Zusammenfassung

  • Die FTC warf GeoCities 1998 vor, Informationen breiter zu nutzen und weiterzugeben, als die Datenschutzhinweise es den Mitgliedern versprachen.
  • Die endgültige Einwilligungsanordnung von 1999 machte daraus konkrete Pflichten: Datensammler und Empfänger benennen, elterliche Zustimmung für Kinderdaten organisieren, Auskunft und Löschung ermöglichen und auch Dritte zur Entfernung ihrer Kopien auffordern.

Das Angebot war nur einen Klick entfernt

Bei der Anmeldung gab es keinen langen Vertrag zu lesen, sondern Felder und Auswahlmöglichkeiten. GeoCities bat um Identitätsangaben, markierte Bildung, Einkommen, Familienstand, Beruf und Interessen als freiwillig und bot spezielle Werbung an. Der Empfang solcher Angebote war voreingestellt. Wer sie nicht wollte, musste die Auswahl ändern.

Das war der kommerzielle Mechanismus hinter den kostenlosen Homepages und den thematischen Nachbarschaften. GeoCities verkaufte Werbeplatz und konnte Anzeigen anhand der Interessen oder der gewählten Nachbarschaft ausrichten, so die FTC-Beschwerde. Die Behörde behauptete, die Datenschutzhinweise hätten dagegen einen engeren Zweck zugesagt: persönliche Informationen sollten für die konkreten Angebote und Produkte verwendet werden, die Mitglieder anforderten; freiwillige Angaben sollten ohne Erlaubnis nicht an Dritte gehen.

Laut Beschwerde wurden Informationen dennoch verkauft, vermietet oder anderweitig weitergegeben und für andere Werbezwecke genutzt.

Die Größenordnung stand ebenfalls in der Beschwerde vom August 1998: mehr als 1,8 Millionen Mitglieder in 40 thematischen Nachbarschaften. Am 18. Mai 1998 waren nach der dort genannten Zahl ungefähr 50.000 Mitglieder unter 13 Jahren. Das macht den Kinderbereich zu mehr als einer Randnotiz. Die FTC bezog sich auf den GeoKidz Club und Wettbewerbe in der Enchanted Forest, die Angaben wie Name, Alter, E-Mail-Adresse, Home-Page-Adresse und Geschlecht verlangten.

Die Seiten vermittelten den Eindruck, diese Angebote gehörten zu GeoCities. Die FTC behauptete, Community Leaders hätten Club und Wettbewerbe tatsächlich organisiert und die Angaben der Kinder gesammelt und verwahrt. Die sichtbare Adresse und die Person mit Zugriff auf das Formular konnten auseinanderfallen. Damit ging es zugleich um den Datenempfänger und darum, wer eine Aktivität auf der Website sponserte.

Einverstanden mit dem Verfahren, nicht mit jedem Vorwurf

Am 13. August 1998 kündigte die FTC eine vorgeschlagene Einigung an und eröffnete eine 60-tägige öffentliche Kommentierungsphase. GeoCities räumte die für die Zuständigkeit relevanten Tatsachen ein und stimmte dem Vergleichsweg zu. Die Vereinbarung hielt ausdrücklich fest, dass sie kein Eingeständnis der behaupteten Rechtsverstöße oder der übrigen Vorwürfe war. Die später bindende Anordnung beruhte auf Zustimmung und nicht auf einem Prozessurteil.

Die Commission erließ ihre Decision and Order am 5. Februar 1999. Am 12. Februar meldete die FTC den endgültigen Abschluss nach der Kommentierungsphase; die Abstimmung fiel 4 zu 0 aus. Der Endtext enthielt eine zusätzliche Regel: GeoCities durfte Informationen von Kindern sammeln oder nutzen, soweit das nach dem US-Gesetz zum Schutz der Privatsphäre von Kindern im Internet aus dem Jahr 1998 zulässig war.

Die Anordnung setzte beim Ort der Datenerhebung an. GeoCities musste auf der Startseite und an jeder Erfassungsstelle eine klare und hervorgehobene Mitteilung platzieren. Sie sollte nennen, welche Daten erhoben wurden, welchem Zweck sie dienten, welche Dritten sie erhielten, wie Betroffene Zugang bekamen, wie sie eine Entfernung verlangen konnten und welche Grenzen dabei galten. Eine Datenschutzerklärung, die im Footer vergraben blieb, erfüllte diese Aufgabe nicht.

Für Kinder bis einschließlich 12 Jahre war ein ausdrückliches Verfahren zur elterlichen Zustimmung vor Erhebung und Nutzung erforderlich. GeoCities durfte zunächst begrenzte Prüfinformationen einsetzen, um das Kind zu erkennen und die Eltern zu erreichen. Kam innerhalb von 20 Tagen keine Zustimmung, mussten die Angaben entfernt werden; nur das Minimum, das eine erneute unzulässige Registrierung blockierte, durfte bleiben.

Auch alte Datensätze bekamen eine Frist. Personen über 12, deren Informationen an CMG Information Services weitergegeben worden waren, sollten eine Mitteilung und eine Möglichkeit zur Entfernung erhalten. Für Angaben von Kindern, die vor dem 20. Mai 1998 gesammelt worden waren, galt ein eigener Elternprozess. Ohne ausdrückliche Zustimmung zur weiteren Speicherung und Weitergabe innerhalb von 20 Tagen musste GeoCities die Nutzung einstellen und die Informationen binnen zehn Tagen entfernen. Dazu konnten die Homepages und E-Mail-Konten der Kinder gehören.

Das Unternehmen musste außerdem frühere Empfänger kontaktieren und sie bitten, die weitere Weitergabe einzustellen und ihre Kopien zu löschen.

Damit reichte die Pflicht über die eigenen Server hinaus. GeoCities musste schriftliche Zusagen von Dritten und Community Leaders einholen. Unter den im Beschluss genannten Bedingungen musste das Unternehmen die Geschäftsbeziehung zu einem nicht kooperierenden Dritten beenden oder den Status eines Community Leaders entziehen. Wer einen Club unter dem eigenen Namen veranstaltete, musste auch wissen, wer hinter den Formularen stand.

Die FTC-Unterlagen nennen, was GeoCities verlangen musste; ob jeder Empfänger seine Kopie später löschte, verfolgen sie nicht. Compliance-Unterlagen der Empfänger könnten das belegen.

Die Löschung hatte einen klar beschriebenen Rand. In externen Sicherungskopien durften bestimmte Informationen für Systemwartung, Backups, die Blockierung unzulässiger Kinderregistrierungen oder gerichtliche Verfahren verbleiben. GeoCities musste diese Speicherung offenlegen; eine Weitergabe der archivierten Daten war außer bei Anfragen von Strafverfolgungsbehörden oder Gerichten untersagt. Die Anordnung verlangte deshalb auch eine Erklärung darüber, welche Kopien nicht sofort aus jeder Sicherung verschwanden.

Vertrauen brauchte eine Empfängerliste

Die FTC nannte den Vorgang ihren ersten Internet-Datenschutzfall. Seine praktische Bedeutung lag in der Prüfliste: Welche Angaben gelangen wohin, zu welchem Zweck, mit welchem Zugang und welcher Löschmöglichkeit? Datenschutz wurde an die tatsächlichen Formulare, Werbeempfänger und Community Leaders gebunden.

Kommissar Orson Swindle unterstützte die endgültige Anordnung für diesen Fall und sagte, seine Stimme sei keine Zustimmung dazu, dieselben Pflichten per Gesetz oder Verordnung auf alle kommerziellen Internetseiten auszuweiten. Die FTC band GeoCities an einen konkreten Vergleich; die allgemeine Regel blieb Gegenstand der politischen Auseinandersetzung.

GeoCities musste für das Angebot einstehen, das Nutzer unter seinem Namen vorfanden. Die Nachbarschaft war die Eingangstür; die Anordnung folgte den Daten durch die Räume dahinter. Wer Publikum, Hosting und Marke bereitstellte, musste auch die Personen benennen, die Informationen sammelten, und ihre Reaktion auf einen Löschauftrag einfordern.

Quellen