Auskunftsrecht von erhobenen Daten

[tsl]

Hallo !

Ich habe mal eine Frage zum Auskunftsrecht von Daten. Die Person Mustermann will sich z.B. in einem Forum registrieren. Bei der Registrierung wird nun eine E-Mail angegeben und eine PLZ.

Es kommt nun z.B. zum folgenden Vorfall :

August 2010 wird ein Account dort registriert und einen Tag später ein zweiter. Accounts werden so nicht genutzt und die User + PWS geraten in Vergessenheit.

Man hat sich anschließend einen neuen PC gekauft. Ein neues Betriebssystem installiert und eine neue Festplatte. Es dürften somit keine Daten mehr auf dem Rechner sein.

Mehr als 1 Jahr später registriert man sich wieder bei dem Forum und bekommt vom Betreiber eine E-Mail mit dem Hinweis, dass man dort schon drei Accounts hätte. Es werden die "Nicknames" aufgelistet und das Datum, wann man sich registriert hat.

Somit sind die Daten über 1 Jahr dort gespeichert und diese können anscheinend irgendwie in Zusammenhang gebracht werden.

Man möchte nun wissen wie und fragt nach. Als Aussage bekommt man, dass man nur die vom User angegeben Daten gespeichert hat. Was in diesem Fall jedoch nicht stimmen kann. Es müssen zahlreiche weitere Daten heimlich gespeichert werden, welche dann analyisiert werden.

Welche Möglichkeiten hat man bei diesem Beispiel an eine Aussage zu kommen, was genau gespeichert wurde ? Ist ein solches Verhalten überhaupt korrekt ? Sollte man so etwas melden und wo ?

[motzmecker]

Zitat von tsl

Es müssen zahlreiche weitere Daten heimlich gespeichert werden, welche dann analyisiert werden.

Welche? (Konto-/Kreditkartennummer, Geburtstag der Schwiegermutter, letzter Bordellbesuch, Punktestand in Flensburg, ...)

Woher soll der Forenbetreiber die denn haben? Die Accounts wurden doch nie genutzt?

[tsl]

Welche ? Dies wäre die interessante Frage, wenn man Daten in Zusammenhang bringen kann, die heute und vor einem Jahr erstellt werden kann und dann weiß, dass es der gleiche User ist ..

[TomRohwer]

Zitat von tsl

August 2010 wird ein Account dort registriert und einen Tag später ein zweiter. Accounts werden so nicht genutzt und die User + PWS geraten in Vergessenheit.

Deshalb bestehen die Benutzer-Accounts aber trotzdem weiter, solange sie der Betreiber nicht z.B. wegen Inaktivität löscht.

Man hat sich anschließend einen neuen PC gekauft. Ein neues Betriebssystem installiert und eine neue Festplatte. Es dürften somit keine Daten mehr auf dem Rechner sein.

Was hat das mit den Accounts zu tun? Die sind doch beim Betreiber des Forums gespeichert, nicht auf dem PC des Benutzers.

Mehr als 1 Jahr später registriert man sich wieder bei dem Forum und bekommt vom Betreiber eine E-Mail mit dem Hinweis, dass man dort schon drei Accounts hätte. Es werden die "Nicknames" aufgelistet und das Datum, wann man sich registriert hat.

Ist ja auch richtig. Der Betreffende hatte sich ja bereits zweimal registriert, nun kommt ein dritter Account dazu.

Somit sind die Daten über 1 Jahr dort gespeichert und diese können anscheinend irgendwie in Zusammenhang gebracht werden.

Daß die Daten der Accounts dort über 1 Jahr gespeichert sind, ist logisch - der Betreffende ist dort registrierter User und hat seine Accounts nicht gelöscht. Also sind sie dort zwangsläufig registriert.

Wie man die beiden bestehenden Accounts und den Dritten in einen Zusammenhang bringen kann?

Da gibt es verschiedene Möglichkeiten. Sehr einfach ist es, wenn der Benutzer immer die selbe IP-Adresse hat und die IP-Adresse bei der Registrierung gespeichert wird, was durchaus üblich und auch zulässig ist.

Ist aber eher unwahrscheinlich, nur die wenigsten Privatleute haben eine feste IP-Adresse, üblicherweise vergeben die Zugangsprovider spätestens alle 24 Stunden eine neue.

Zweite Möglichkeit: der Betreiber hat auf dem Rechner des Benutzers Cookies abgelegt, und der Benutzer hat diese bei der Neuinstallation des Rechners importiert, indem er z.B. ein Firefox-Profil gesichert und auf dem neuen Rechner importiert hat (wegen Lesezeichen usw. usf.). Dann waren die Cookies noch nicht abgelaufen und also noch vorhanden.

Dritte Möglichkeit: der Benutzer macht bei der Anmeldung bestimmte Angaben, die es dem Betreiber möglich machen, einen Account bzw. eine Anmeldung zu identifizieren.

Wenn die Sache sich tatsächlich genau so verhält wie geschildert, dann klingt sie für mich rein technisch dubios. Ich kann mir das so rein technisch eigentlich nicht erklären, denn alle drei oben beschriebenen Möglichkeiten passen nicht auf die Fallbeschreibung.

Andere technische Möglichkeiten gibt es aber nicht für den Betreiber, personenbezogene Daten zu erhalten und zu speichern, wenn der Benutzer sie ihm nicht willentlich gibt.

Ich weiß aber, daß sehr, sehr, sehr viele Internet-User mit eher beschränkten IT-Kenntnissen bei Anmeldungen usw. viel mehr Informationen preisgeben als sie selbst bewußt mitbekommen und später erinnern. Und ich weiß ebenso, daß viele Computer-Nutzer mit geringen IT-Kenntnissen oft gar nicht nachvollziehen können, was auf ihrem Rechner alles abläuft und was sie technisch mit welchem Vorgang bewirken.

Man möchte nun wissen wie und fragt nach. Als Aussage bekommt man, dass man nur die vom User angegeben Daten gespeichert hat. Was in diesem Fall jedoch nicht stimmen kann. Es müssen zahlreiche weitere Daten heimlich gespeichert werden, welche dann analyisiert werden.

Was auch wiederum nicht plausibel ist.

Der ganze Fall ist zunächst mal, auf den ersten und zweiten Blick, nicht plausibel. Technisch gesehen.

Deshalb müsste man wirklich mal ganz genau analysieren, wie die Anmeldungen zu den Accounts laufen, wie die Neuinstallation des Benutzer-Rechners abgelaufen ist, wie der Betreiber die Accounts "zusammengeführt" hat bzw. als zusammengehörig erkannt hat, usw. usf.

Welche Möglichkeiten hat man bei diesem Beispiel an eine Aussage zu kommen, was genau gespeichert wurde ?

Man kann vom Betreiber Auskunft verlangen, wann der welche Daten gespeichert hat. Diese Auskunft scheint er ja gegeben zu haben. Das kleine Problem ist: es ist ein gewisses Maß an IT-Kenntnissen erforderlich, um die ganze Sache wirklich technisch nachvollziehen zu können.

Ich war ein paar Jahre für die IT in einem Verlag zuständig, und dabei habe ich gelernt, daß User kommen und klagen "Ich kann nicht speichern!", während sie in Wirklichkeit meinen "Ich kann nicht drucken! Der Drucker blinkt rot!"

"Fehlermeldungen" von Usern kann man oft nicht so nehmen wie sie gemacht werden, man muß sich den Fehler selber genau angucken und stellt dann oft fest, daß die User sich unklar ausdrücken, Dinge verwechseln usw. usf.

Ist ein solches Verhalten überhaupt korrekt ?

Kann man nicht beantworten, weil überhaupt nicht klar ist, wer sich wie verhalten hat und was wirklich wo gemacht wurde.

Sollte man so etwas melden und wo ?

Man kann sich an seinen Landesdatenschutzbeauftragten wenden. Das hat den Vorteil, daß dort auch IT-Experten sitzen, die in der Lage sind, mit dem Beschwerdeführer wirklich mal Schritt für Schritt nachzuvollziehen: Was wurde gemacht? Wie? Wann? Wo? Und die dann daraus Schlussfolgerungen ziehen können.

Korrektur bzw. Nachtrag:

Wenn der Benutzer jedes Mal dieselbe E-Mail-Adresse verwendet hat bei seinen Anmeldungen, dann ist es natürlich ganz einfach für den Betreiber, die Accounts in Zusammenhang zu bringen. Das geht dann über die E-Mail-Adresse... Die E-Mail-Adresse ist ja Teil des Account-Profils, das der Betreiber bei sich gespeichert hat.

Dann checkt die Datenbank bei der Anmeldung einfach "Gibt's diese E-Mail-Adresse schon?", und falls ja, dann verarbeitet sie diese Information automatisch so, wie der Betreiber das für sein Forum festgelegt hat. Manche Foren verweigern die doppelte Nutzung einer E-Mail-Adresse, andere wollen nicht mehrere Accounts eines User, usf. usw. Hier war vielleicht die dritte Anmeldung mit derselben E-Mail-Adresse dem System zuviel.

[zeiten]

das wird anhand der ip-adresse aufgefallen sein. klar, wechseln die ips, sie wechseln aber allgemein nun in einem bestimmten nummernkreis hin und her. ich hab hier zb. immer ne auswahl von 6 verschiedenen ips, davon ist allerdings eine bestimmte, die zu 90% auftaucht. daher ist sehr gut möglich über die ip den zusammenhang herzustellen.

das speichern der ip wird allgemein mit bestätigung der agb erlaubt. (selbst wenn es nicht erlaubt würde, ist es nicht unbedingt verboten zu speichen. es ist umstritten, ob ips zu den personenbezogenen daten gehören.)

[TomRohwer]

Zitat von zeiten

das wird anhand der ip-adresse aufgefallen sein. klar, wechseln die ips, sie wechseln aber allgemein nun in einem bestimmten nummernkreis hin und her. ich hab hier zb. immer ne auswahl von 6 verschiedenen ips, davon ist allerdings eine bestimmte, die zu 90% auftaucht. daher ist sehr gut möglich über die ip den zusammenhang herzustellen.

Das ist extrem unwahrscheinlich, größere Provider jedenfalls wechseln die Benutzer-IPs in einem großen Adressraum mit hunderttausenden oder sogar Millionen von IP-Adressen. Selbst wenn aber, kann man aus einer Handvoll IP-Adressen, die innerhalb von einem Jahr verwendet werden, nicht wirklich eine Übereinstimmung ableiten.

Ich tippe daher schlicht auf die jeweils identische E-Mail-Adresse, die zur Anmeldung verwendet wurde. Das ist viel naheliegender.