Das ULD warnt vor datenschutzrechtlichem Niemandsland des Online-Händlers Alibaba

Das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein (ULD) weist darauf hin, dass es trotz absoluter Intransparenz und offensichtlicher Verstöße gegen deutsches und europäisches Datenschutzrecht durch den neuesten börsennotierten und weltweit größten Online-Händler Alibaba derzeit keine Möglichkeiten sieht, die Verbraucherinnen und Verbraucher von Schleswig-Holstein hiergegen zu schützen. Diese Einschätzung ergibt sich aus dem Urteil des Oberverwaltungsgerichts Schleswig-Holstein vom 04.09.2014, das kommerzielle Nutzer von derartigen Online-Plattformen von datenschutzrechtlicher Verantwortung freistellt.

Hintergrund:

Am 19.09.2014 ging die chinesische Online-Handelsplattform Alibaba an die Börse von New York, was mit einem Emissionserlös von 21,8 Mrd. Dollar der größte Börsengang aller Zeiten ist. Derzeit spricht alles dafür, dass Alibaba in vieler Hinsicht gegen deutsches Datenschutzrecht verstößt:

Über das Datenschutzverständnis von Alibaba, das sich über german.alibaba.com sowie speziell für Endkunden über de.aliexpress.com an deutsche Nutzende wendet, informieren zwei eng beschriebene Seiten „Privacy Policies“. Die Information ausschließlich auf Englisch verstößt gegen deutsches Verbraucherrecht. Übersetzt teilt Alibaba zunächst Folgendes mit: „Deine Privatheit ist uns wichtig und wir haben Schritte ergriffen, um sicherzustellen, dass wir nicht mehr Daten von Dir erheben als erforderlich ist, um unsere Dienste zu erbringen und Dein Konto zu schützen.“ Das klingt zwar gut. Doch „erforderlich“ für Alibaba sind beispielsweise die nutzerbezogenen Verhaltensmuster beim Browsen und Einkaufen, die erfasst und aufbewahrt werden. Über die Zeitspanne der Speicherung erfährt man nichts; ein Löschen dieser Daten scheint nicht vorgesehen zu sein. Uferlos sind die „statistischen Analysen“, um „unsere Produktangebote und Dienste zu verbessern sowie für Marketing- und Werbezwecke“. Es gehe zudem darum, die Einwilligung zu bekommen, um Identitätsdaten (Name, Adresse, Telefon- und Faxnummer, E-Mail-Adresse) als „Marketingdaten“ zur Bereitstellung von Hinweisen, Umfragen, Produktbenachrichtigungen, Kommunikationen und andere Marketinginformationen“ zu nutzen. Statistische Informationen können, so Alibaba, an Dritte herausgegeben werden, aber nicht personenidentifiziert „ohne Deine Erlaubnis“. Und zu Cookies: „Wir nutzen Cookies, um spezifische Informationen über Dich zu speichern und Deine Webseitenbesuche zu verfolgen. Es ist für Webseiten nicht unüblich, Cookies zu nutzen, um die Identifikation ihrer Nutzenden zu verbessern.“

Nutzende außerhalb von China, Hongkong und Macau – also auch aus Deutschland – schließen gemäß den Alibaba-Angaben einen Vertrag mit „Alibaba.com Singapore E-Commerce Private Limited“ ab. Die Adresse dieses Unternehmens ist auf der Webseite nicht zu finden. Wohl aufgeführt sind neben 9 anderen asiatischen Adressen ein „U.S. Office“ und ein „U.K. Office: 6/F, Meridien House, 42-43 Upper Berkeley Street, London, W1H 5QL, United Kingdom“.

Thilo Weichert, Leiter des ULD: „Abgesehen von Problemen mit der deutschen Rechtschreibung, die mit der Zeit behoben werden dürften, ist offensichtlich, dass Alibaba auf den deutschen Markt drängt und sich als Portal für deutsche Verkäufer und Käufer anbietet. Mindestens ebenso offensichtlich ist, dass die Datenverarbeitung in vieler Hinsicht gegen deutsches und europäisches Datenschutzrecht verstößt. Es gibt eine frohe Botschaft für die deutsche Wirtschaft und eine schlechte für Verbraucher: Deutsche Unternehmen dürfen sich nach der Rechtsprechung des OVG Schleswig-Holstein des Portals Alibaba – ebenso wie auch bei Facebook und Google – bedienen, um hierüber Handel zu treiben, ohne das Datenschutzniveau des Portals zu hinterfragen. Gemäß dieser Rechtsprechung hat das ULD keine datenschutzrechtliche Handhabe gegen deutsche Anbieter, die ein derartiges Portal nutzen und damit eine unzulässige Verarbeitung der Daten deutscher Nutzerinnen und Nutzer auslösen. Gegenüber Alibaba selbst bestehen faktisch keine Möglichkeiten zur Durchsetzung des Datenschutzes.“