„Blutspendedienst übermittelte heikle Daten an Facebook“ – so lautete ein Artikel der Süddeutschen Zeitung vom 27. August 2019. Nun bestätigte Thomas Kranig, Präsident des Bayerischen Landesamtes für Datenschutzaufsicht (BayLDA), dass ein aufsichtsrechtliches Verfahren eingeleitet worden sei.

Was war passiert:

Wie das Bayerische Rote Kreuz in seiner Stellungnahme vom 27. August 2019 angibt, war auf der Webseite des digitalen Spende-Checks (https://www.blutspendedienst.com/blutspende/services/spende-check) das sog. Facebook-Pixel integriert. In seiner Stellungnahme räumt das Bayerische Rote Kreuz ein, dass bei Nutzung des digitalen Spende-Checks durch Besucher mit einem aktiven Facebook-Account folgende Daten automatisch an Facebook übermittelt wurden:

  • Aufruf der URL des Spende-Checks,
  • der Text des Antwort-Buttons auf die während des Spende-Checks zu beantwortenden 29 Fragen („Ja“ / „Nein“ bzw. „Reise-Check“ oder „Terminsuche“),
  • Anzahl der Klicks, die der Nutzer tätigt.

Nach Aussage des Bayerischen Roten Kreuzes wurde der Fragenkatalog nicht an Facebook übermittelt. Theoretisch ist es jedoch möglich, die bisher stets in der gleichen Reihenfolge gestellten 29 Fragen mit den übermittelten Antworten abzugleichen. Es besteht daher grundsätzlich die Möglichkeit, aus den Antworten des Spende-Checks auf einzelne Personen zu schließen und diese Antworten mit dem jeweiligen Facebook-Profil zu verknüpfen. Gefragt wird beim Spende-Check u.a. nach intimen Gesundheitsdaten wie Angaben zu HIV-Infektionen, Schwangerschaften, Drogenkonsum und einer Diabeteserkrankung.

Nächste Schritte:

Derzeit wird durch das BayLDA geprüft, ob Facebook sich des Umfangs der übermittelten Daten bewusst ist und diese noch speichert. Zudem ist durch das BayLDA festzustellen, wie schwerwiegend der Vorfall einzuordnen ist. Dabei wird insbesondere die rechtliche Bewertung der Frage interessant sein, ob es sich bei dem Text der Antwort-Buttons („Ja“ / „Nein“) um Gesundheitsdaten i.S.d. Art. 4 Nr. 15 DSGVO handelt. Dies deshalb, da die den Antworten zugehörigen Fragen nicht gleichzeitig mitübermittelt wurden, sondern diese erst in einem zweiten Schritt in Erfahrung gebracht werden müssten.

Das weitere aufsichtsrechtliche Verfahren und dessen Ausgang dürfte eine hohe rechtliche Relevanz haben und könnte als zukünftiger Präzedenzfall – auch in Sachen Bußgeldhöhe einer deutschen Aufsichtsbehörde – dienen.

Viel wichtiger aus Betroffenensicht bleibt jedoch die Beantwortung der Frage, wie eine Nutzung der über das Facebook-Pixel übermittelten Daten des Spende-Checks ausgeschlossen werden kann und sichergestellt werden kann, dass diese Daten endgültig gelöscht sind.

| | , , | , , , , ,