Das soziale Netzwerk «XING» bietet seinen NutzerInnen die Möglichkeit, ihr Adressbuch aus u.a. Outlook, Gmail und den Smartphone Apps zu importieren. Dies soll dabei helfen, «bereits bestehende Kontakte im Adressbuch auch bei XING zu vernetzten». Entsprechend werden dann andere Mitglieder vorgeschlagen, die den eigenen Kontakten im sozialen Netzwerk hinzugefügt werden können.
Dies ist jedoch nur die halbe Wahrheit. Die Kontakte aus dem Adressbuch werden auch anderen XING-Mitgliedern als Vorschlag unterbreitet – auch wenn der Kontakt selber gar nicht XING-Mitglied ist, aber z.B. die Mail-Domäne der beiden Personen übereinstimmt und daher eine Bekanntschaft (innerhalb einer Unternehmung) wahrscheinlich ist.
Wenn nun dieses XING-Mitglied sich mit der Person verbinden möchte, erhält die Drittperson (deren Adresse auch dem Adressbuch einer anderen Person stammt notabene) eine Aufforderung, dem Netzwerk beizutreten.
Nochmals langsam:
- Ein XING-Mitglied wird dazu verleitet, das Adressbuch zu XING hochzuladen.
- Die Firma analysiert die Adressbuchdaten. Dabei kann es sich insbesondere auch um E-Mail-Adressen von Nicht-Mitgliedern handeln. XING versucht zu erkennen, welche Mitglieder ein Nicht-Mitglied kennen könnte.
- Das soziale Netzwerk schlägt darauf hin diesen XING-Mitgliedern vor, sich mit dem Nicht-Mitglied zu vernetzen. Das Nicht-Mitglied erhält eine Aufforderung, beim sozialen Netzwerk mitzumachen.
Für XING scheint dies rechtlich alles in Ordnung. Auf Anfrage wird auf Artikel 7 der Datenschutzerklärung verwiesen:
XING stellt XING-Mitgliedern Dienstleistungen zur Verfügung, die die Verarbeitung von eigenen Daten und/oder denen Dritter betreffen. Wenn Sie eine entsprechende Anwendung oder Dienstleistung von XING aktivieren, erfolgt die Verarbeitung von personenbezogenen Daten in Ihrem Auftrag und Ihrer Verantwortung.
Konsequent verweigert XING nun die Auskunft zur Herkunft der Daten nach § 34 Abs. 1 Bundesdatenschutzgesetz: Obwohl XING eine Datenbearbeitung für sich und Dritte vornimmt, weigert sich die Firma, die Herkunft der Daten zu benennen. Dies wäre jedoch wichtig, da nur so das Recht auf Auskunft und gegebenenfalls auf Berichtigung oder Löschung an der entsprechenden Stelle beansprucht werden kann. Das Schweizerische Bundesgesetz über den Datenschutz hält in Art. 8 Abs. 4 ein entsprechendes Auskunftsrecht explizit fest:
Lässt der Inhaber der Datensammlung Personendaten durch einen Dritten bearbeiten, so bleibt er auskunftspflichtig. Der Dritte ist auskunftspflichtig, wenn er den Inhaber nicht bekannt gibt oder dieser keinen Wohnsitz in der Schweiz hat.
Immerhin wird die betroffene Person nun nicht mehr anderen XING-Mitgliedern als Kontakt vorgeschlagen.
Unsere Mustervorlage für Datenauskunftsbegehren kann für eigene Anfragen verwendet werden.