Disqus mit einer Geldbuße von 2,5 Millionen Euro wegen Verstoßes gegen DSGVO-Einwilligungsregeln belegt

Das beliebte Web-Kommentarsystem Disqus, ein US-Unternehmen im Besitz von Zeta Global, geriet zuletzt wegen Regelverstößen und Nichteinhaltung der DSGVO (Datenschutz-Grundverordnung) ins Visier der norwegischen Datenschutzbehörde – wegen der Nutzung von Web-Tracking-IDs für Website-Besucher ohne Nutzereinwilligung.

Disqus mit einer Geldbuße von 2,5 Millionen Euro wegen DSGVO-Verstoß und Web-Tracking belegt

Am 2. Mai 2021 informierte die norwegische Datenschutzbehörde (Datatilsynet) Disqus über ihre Absicht, eine Geldbuße von rund 2,5 Millionen Euro wegen Nichteinhaltung der DSGVO zu verhängen. Diese Geldbuße betraf Anforderungen an Rechenschaftspflicht, Rechtmäßigkeit und Transparenz im Rahmen der DSGVO.

Disqus ist ein Kommentarsystem, mit dem Website-Betreiber einen vollständig verwalteten Kommentarbereich auf ihrer Website einbinden können, zum Beispiel unter einem Artikel oder unter einer Dokumentation. Es handelt sich um eine öffentliche Plattform zum Teilen von Kommentaren für Online-Publisher mit Moderationswerkzeugen. Disqus stellt das Kommentarsystem bereit, das auf installierten Websites geladen wird, und wurde dafür mit einer Geldbuße belegt, dass es Besucher ohne ordnungsgemäße Einwilligung durch die Verwendung von Cookies und Tracking-IDs verfolgte.

Da das Disqus-Kommentarsystem über ein Plugin installiert wird, ist die Einrichtung einfach, und Disqus erhob Tracking-Cookies und personenbezogene Daten und gab diese domainübergreifend an Drittanbieter-Werbepartner weiter, ohne die von der DSGVO strikt geforderte ordnungsgemäße Einwilligung der Nutzer.

Die erhobenen Daten gingen auch an das Mutterunternehmen Zeta Group; für eine solche Datenübertragung müssen Nutzer ihre Zustimmung erteilen. Die erhobenen personenbezogenen Daten reichten von IP-Adressen der Nutzer über Browserdaten bis hin zu Cookie-IDs. Das Unternehmen wurde zunächst von der Norwegischen Rundfunkgesellschaft auf Fehlverhalten hingewiesen, die Nachrichtenartikel über die Aktivitäten von Disqus veröffentlichte. Die erhobenen Daten sind an sich nicht illegal, doch müssen zunächst die ausdrückliche Erlaubnis des Nutzers eingeholt werden.

Im Rahmen der von der norwegischen Datenschutzbehörde geleiteten Untersuchung kam diese zu dem Schluss, dass das US-Unternehmen Disqus personenbezogene Nutzerdaten über Web-Tracking-Tools verarbeitet, die erhobenen Daten analysiert und profiliert und Nutzerdaten ohne jegliche Nutzereinwilligung an Drittanbieter-Werbepartner weitergegeben hatte. All dies fällt unter die DSGVO, und es gab keine rechtliche Grundlage für die Art und Weise, wie mit Nutzerdaten umgegangen wurde. Zudem wurde festgestellt, dass Disqus Nutzer nicht über seine Datenverarbeitung informierte, was nach der DSGVO vorgeschrieben ist.

Nach Kontaktaufnahme mit dem Mutterunternehmen von Disqus bestätigte dieses, dass die DSGVO-konforme Version des Kommentarsystems in Norwegen nicht verwendet wurde, weil Zeta Global Norwegen nicht als der DSGVO unterliegend betrachtete, da es kein EU-Mitgliedstaat ist – man ging also davon aus, dass die Gesetze nicht gelten würden. Dies zeigt die aktuelle Verwirrung darüber, wie weit die DSGVO tatsächlich reicht, und wie ahnungslos ein Unternehmen sein kann, bevor es eine Geldbuße von rund 2,5 Millionen Euro erhält.

Nach der DSGVO ist ein Unternehmen dafür verantwortlich sicherzustellen, dass es Daten unter Beachtung der Privatsphäre der Nutzer und der Datenschutzvorschriften erhebt. Selbst wenn es keine physische Präsenz in Europa hat, müssen Daten, die aus DSGVO-Jurisdiktionen stammen, den Anforderungen und dem Recht der DSGVO entsprechen.

Disqus erklärte, dass es „keine Geschäftstätigkeit in Norwegen" habe und sich nicht bewusst gewesen sei, Daten norwegischer Personen erhoben zu haben. Die norwegische Datenschutzbehörde stellte jedoch fest, dass Disqus die Kriterien des DSGVO-Rechts erfüllte, da Disqus das Kommentarsystem über eine norwegische länderspezifische Top-Level-Domain bereitstellte und Cookies auslieferte, die genutzt werden konnten, um Nutzer ohne Erlaubnis domainübergreifend zu verfolgen. Disqus argumentierte, dass Cookie-IDs keine personenbezogenen Daten seien, doch nach der DSGVO gelten sie als solche, da Cookie-IDs genutzt werden können, um Personen über Websites und Domains hinweg zu verfolgen und jede ihrer Bewegungen oder Aktionen auf einer Website nachzuvollziehen – daher gelten sie für den betreffenden Nutzer als personenbezogene Daten. Die DSGVO bestätigt ausdrücklich, dass Online-Kennungen personenbezogene Daten darstellen.

Disqus gab an, sich des Missbrauchs von Nutzerdaten nicht bewusst gewesen zu sein, doch als Unternehmen, das die genannten Daten verarbeitet, ist es dafür verantwortlich, sicherzustellen, dass die Verarbeitung im Einklang mit den geltenden Datenschutzgesetzen wie der DSGVO erfolgt. Die Aufsichtsbehörde kam zu dem Schluss, dass Disqus schuldig war und die Rechtmäßigkeit seines Handelns nicht nachweisen konnte; das Unternehmen hatte es versäumt, zu handeln und Verantwortung für die Einhaltung und den Nachweis der DSGVO-Konformität zu übernehmen, wodurch Disqus gegen den Grundsatz der Rechenschaftspflicht verstieß und die Privatsphäre Tausender Nutzer verletzte.

Da Disqus den Nutzern zudem keine Datenverarbeitungserklärung vorlegte, hatten die meisten betroffenen Nutzer keine Ahnung, dass sie verfolgt und profiliert wurden. Die Nutzer waren daher nicht in der Lage zu beurteilen, ob sie einer Verfolgung und Profilerstellung durch Disqus zustimmen wollten.

Bezüglich weiterer rechtlicher Schritte der norwegischen Datenschutzbehörde wurde bestätigt, dass Disqus die Nutzer zumindest über die Art der Datenverarbeitung hätte informieren müssen. Es wurde festgestellt, dass Disqus über keine rechtliche Grundlage dafür verfügte, wie es Daten über sein Kommentarsystem hinweg erhob und verfolgte.

Die DSGVO-Aufsichtsbehörde stellte fest, dass aufgrund des Handelns von Disqus ein Großteil der erhobenen Daten wahrscheinlich die Rechte Tausender Nutzer in Bezug auf Meinungsfreiheit und Informationsfreiheit beeinträchtigt hat. Und da die erhobenen Daten ohne gültige Einwilligung erhoben wurden, gilt dies als systematischer Verstoß. Datatilsynet bestätigte zudem, dass Disqus die betreffenden Daten aus seinen Systemen gelöscht hat, doch der Schaden war bereits entstanden, da die Daten bereits in die verwendeten Überwachungs- und Analysetools eingeflossen und Teil des Ökosystems der verhaltensbasierten Online-Werbung geworden waren.

Die Aufsichtsbehörde stufte die erhobenen Daten als in hohem Maße privat und sensibel ein, da die Verarbeitung des Online-Leseverhaltens durch Tracking und Analyse im Zeitverlauf viel über die betroffene Person offenbaren könnte, etwa politische Ansichten. Man sieht daran, wie leicht die Kontrolle über die Nutzereinwilligung verloren gehen und der Privatsphäre Schaden zugefügt werden kann. Es ist wichtig, alle von Unternehmen erhobenen Daten zu berücksichtigen und zu prüfen, ob dabei Gesetze oder Vorschriften verletzt werden.

Disqus hatte bis zum 31. Mai 2021 Zeit zu antworten, bevor eine endgültige Entscheidung über weitere rechtliche Schritte getroffen wird; die norwegische Datenschutzbehörde wird ihre Entscheidung nach Prüfung einer etwaigen Antwort von Disqus bestätigen.

Was sollten Publisher tun, die Disqus installiert haben?

Publisher, die das Kommentarsystem Disqus bereits installiert haben, können die Einwilligung der Nutzer mit einem Consent Manager wie dem UniConsent CMP verwalten, um die DSGVO einzuhalten. Laden Sie das Disqus-Tag und senden Sie Daten an Disqus erst, nachdem ein Nutzer seine Einwilligung erteilt hat.

Über UniConsent

UniConsent ist Teil der User Experience Platform von Transfon, die täglich zig Millionen Nutzer bedient, um sowohl Nutzern als auch Publishern im Zeitalter nach der DSGVO ein nahtloses Datenschutzerlebnis zu bieten. Kontaktieren Sie uns für weitere Informationen: hello@uniconsent.com