Alpinforum goes Facebook

[margau]

Ich erinnere da mal nur an die Diskussion zu facbook-Like-Buttons und sonstige Verbindungen die Facebook aus den Datenschleifen von Besuchern zieht. Für normal sterbliche nicht mehr zu überschauen. Solange man in dem Bereich aber nicht ganz genau weiß, was da passiert, sollte man m.M.n. die Finger davon lassen. Nicht ohne Grund haben zuletzt große Firmen ihre Präsenz bei Facebook gelöscht:

https://www.mdr.de/nachrichten/wirt...nskandal-zusammenarbeit-mit-facebook-100.html

Aber wenn ihr meint, ihr überschaut das alles, "denn man tau"!

Hallo,
ich weiß als Informatik-Student sehr genau, wie sowas technisch geht,
und kann auch sagen, was das Forum an Like-Buttons etc. eingebunden hat: Rein garnichts.

Von daher würde ich mir wünschen, dass keine unbegründeten Vorwürfe gemacht werden. Der technische Background ist durchaus - sehr tiefgehend - da.

Viele Grüße
margau

 

[Kreon100]

(...)
Hallo,
ich weiß als Informatik-Student sehr genau, wie sowas technisch geht,
und kann auch sagen, was das Forum an Like-Buttons etc. eingebunden hat: Rein garnichts.

Von daher würde ich mir wünschen, dass keine unbegründeten Vorwürfe gemacht werden. Der technische Background ist durchaus - sehr tiefgehend - da.

Viele Grüße
margau

Sorry, dann hast Du mich missverstanden, ich werfe hier niemanden vor, dass er keine Ahnung hat, ich frage nur, ob man sich hier der Datenströme bewusst ist? Der EuGH hat entschieden, dass der Seitenbetreiber für Datenverstöße von Facebook haftet. Und die Datenschutzbehörden in Deutschland hatten ja kürzlich einen Fragenkatalog veröffentlicht, den jeder Facebook-Seitenbetreiber beantworten können muss:

Betreiber einer Facebook-Fanpage müssen daher in der Lage sein, folgende Fragen zu beantworten:

1.) In welcher Art und Weise wird zwischen Ihnen und anderen gemeinsam Verantwortlichen festgelegt, wer von Ihnen welche Verpflichtung gemäß der DSGVO erfüllt? (Art. 26 Abs. 1 DSGVO)
2.) Auf Grundlage welcher Vereinbarung haben Sie untereinander festgelegt, wer welchen Informationspflichten nach Art. 13 und 14 DSGVO nachkommt?
3.) Auf welche Weise werden die wesentlichen Aspekte dieser Vereinbarung den betroffenen Personen zur Verfügung gestellt?
4.) Wie stellen Sie sicher, dass die Betroffenenrechte (Art. 12 ff. DSGVO) erfüllt werden können, insbesondere die Rechte auf Löschung nach Art. 17 DSGVO, auf Einschränkung der Verarbeitung nach Art. 18 DSGVO, auf Widerspruch nach Art. 21 DSGVO und auf Auskunft nach Art. 15 DSGVO?
5.) Zu welchen Zwecken und auf welcher Rechtsgrundlage verarbeiten Sie die personenbezogenen Daten der Besucherinnen und Besucher von Fanpages? Welche personenbezogenen Daten werden gespeichert? Inwieweit werden aufgrund der Besuche von Facebook-Fanpages Profile erstellt oder angereichert? Werden auch personenbezogene Daten von Nicht-Facebook-Mitgliedern zur Erstellung von Profilen verwendet? Welche Löschfristen sind vorgesehen?
6.) Zu welchen Zwecken und auf welcher Rechtsgrundlage werden beim Erstaufruf einer Fanpage auch bei Nicht-Mitgliedern Einträge im sogenannten Local Storage erzeugt?
7.) Zu welchen Zwecken und auf welcher Rechtsgrundlage werden nach Aufruf einer Unterseite innerhalb des Fanpage-Angebots ein Session-Cookie und drei Cookies mit Lebenszeiten zwischen vier Monaten und zwei Jahren gespeichert?
8.) Welche Maßnahmen haben Sie ergriffen, um Ihren Verpflichtungen aus Art. 26 DSGVO als gemeinsam für die Verarbeitung Verantwortlicher gerecht zu werden und eine entsprechende Vereinbarung abzuschließen?

Wenn ihr da überall einen Haken hinter machen könnt, ist doch alles prima!

 

[extremecarver]

Die Datenschutzbehörden in DE können dem Alpinforum komplett egal sein, lies dir also wenn die Regeln aus Österreich durch - bzw deren Urteile. Da es hier keinen Facebook Like Button oder ähnliches gibt, braucht sich das Alpinforum sprichwörtlich um gar nichts außer das Impressum/verlinkung zu Impressum auf Facebook zu kümmern.

Einzig fraglich ist dass das AF keinen dieser nervigen Popups hat - wobei das da nur Amazon-Assoc und GoogleSyndication an externen Domains verbunden wird wohl in AT auch ohne geht - erst recht jetzt mit der GDPR und der AT Interpretation dieser hat man da wohl nichts zu befürchten. Nachdem die Popups inzwischen eh kaum mehr jemand durchliest - sind die für Websites aus AT wohl auch nicht nötig sollte sowas mal vor Gericht kommen (solange alles korrekt konfiguriert - also etwa bei Google Analytics die Anonymisierte Version ausgewählt)

 

[David93]

Die Datenschutzbehörden in DE können dem Alpinforum komplett egal sein, lies dir also wenn die Regeln aus Österreich durch - bzw deren Urteile.

Ohne das ich mich in diese Diskussion groß einmischen möchte: Du weißt schon dass das Alpinforum (zumindest lt. Angabe auf dieser Seite) in Deutschland sitzt und somit natürlich deutsche Gesetzgebung gilt.

 

[extremecarver]

Ups my bad, dachte die wären extra mal nach AT umgezogen (bzw nur mit Server wobei es dann fraglich ist ob Server oder Firmenstandort zählt, ich glaube inzwischen eher Firmenstandort) da in AT die Gesetze deutlich freundlicher sind diesbezüglich. Aber der Server vom AF ist eh auch in DE bei Hetzner.

 

[Kreon100]

Ups my bad, dachte die wären extra mal nach AT umgezogen (bzw nur mit Server wobei es dann fraglich ist ob Server oder Firmenstandort zählt, ich glaube inzwischen eher Firmenstandort) da in AT die Gesetze deutlich freundlicher sind diesbezüglich. Aber der Server vom AF ist eh auch in DE bei Hetzner.

Na ja, das mag früher gegolten haben aber mittlerweile gilt ja für alle einheitlich DSGVO, so dass auch da ähnliche Rechtslage herrscht. In Portugal hat das bisher auch niemanden interessiert... Serverstandort ist erst mal egal, es gilt der Sitz des im Impressum genannten verantwortlichen als Verarbeitende Stelle.

 

[extremecarver]

Sehen gerade deutsche Behörden oft nicht so - dass der Serverstandort egal ist. Und zwar gilt die GDPR überall in EU, aber wie man die auslegt ist nun doch sehr länderspezifisch - und Klagen dagegen müssen halt im Land des Betreibers (oder ganz evtl Serverstandort) erfolgen - nicht im Land des Websitebesuchers - und damit ist AT diesbezüglich nun doch sehr anders als DE zu bewerten - zumindest von den Konsequenzen. (in DE Abmahnung möglich dank krankem Abmahnwesen vor allem zum Vorteil der Abmahnanwaltindustrie, in AT nur im Prinzip nur Strafe durch Behörde /Gericht - und nicht absichtlicher bzw geringer Erstverstoß wird mit Mahnung belassen wenn der Verstoß korrigiert wird.).

 

[stavro_]

natürlich muss das alpinforum mit der deutschen auslegung der DSGVO leben, selbst wenn der server in österreich oder sonst wo stehen würde.
apropos sonst wo. der webhoster muss im nötigen vertrag zur auftragsverarbeitung natürlich auch einräumen, dass er die vorgaben der EU DSGVO verbindlich berücksichtigt.
sonst darf er in der EU sein service also gar nicht anbieten. hat man als seitenbetreiber keinen solchen vertrag vorzuweisen, schaut's schon mal schlecht aus. (vertrag ist beim hetzner hosting natürlich gegeben)
man könnte den alpinforum server also jetzt zb nicht mehr irgendwo nach russland, china oder was weiß ich stellen, wenn der dortige auftragsverarbeiter sich nicht an die EU DSGVO hält (und oder die einhaltung nicht vertraglich zusichert).

 

[ThomasZ]

Na ja, das mag früher gegolten haben aber mittlerweile gilt ja für alle einheitlich DSGVO, so dass auch da ähnliche Rechtslage herrscht. In Portugal hat das bisher auch niemanden interessiert... Serverstandort ist erst mal egal, es gilt der Sitz des im Impressum genannten verantwortlichen als Verarbeitende Stelle.

Nicht richtig. Die EU-Ländern können "Öffnungsklauseln" zur EU-DGSVO erlassen. Österreich hat dies getan, D nicht. Einheitlich ist, dass nix einheitlich ist.

 

[stavro_]

Na ja, das mag früher gegolten haben aber mittlerweile gilt ja für alle einheitlich DSGVO, so dass auch da ähnliche Rechtslage herrscht. In Portugal hat das bisher auch niemanden interessiert... Serverstandort ist erst mal egal, es gilt der Sitz des im Impressum genannten verantwortlichen als Verarbeitende Stelle.

Nicht richtig. Die EU-Ländern können "Öffnungsklauseln" zur EU-DGSVO erlassen. Österreich hat dies getan, D nicht. Einheitlich ist, dass nix einheitlich ist.

die DSGVO wird in der EU etwa genauso "einheitlich" ausgelegt wie zb SEPA

 

[stavro_]

und weil es hier ja eigentlich um facebook geht, denen ist die EU DSGVO relativ egal, die haben ein paar "kosmetische" änderungen implementiert und schicken dir auch gerne einen vertrag zur auftragsverarbeitung.
aber viele dinge der DSGVO müsste man gegen die erst einklagen und wer macht das schon, außer der herr schrems

im prinzip hilft die DSGVO fb, google, amazon und co nur. weil die mit ihrem heer an anwälten und lobbyisten ihre "berechtigten interessen" am ehesten durchsetzten können
und gleichzeitig nicht so finanzkräftige mitbewerber los werden können.
soll jetzt aber nicht heißen, dass ich gegen datenschutz bin, ganz im gegenteil. nur die DSGVO war imho leider nicht der große wurf. ist aber sicher auch ein schweres thema.

 

[extremecarver]

wenn du einen Root Server hast - kann der überall stehen. Kommt ja niemand anders drauf (ohne Rechtsbruch zu begehen). Bei Managed oder Cloud mag das anders ausschauen. Datenverarbeitungsvertrag schließt man nur mit Firmen die auch Zugriff auf Daten haben.
Bezüglich Server - Deutschland hat schon versucht zu erklären dass Firmen im Ausland die einen Server in Deutschland mieten (Root vs Managed könnte bezüglich Verfügungsmacht eine Frage spielen, sprich der teurere Managed Server ist keine Betriebsstätte, der günstige Root dank Verfügungsmacht schon) in Deutschland auf den mit dem Server generierten Gewinn - Steuern zahlen sollen.

Das Gesetz zur Server Betriebsstätte ist allerdings ziemliches Wischi Waschi und Auslegungssache: https://de.wikipedia.org/wiki/Server-Betriebsst%C3%A4tte
Bzw siehe hier: https://www.iww.de/pistb/archiv/betriebsstaette-anforderungen-an-server-betriebsstaetten-neue-entwicklungen-im-e-commerce-f41147

bzw: https://www.roedl.de/themen/mandantenbrief/2012-05/cloud-computing-im-steuerrecht


Man könnte also gerade bei einem Forum gut argumentieren die Betriebsstätte an den Serverstandort zu verlegen - und damit dann halt auch der dortigen Auslegung/Rechtsprechung im Datenschutz zu unterliegen. Wie das im Nachhinein möglich wäre - keine Ahnung. Aber Steuerbehörden beschließen ja die Steuerpflicht oft auch erst im Nachhinein.

 

[stavro_]

dann bist natürlich du für das verarbeiten der daten am server verantwortlich und wenn du als betreiber der seite in deutschland sitzt, natürlich nach deutscher DSGVO auslegung.
sobald das rechenzentrum in dem dieser server steht aber zb auch nur irgend eine art backup strategie der server verfolgt, oder deren administrativen abläufe nicht iso zertifiziert sind, schaut's schon wieder anders aus.
macht ja keinen sinn wenn du dich als betreiber der seite an die DSGVO hälts aber der serveradmin in peking mit der festplatte aus deinem sever aus dem rechenzentrum spaziert
wenn dem dann einmal so ist, wirst glaubhaft nachweisen müssen, dass du dich von der gültigen zertifizierung usw vorher überzeugt hast und selbst das wird wahrscheinlich nichts nützen
und du kannst höchstens deinerseits den iamyou in peking klagen na viel spass dabei

 

[stavro_]

Man könnte also gerade bei einem Forum gut argumentieren die Betriebsstätte an den Serverstandort zu verlegen - und damit dann halt auch der dortigen Auslegung/Rechtsprechung im Datenschutz zu unterliegen. Wie das im Nachhinein möglich wäre - keine Ahnung. Aber Steuerbehörden beschließen ja die Steuerpflicht oft auch erst im Nachhinein.

verlegen kannst du den server eh, nur darfst du unter den beschriebenen umständen deine seite/services drauf in der EU nicht mehr anbieten,
sobald DSGVO relevante dinge dort drauf passieren. (und das passiert eben bei der heutigen technologie bei fast jedem blog schon, da brauchen wir von gar keinem komplexen webservice, sas oder cloud dienst reden)

 

[extremecarver]

Wenn der Server außerhalb der OECD ist, kann dir die EU den Buckel runterrutschen - das einzige was sie machen können ist deine Domain sperren. Bei einem Forum wird dann rein gar nichts passieren. Die Frage ist allein schon wenn das Forum aus USA gehostet wird was passiert. Siehe etwa Umsatzsteuerrichtilinie VATMOSS, schon in der EU verstoßen da zig Unternehmen dagegen - ein paar Große ala Amazon (Amazon Prime etwa!!!) - beschließen das einfach zu ignorieren und gar keine Ust abzuführen, bisher hat sich die EU noch nicht getraut Amazon diesbezüglich zu verklagen - obwohl Ust bei Amazon Prime ganz klar nach VATMOSS im Land des Konsumenten anfallen würde. Kleine Unternehmen ausserhalb der EU ignorieren VATMOSS auch, bzw wissen gar nicht davon. Andere haben es erst nach Jahre akzeptiert - und dann auch noch teils richtig provokant . Weiß grad nicht ob es Name.com oder Godaddy war - von denen kam Mitte 2017 (also 1.5 Jahre zu spät) eine email reingeflattert - Ab 1.08.2017 (oder wars 01.07?) - müssen Kunden aus der EU ohne VAT-ID Umsatzsteuer zahlen - wer noch bis zum 31. bezahlt kann diese Regelung umgehen!

Ausserhalb der OECD gelten die Ust Steuergesetze nicht - ich kenne ein paar Unternehmen die daher ein paar Monate vorher umgezogen sind mit der Firma - Eigentümer wohnen weiter alle in der EU, und die zahlen 0,0% Umsatzsteuer.

Die EU kann einem wenn man will also hier den Buckel runterrutschen. Und die GDPR wird sicherlich noch schwerer einklagbar wie VATMOSS was nicht EU Unternehmen betrifft (zumindest solange keine Server in der EU stehen). Praxis vs Recht klüften hier sehr weit auseinander!

 

[stavro_]

ich glaube wir reden da jetzt aneinander vorbei. ich verstehe auch nicht ganz, was das jetzt mit steuern zu tun hat.
mein punkt war. du betreibst aus DE ein forum, der server steht (von mir aus wie in deinem beispiel) in den USA in einem rechenzentrum,
welches sich nicht an die vorgaben der EU DSGVO hält. ich bekommen das irgendwie mit und will dir böses.
ich klage dich weil ich meine daten nicht gemäß DSGVO verarbeitet sehe. du kannst den nachweis nicht erbringen und du brennst wie ein luster. (in DE, in AT kommst mit einer warnung davon)
das hat nichts damit zu tun, dass die EU jetzt von sich aus anfängt, betroffene domains zu sperren. davon gehe ich auch nicht aus.
trotzdem dürftest du imho laut DSGVO das forum so erst gar nicht betreiben. immer unter der annahme, die forensoftware oder was sonst auf dem server läuft,
verarbeitet und oder speichert daten so, dass sie DSVGO relevant sind. (was wie gesagt ohne modifikationen bzw beschneidung des funktionsumfanges bei quasi jeder gängigen foren oder blog software per design der fall ist)

 

[extremecarver]

Naja um jemanden zu klagen brauchst du erstmal die Daten. Wenn man das ändert und den Betriebsstandort nach Belize oder wo auch immer setzt - dann wirds quasi unmöglich jemand zu klagen. Solange eine EU Adresse angegeben ist - bringt es natürlich nicht viel den Server nach AT zu verlegen. Sehr wohl aber könnte es problematisch sein als Österreicher ein Forum auf deutschem Server zu betreiben - hier steht die Chance gut dass man in DE beim Gericht vorgeladen wird (aber Abmahnung hat geringe Chancen).

Mit Steuern nur insofern - dass mit diesem Punkt der Betriebsstandort recht gut vor Gerichten geklärt ist - sprich man eben auch mit deutschem Wohnsitz, ohne irgendwelche Verbindungen ins Ausland - das Forum durch hostem im Ausland und erklären des Betriebssitzes dort (wenn nicht gewerblich wird die Erklärung reichen!!!) nach den dortigen Regeln betreibt. Wenn gewerblich dann wird man auch den wirklichen Betriebssitz umziehen müssen.

 

[Kreon100]

(...)

Nicht richtig. Die EU-Ländern können "Öffnungsklauseln" zur EU-DGSVO erlassen. Österreich hat dies getan, D nicht. Einheitlich ist, dass nix einheitlich ist.

Ja, also das geht ja jetzt sehr ins Detail und {off topic an}: Ja es gibt einige Öffnungsklauseln und das ist ja auch alles gut, weil da jedes Land noch mal Schwerpunkte setzen kann. Nachdem die DSVGO aber maßgeblich nach Vorbild des deutschen Datenschutzrechtes zusammen mit der wütenden Klage eines Österreichers geschrieben wurde, wäre es wohl auch blöd, dann wieder in D eine Ausnahme hinzuzufügen.

Ich teile nicht die Auffassung, dass die DSGVO ja die großen Unternehmen wie Apple, facebook und Microsoft nicht tangiert. Microsoft hat das gesamte Geschäftsmodell aufgrund der DSGVO umgestellt. Und wenn jemand wie facebook meint, es geht ihn nichts an, dann warten wir doch einfach mal ab, was da noch kommt (4% des Konzernjahresumstzatzes als Strafe möglich). Es wird immer so getan, als könnten Großunternehmen mit einer Armada von Anwälten sich ihr eigenes Recht schaffen. Bis dann auf einmal Vorstandsvorsitzende doch im Gefängnis sitzen, von Shareholdern auf Millionen in Regress genommen werden oder Firmen dann doch einfach durch Gerichtsbeschluss geschlossen werden. Das ist jetzt mit der DSGVO eine ganz andere Dimension {off topic aus}.

Ich für meinen Teil gehe genau aus den Gründen mit meinen Firmenwebseiten jedenfalls nicht auf Facebook.

 

[stavro_]

@extremecarver
auch so, du willst das forum als uboot betreiben. glaube das wird hier nicht wirklich als option gesehen
außerdem nehme ich dich dann mit einer klage immer noch vom netz (zumindest vorläufig)

 

[extremecarver]

Hätte Max Schrems (wütender Österreicher) wirklich einen Anteil an der GDPR gehabt, dann würde diese deutlich anders ausschauen. Seine Klagen vs Facebook haben sicherlich mit dazubeigetragen - vor allem dazu dass Facebook sich eben nicht mehr rein auf irisches Recht verlassen kann - aber involviert in den Gesetzestexten war er bzw NOYB leider nicht AFAIK. Vor allem gab es extra wegen Max Schrems in AT etwa Ausnahmen wer klagen darf (damit Max Schrems bzw NOYB in AT nicht vor Gericht können weil da viele Unternehmen mit wirklich schrägen Ansichten bzw Datenschutz einen Heiden Angst hätten).