen für Werbezwecke in seiner jetzigen Form nicht auf die Rechtsgrundlage berechtigtes Interesse oder einen Vertrag mit dem Nutzer stützen könne. Stattdessen müsse man wohl eine Einwilligung einholen. Als Versuch, um die Anforderungen an deren Freiwilligkeit zu wahren, bietet der Konzern daher nun die Wahlmöglichkeit zwischen einer Einwilligung in die Datenverarbeitung zu Werbezwecken oder dem kostenpflichtigen Abo.

Facebook und der Digital Markets Act

Facebook fällt unter den Geltungsbereich des Digital Markets Act (DMA). Das Gesetz über digitale Märkte ergänzt bestehende Wettbewerbsregeln und zielt darauf ab, die Marktmacht von großen Digitalkonzernen einzuschränken. Die EU-Kommission legt darin einen Verhaltenskodex für führende Unternehmen im digitalen Bereich fest.

Die EU-Kommission ist noch nicht von Metas Umsetzung des Digital Markets Act überzeugt. Sie bezweifelt, dass das sog. „pay or okay“- Abomodell für Nutzer in der EU den Anforderungen an einer datenschutzkonformen Einwilligung gerecht wird. Nachdem NGOs und auch die österreichische Aufsichtsbehörde Beschwerden gegen Meta eingereicht haben, hat die EU-Kommission Meta im März 2024 zur Bereitstellung weiterer Informationen nach dem DSA, einem weiteren Digitalgesetz der EU, aufgefordert. Die Bedenken der Kommission konnte Meta jedoch nicht aus dem Weg räumen. Als Folge eröffnete die Kommission ein förmliches Verfahren gegen Meta und zwei weitere „Gatekeeper“.

Facebook und der Digital Services Act

Neben dem DMA gehört auch der Digital Services Act (DSA) zum Regulierungspaket der EU für Online-Plattformen. Gemäß den neuen Vorschriften müssen Onlinedienste transparent machen, welche Daten sie für personalisierte Werbung verwenden. Nutzerinnen und Nutzer sollen die Möglichkeit haben, einzusehen, welche Einstellungen für die Anpassung von Werbung auf sie angewendet werden und wer die Anzeigen finanziert. Plattformen könnten beispielsweise eine Datenbank führen, in der alle in der EU geschalteten Anzeigen erfasst werden.

Besonders sensible Daten wie sexuelle Orientierung, politische Meinungen und religiöse Zugehörigkeit dürfen nicht für gezielte Werbung genutzt werden. Personalisierte Werbung für Minderjährige wird künftig gänzlich untersagt. Bei Verstößen gegen die neuen Bestimmungen drohen den Unternehmen hohe Geldstrafen. Das Gesetz sieht Bußgelder in Höhe von bis zu sechs Prozent des globalen Umsatzes vor. Als ultimatives Mittel kann die EU-Kommission einen Onlinedienst unter dem neuen Gesetz sperren.

Meta betont zwar, dass es die neuen gesetzlichen Anforderungen ernst nehme und den Datenschutz seiner Nutzer seit jeher fördere. Um mehr Transparenz bei Datenverarbeitungen zu schaffen, arbeitet Meta an mehreren neuen Funktionen. Diese Aussage kann man durchaus kritisch sehen. Facebook hat in der Vergangenheit immer wieder wegen potenzieller Datenschutzverstöße auf sich aufmerksam gemacht. Einsicht zeigte das Unternehmen bisher kaum.

Maßnahmen für mehr Transparenz?

Nutzer können in der Werbebibliothek Anzeigen aus dem letzten Jahr aufrufen und einsehen, welche Parameter für das Targeting verwendet wurden (z.B. Alter, Standort und Geschlecht). Außerdem kann man nachvollziehen, wer die Anzeige geschaltet hat. Über die Funktion „Warum sehe ich diese Werbeanzeige?“ können Nutzer schon seit einigen Jahren Informationen darüber erhalten, warum ihnen bestimmte Inhalte angezeigt werden. Nutzer können auf diesem Weg ebenfalls einsehen, welche Zielgruppe der Werbetreibende erreichen möchte und Anpassungen an ihren Werbepräferenzen vornehmen.

Da der DSA personalisierte Werbung für Minderjährige verbietet, spielt Meta weltweit keine Werbung, die auf Aktivitäten auf Meta oder Instagram basiert, mehr an Jugendliche zwischen 13 bis 17 Jahre aus. Allerdings können Werbetreibende ihre Anzeigen weiterhin gezielt an minderjährige Nutzer an bestimmten Standorten ausspielen oder die Werbung nur an Jugendliche in einem bestimmten Alter richten.

Dem Thema KI hat sich Meta ebenfalls angenommen. Systemkarten sollen für mehr Klarheit sorgen und aufzeigen, wie KI-Systeme in Produkten funktionieren. Beispielsweise wird erklärt, wie mit KI vorhergesagt wird, welche Beiträge für einzelne Nutzer besonders relevant sind. Die Empfehlungen, die auf Grundlage von KI getroffen werden, können Nutzer jedoch nun auch deaktivieren. Suchergebenisse werden normalerweise auch durch Aktivitäten des Nutzers beeinflusst, diese Funktion lässt sich ebenfalls deaktivieren. Das Thema wird auch im Hinblick auf den AI-Act an Relevanz gewinnen!

Zweifel bleiben!

Die Maßnahmen sorgen in jedem Fall dafür, dass man Datenverarbeitungen auf Facebook besser nachvollziehen kann. Die komplexen Verarbeitungsprozesse werden jedoch sehr oberflächlich aufgearbeitet. Meta argumentiert, dass man die Informationen auch für Laien verständlich darstellen möchte. Auf diesem Weg gelingt es dem Unternehmen wertvolle Hintergrundinformationen und Angaben zu den technischen Vorgängen bei der Datenverarbeitung weiterhin für sich zu behalten.

Die EU-Kommission hat ebenfalls Zweifel an der Umsetzung des DSA durch Meta. Sie hat Ende April 2024 ein Verfahren gegen Facebook und Instagram eröffnet. Konkret geht es um den Umgang mit irreführender Werbung und politischen Inhalten. In einem zweiten Verfahren geht es um mögliche Verstöße gegen den Jugendschutz. Algorithmen könnten Verhaltensweisen von Jugendlichen gezielt ausnutzen, um sie dazu zu bringen viel Zeit auf den Meta-Plattformen zu verbringen.

Laufende Verfahren bei den Datenschutzaufsichtsbehörden

Neben der EU-Kommission beschäftigen die Datenverarbeitungen von Facebook auch weiterhin die Datenschutzaufsichtsbehörden und Gerichte.

Die irische Datenschutzbehörde DPC verhängte in den letzten Jahren Rekordbußgelder gegen Meta. Darunter eins in Höhe von 1,2 Milliarden Euro wegen unzulässiger Datentransfer von Facebooks EU-Nutzern zu Servern in den USA. Weitere 210 Millionen Euro soll man wegen fehlender Transparenz und Rechtmäßigkeit bei zielgerichteter Werbung zahlen. Zudem gab es ein Bußgeld von 265 Millionen Euro für eine Datenpanne bei der 2021 Daten von ca. 533 Millionen Facebook-Nutzern abflossen.

Mit Spannung wird zudem das Urteil des EuGHs zu der Klage von Max Schrems erwartet. Das Gericht wird entscheiden, ob Facebook gegen den Grundsatz der Datenminimierung aus Art. 5 DSGVO verstößt, indem es einmal gesammelte Daten beliebig lang für Werbezwecke verwendet. Konkret geht es um Daten, die Facebook durch die Platzierung von „Gefällt-mir“ Buttons auf externen Webseiten erlangt.

Facebook: Kein überzeugendes Datenschutzniveau in Sicht

Es ist bekannt das Facebook Daten über seine Nutzer speichert. Sich über das tatsächliche Ausmaß von Facebooks Datenverarbeitung ein Bild zu machen, ist dem User quasi unmöglich. Datenschützer kritisieren die mangelnde Transparenz der Datenverarbeitung. Durch den DMA und den DSA wächst der Druck auf Meta seine Plattformen transparenter zu gestalten. Die zahlreichen eröffneten Verfahren verdeutlichen jedoch, dass es bisher ernsthafte Bedenken an der Effektivität der ergriffenen Maßnahmen zur Schaffung von mehr Transparenz gibt. Gleichzeitig zeigt das Vorgehen der EU-Kommission allerdings auch, dass die Gesetze der EU nun vielversprechende Möglichkeiten eröffnen, um das Datenschutzniveau auf Social-Media-Plattformen zu verbessern!