Datensicherheit: Die Facebook-Protokolle

Er ist der Alptraum der Facebook-Manager: Max Schrems, 21 Jahre alt, Jurastudent in Wien. Schrems wollte wissen, ob Facebook sich an die europäischen Datenschutzregeln halten muss. Oft hatten europäische Datenschützer beklagt, dass es gegen den US-Konzern in Europa keine Handhabe gebe. Schrems studierte Nutzungsbedingungen, Gesetzestexte und machte eine folgenschwere Entdeckung.

Vermutlich aus Steuergründen hat Facebook eine irische Tochtergesellschaft, die „Facebook Ireland Limited“ in Dublin. Alle Facebook-Nutzer außerhalb der USA und Kanada haben ausschließlich mit Facebook Ireland einen Vertrag. Damit können rund 70 Prozent der weltweit 710 Millionen Facebook-Nutzer nach europäischem Recht gegen Facebook vorgehen und sich eine Kopie der Daten übermitteln lassen, welche über sie gespeichert sind.

Dieses Recht haben Max Schrems und drei weitere Stundeten aus Wien in Anspruch genommen. Sie erhielten von Facebook CD-Roms mit ihren Daten zugeschickt und fanden Erstaunliches. Die schiere Menge der gesammelten Daten überstieg ihre Befürchtungen – die Datenprotokolle umfassten ausgedruckt mehr als tausend A4-Seiten pro Person. Dabei stellten sie fest, dass Facebook nicht einmal alles herausgerückt hatte. Daten über die „Gefällt mir“-Funktion und über die Gesichtserkennung etwa fehlten.

Die Studenten konnten aber erstmals detailliert die Profile lesen, die Facebook über seine Nutzer anfertigt. Sie fanden 57 Kategorien, nach denen Facebook die Daten speichert: Vom Geburtsdatum über Beziehungsverhalten bis zu religiösen und politischen Überzeugungen ist alles dabei.

Schrems und seine Kommilitonen entdeckten sogar reihenweise Datensätze, die sie in ihren Facebook-Accounts gelöscht hatten. „Removed Friends“, heißt etwa eine Datenkategorie, in der Facebook die Namen der Personen aufbewahrt, die der Nutzer vermeintlich gelöscht hat. „Löschen“ bedeutet in diesem Zusammenhang nur, dass Facebook laut den Protokollen zeitlich unbegrenzt und umfassend speichert, was wann von wem gelöscht wird.

So finden sich vermeintlich gelöschte Chat-Protokolle, E-Mails, Postings, Freundschaftsanfragen und Namen in geheimen Protokollen. Für Facebook bleibt der vermeintlich gelöschte Inhalt immer bestehen. „Das ist rechtswidrig“, sagt Schrems: User dürften laut Datenschutzgesetzen nicht getäuscht werden. Wenn die Benutzeroberfläche von Facebook bei Löschvorgängen dreimal nachfrage, ob man wirklich alles löschen wolle, dürfe am Ende nicht alles gespeichert bleiben.

Datenfalle Steueroase

Schrems hat unter Facebook-Nutzern eine Bewegung ausgelöst, massenhaft verlangen sie jetzt ihre Daten. Doch es wird noch unangenehmer für den Konzern: Mit seinen Bekannten hat der Student kürzlich 22 gut begründete Anzeigen gegen Facebook wegen Verstoßes gegen Datenschutzgesetze eingereicht – natürlich bei der zuständigen irischen Datenschutzbehörde. Und diese drohte Facebook prompt eine Betriebsprüfung an.

Gelöschte Daten in den Protokollen „mussten für eine kurze Zeit für Nachforschungen aufbewahrt werden“, sagt Facebook und erklärt damit nichts. An Schrems will Facebook seine noch fehlenden Daten nicht mehr übermitteln, denn die seien geistiges Eigentum von Facebook. „Wenn meine gespeicherten Gesichtszüge das geistige Eigentum von Facebook sein sollen, dann kommen wir in den Bereich des total Absurden“, hält Schrems dagegen und bekommt viel Zuspruch.

Bundesdatenschützer Peter Schaar begrüßt die Studenten-Initiative (www.europe-v-facebook.org). Sie zeige, „wie intransparent Facebooks Datenverarbeitung ist“. Und: „Alle Nutzer sollten nun von ihrem Recht auf Auskunft Gebrauch machen und prüfen, was Facebook über sie gespeichert hat.“

Wäre Facebook nicht ausgerechnet in die Steueroase Irland gezogen – es hätte für solche Aktionen kein Recht gegeben.