Thread by @alvar_f

Der @henningtillmann hat da 👇 gezeigt, dass die @CSU die Besucher ihrer Negative-Campaigning-Website u.a. an Facebook verpetzt. Ohne (erforderliche!) Rechtsgrundlage, natürlich.
Hier nun ein Thread, warum so etwas trotz Nachbesserung Problematisch ist, los geht's! 1/x

https://twitter.com/henningtillmann/status/1430917856796061700

Da Verarbeitungen personenbezogener Daten grundsätzlich einer Rechtsgrundlage nach Artikel 6 Absatz 1 Unterabsatz 1 oder bei besonderen Kategorien personenbezogener Daten wie politischer Meinungen DS-GVO nach Artikel 9 Absatz 2 DS-GVO bedürfen, hat die CSU … 2/x

… schnell nachgebessert.
Ob CSU oder nicht, ist auch egal, die Fehler machen viele:
Nachgebessert? Naja, sie hat es versucht. Facebook ist nicht mehr dabei, und mit einem „Cookie Banner“ versuchen sie, vermutlich eine Einwilligung einzuholen. Siehe Beispiele ab 2. Screenshot 3/x

… Dummerweise geht dabei allerhand schief. Die „Einwilligung“ die angeblich eingeholt wird, ist nicht wirksam. Denn sie erfolgt nicht informiert. Betroffene Personen erfahren da nicht, in was sie einwilligen. Einwilligungen müssen zu allen einwilligungsbedürftigen … 4/x

… Verarbeitungen eingeholt werden, nach DS-GVO (in nicht notwendige Cookies nach ePrivacy-RL und TMG zusätzlich, das lasse ich mal außen vor). Über die Verarbeitungen wird im Banner aber nicht informiert, betroffene Personen können keine bewusste Entscheidung treffen. 5/x

Also, es ist keine informierte Einwilligung. Außerdem wird Nudging betrieben, „zulassen“ ist optisch deutlich hervorgehoben, damit ist die Einwilligung nicht mehr freiwillig, es ist keine „unmissverständlich abgegebene Willensbekundung“ der betroffenen Personen, sondern … 6/x

… nur ein „geh fort, blöder Banner, möglichst schnell“.
Außerdem handelt es sich um Verarbeitungen politischer Meinungen (insbesondere bei der Sammlung der Daten der Unterstützer), die nach Artikel 9 Absatz 1 grundsätzlich untersagt sind. Dementsprechend sind die … 7/x

… Anforderungen an die Einwilligung nach Artikel 9 Absatz 2 Buchstabe a enger auszulegen.

Aber viel interessanter ist m.E. immer, was tatsächlich passiert, schauen wir mal! 👇
Folgendes wird mit einem frischen Browser an Microsoft unter browser.events.data.microsoft.com/OneCollector/1… geschickt … 8/x

Also, Microsoft erhält ein paar eindeutige Identifizierungsmerkmale, die aufgerufene Adresse und die Bildschirmauflösung. Diese Daten gehen in die USA. 👇
Wenn die betroffene Person aber mal vorher mit anderen Microsoft-Diensten in Berührung kam oder gar mit einem … 9/x

… Microsoft-Konto angemeldet ist, dann werden mittels Cookies (MC1, MS0) weitere Informarmationen an Microsoft übermittelt – mit denen Microsoft die tatsächliche eindeutige Identität der Personen herausfinden kann.
Warum ist es für die Wahlwerbung einer Partei in Bayern 10/x

… erforderlich, dass Informationen darüber, wer exakt wann mit welcher Bildschirmauflösung die Wahlwerbung gesehen hat?
Verarbeitungen personenbezogener Daten müssen stets rechtmäßig und für die betroffene Person nachvollziehbar sein (Art. 5 Absatz 1 Buchstabe a DS-GVO), … 11/x

… sie müssen für den Zweck erforderlich sein (dort Buchstabe b), außerdem angemessen und für den Zweck notwendig (Buchstabe c). Sie dürfen nicht länger als nötig gespeichert werden (Buchstabe e).

Ist es notwendig, dass eine Partei ihre Anhänger in die USA verpetzt? … 12/x

Aber was geschieht denn da mit den Daten? Hmmm … die Datenschutzinformationen sagen das da unten 👇 dazu.
Sprich: Die Daten werden für einen unbestimmten Zeitraum zur Profilbildung und für Werbezwecke verwendet und in die USA übermittelt. Kein genauer Zweck und Info … 13/x

… und wie schon geschrieben: USA! Nach Artikel 44 ff. DS-GVO ist die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation (zB in USA) grundsätzlich unzulässig, Details erspare ich Euch hier, wer will siehe dort: baden-wuerttemberg.datenschutz.de/wp-content/upl…
14/x

Ach, und zur Einwilligung. Reicht es nicht aus, wenn in der „Datenschutzerklärung“ – korrekter: Datenschutzinformationen nach Artikel 13 DS-GVO – steht, was passiert?
Nein.
Diese Infos sind keine Rechtsgrundlage (siehe oben). Sondern eine ZUSÄTZLICHE Pflicht. 15/x

Also, Fazit:
Schon bei grober Draufsicht verpetzt die CSU ihre Anhänger u.a. an Google, Microsoft und andere Unternehmen.
Grundsätze für die Verarbeitung personenbezogener Daten aus Artikel 5 DS-GVO werden nicht eingehalten (Transparenz, Zweckbindung, Datenminimierung, […] 16/x

Speicherbegrenzung); es fehlt eine Rechtsgrundlage nach Artikel 6 bzw. eher 9 DS-GVO, da die Einwilligung nicht informiert erfolgte und damit nicht wirksam ist; es wird eine unzulässige Übermittlung in die USA durchgeführt.
Und es ist fraglich, ob die CSU ihrer … 17/x

Rechenschaftspflicht aus Artikel 5 Absatz 2 DS-GVO gerecht werden kann, denn: kann sie genau darlegen, was Google, Microsoft und so weiter mit den Daten machen? Ich denke nicht – und in den Datenschutzinformationen wird das nur oberflächlich beschrieben.
18/x

Aber, aber, ABER! „Wo ist denn da das Problem?“ werden einige einwenden.

Das Gesetz – sollte eine Law-and-Order-Partei einhalten. „OK, aber praktisch?“

Erinnert Ihr Euch an Cambridge Analytica und die zielgerichteten demokratiegefährdenden Kampagnen im US-Wahlkampf?

ENDE 19/19

Ach, und damit wir auch noch was politisches dazu sagen: siehe da, derzeit noch von 2017 … wen-waehlen.de/btw17/parteien… ;-)

Oder noch mal Kurzfassung, weil einige gefragt haben:
Wer „Cookies zulassen“ wählt und z.B. in MS365 oder u.U. auch Windows angemeldet ist, über den verrät die @CSU an Microsoft, wann und wie er die Kampagnen-Seite aufgerufen hat. Ganz exakt welche Person.

Laptop und Lederhose!

Angegebener Zweck: „Bereitstellen von interessenrelevanten Informationen für die Nutzer auf Basis ihres Verhaltens“ und „Profiling“.

Es geht also nicht um harmlose „Kekse“ – sondern das ermöglicht letztendlich auch politische Manipulation – siehe Cambridge Analytica.

Ich halte das nicht nur für rechtswidrig (siehe den ganzen Thread oben 👆), sondern eben auch für politisch sehr SEHR gefährlich und potentiell Demokratiezerstörend.

Dabei unterstelle ich der @CSU nicht Absicht, sondern Unkenntnis über das, was da alles im Hintergrund passiert.

… und in diesem Falle hat die @CSU nachgebessert, mit der ursprünglichen Facebook-Einbindung die @henningtillmann geschildert hat

https://twitter.com/henningtillmann/status/1430917856796061700

ist das m.E. signifikant schlimmer.

Und das machen viele (nicht nur Parteien) so. Das macht es aber nicht besser.