Fake-Profile: Das Problem der Identifizierung beim Recht auf Löschung

Fachbeitrag

Ein Phänomen, das soziale Netzwerke mit sich gebracht haben, ist das für den Betroffenen oftmals mehr als unangenehme Auftauchen von Fake-Profilen in sozialen Netzwerken. Bilder und andere personenbezogene Daten, meist Namen oder E-Mail-Adressen von Betroffenen, werden hierbei von Dritten bei der Erstellung eines Profils missbräuchlich verwendet. Dieser Beitrag beleuchtet zunächst die Problematik der zweifelsfreien Identifizierung im Rahmen von Betroffenenrechten.

Die Ausgangslage

Über den Kontrollverlust über unsere personenbezogenen Daten im Internet haben wir bereits berichtet. Auch wenn Tim Berners-Lee, der „Erfinder des World Wide Web“, dieses Thema sehr wahrscheinlich nicht direkt im Sinn hatte, zeigt es doch sehr plakativ wie machtlos man dem Missbrauch der eigenen Daten teilweise ausgeliefert ist.

Wurde ein Fake-Profil unter Nutzung eines Bildes und Namens eines Betroffenen in einem sozialen Netzwerk erstellt, hat der Betroffene natürlich ein großes Interesse daran zu erfahren, welche personenbezogenen Daten in welchem Umfang von ihm verarbeitet werden und wahrscheinlich noch ein größeres Interesse daran, dass diese Verarbeitung so schnell wie möglich beendet wird und seine Daten aus dem sozialen Netzwerk wieder verschwinden.

Möglich machen dies die durch die DSGVO normierten Rechte auf Auskunft gem. Art. 15 DSGVO und Löschung (Recht auf Vergessenwerden) gem. Art. 17 DSGVO.

Identifizierung der betroffenen Person (Art. 12 Abs. 6 DSGVO)

Vor der Erteilung der Auskunft und der Umsetzung des Rechtes auf Vergessenwerden müssen die Unternehmen allerdings sicherstellen, dass der Auskunftsersuchende auch der Betroffene ist. Eine zweifelsfreie Authentifizierung ist bei den technischen Möglichkeiten die unsere digitale Welt bietet dabei teilweise nur schwer möglich. Der Verantwortliche darf bzw. muss nach Art. 12 Abs. 6 DSGVO, bei begründeten Zweifeln an der Identität des Antragstellers, von diesem geeignete Informationen zur Identifizierung verlangen.

Art. 12 Abs. 6 DSGVO soll aber keine routinemäßige Identitätsprüfung ermöglichen. Es darf also nicht generell von allen Personen, die schriftlich oder per E-Mail einen Auskunftsantrag stellen, die Vorlage eines Identitätsnachweises verlangt werden. Ein solches Verlangen wäre aber zulässig, wenn der Verantwortliche die Postanschrift oder E-Mail-Adresse der betroffenen Person bisher nicht kannte. Dies wird bei Fake-Profilen regelmäßig der Fall sein. Die Forderung eines Identitätsnachweises erscheint insofern nicht unangemessen.

Sonderfall: Fake-Profil einer Minderjährigen

Was aber, wenn es sich bei der betroffenen Person um eine Minderjährige handelt, die selber keinen Account bei dem sozialen Netzwerk hat. In einem solchen Fall wird regelmäßig ein Erziehungsberechtigter die Betroffenenrechte für die Minderjährige geltend machen.

Den Auskunftsanspruch als höchstpersönliches Recht hat zunächst der Betroffene. Allerdings kann die Geltendmachung des Anspruchs durch einen gesetzlichen Vertreter, z.B. durch einen Erziehungsberechtigten (§ 1629 BGB) erfolgen.

Im Falle der Verwendung eines Fotos einer Minderjährigen in einem Fake-Profil, braucht es neben einer eindeutigen Authentifizierung der Betroffenen noch die Authentifizierung des Erziehungsberechtigten der den Antrag für die Betroffenen stellt. Die konkrete Umsetzung wird soziale Netzwerke hier regelmäßig vor große Schwierigkeiten stellen. Theoretisch kann eine zweifelsfreie Authentifizierung in einem solchen Fall nur anhand von Ausweisdokumenten der Betroffenen und des Erziehungsberechtigten und einer Geburtsurkunde der Betroffenen gelingen. Nicht erforderliche persönliche Daten auf den Ausweisdokumenten (wie Augenfarbe, Größe, ID-Nummer, Unterschrift) sollten natürlich immer geschwärzt werden.

Fraglich ist dann allerdings, ob diese Anforderungen nicht bereits eine zu große Hürde bei der Ermöglichung der Ausübung der Betroffenenrechte darstellen. Und selbst wenn ein Unternehmen diese Dokumente anfordert ist noch nicht sicher, ob eine Identifizierung der auf dem Foto abgebildeten Person mit einem eventuell alten Kinderfoto in einem Ausweisdokument einer Minderjährigen gelingt.

Umsetzungsschwierigkeiten in Einzelfällen

Das Vorhandensein von Fake-Profilen, die Bilder oder personenbezogene Daten von Betroffenen missbräuchlich verwenden, stellen nicht nur eine psychische Belastung für die betroffenen Personen dar, sie bereiten den Betroffenen und verantwortlichen Unternehmen teilweise auch große Schwierigkeiten bei der datenschutzkonformen Umsetzung der Betroffenenrechte.

Sollte dem Verantwortlichen eine zweifelsfreie Identifizierung eines Betroffenen im Einzelfall nachweislich nicht gelingen, kann er sich gem. Art. 11 Abs. 2 DSGVO darauf berufen, dass Art. 15 DSGVO keine Anwendung findet. Unter welchen Umständen Unternehmen eine Auskunft verweigern können, haben wir in diesem Beitrag umfassend behandelt.

intersoft consulting services AG

Als Experten für Datenschutz, IT-Sicherheit und IT-Forensik beraten wir deutschlandweit Unternehmen. Informieren Sie sich hier über unser Leistungsspektrum:

Datenschutz-Grundverordnung (DSGVO)

Hinterlassen Sie einen Kommentar

Die von Ihnen verfassten Kommentare erscheinen nicht sofort, sondern erst nach Prüfung und Freigabe durch unseren Administrator. Bitte beachten Sie auch unsere Nutzungsbedingungen und unsere Datenschutzerklärung.