Privacy Icons: Ein Weg zur Vereinfachung?

Vor einigen Tagen stolperte ich via Boingboing über dieses Abschlussprojekt dreier Studenten der Yale University: Privacy Simplified.

Der dort verfolgte Ansatz orientiert sich am Creative Commons Modell: Über wenige (in Zahlen 6) klare Ja/Nein Fragen wird versucht, das komplexe Feld der Datenschutz- und Privatsphäreneinstellungen auf wenige simple Icons zu reduzieren.

Ich halte die grundlegende Idee für gut: Anstatt zu versuchen, das Problem der Nutzeraufklärung mit 20+ Seiten AGBs oder Datenschutzerklärungen zu erschlagen, die von niemandem gelesen werden (können), versucht man, die relevanten Fragen für den Endnutzer greifbar zu machen auf eine Art, die man auch Nicht-IT-experten näherbringen kann: Eine Welt in der Anbieter und Dienste sich mit solchen Logos erklären ist in jedem Falle besser als ungelesen die Akzeptanz ominöser Erklärungen zu bestätigen.

Leider haben die Icons ein paar Probleme, die den sinnvollen Einsatz schwieriger machen.

Zuerst einmal müssen wir uns vielleicht klar machen, dass die Fragen, die ich im Kontext der CC Lizenzauswahl stellen muss, deutlich klarer sind: „Erlaube ich Remixe/Veränderungen“ ist klar binär ja oder nein. Aber ab wann genau darf ein Dienst beispielsweise behaupten, die Daten seiner Nutzer zu verschlüsseln? Wir stehen hier vor einem Standardisierungsproblem welches man natürlich über Zertifizierungen (d.h. ein oder mehrere Gutachter überprüfen, auf welche Art die Nutzerdaten verschlüsselt sind und falls ein definierter Qualitätsstandard erreicht wurde bekommt man das Siegel) lösen kann. Hier illustriert sich allerdings das wirklich signifikante Problem.

Gehen wir davon aus, dass die Icons Verbreitung finden und dass Anbieter sie ehrlich einsetzen. Wir bringen Menschen nun bei, auf die wichtigen Icons zu achten und nur mit Anbietern zu interagieren, die „sauber“ sind.

Nun betreibe ich ein persönliches Blog. Gehen wir die Fragen doch einfach mal durch für mich als tante Normalverbraucher mit eigenem Dienst und gucken, was rauskommt.

Frage 1: Do you alert users of material changes to this privacy policy?

Ich  muss leider sagen: Nein. Ich habe gar keinen Zugriff auf mein Nutzer, weil diese bei mir, wenn sie nicht kommentiert haben, überhaupt keine nutzbare Kontaktmöglichkeit hinterlassen haben (aber Daten wie IPs usw). Außerdem will ich ja meinen Lesern nicht ständig Spam schicken, wenn ich ein Detail meiner Einstellungen verändere. Durchgefallen.

Frage 2: Do you provide users with the ability to access and export their data?

Nein. Bei mir kann man natürlich seinen Kommentar im Web sehen und kopieren, aber einen ernsthaften Export gibt es nicht. Und da ich die Emailadressen meiner Kommentatoren und Kommentatorinnen nicht anzeige, können sie diese Daten über sich auch nicht exportieren. Durchgefallen.

Frage 3: Do you limit your collection and/or use of data to that necessary to provide the intended service?

Streng genommen: Nein. Ich könnte das Blog auch ohne den verwendeten Spamfilter nutzen, der Daten in die Cloud zu WordPress.com schiebt. Ich müsste auch keine Zugriffzahlen speichern um das Blog zu betreiben. Auch meine Forderung nach Namen ist an sich überflüssig. Durchgefallen.

Frage 4: Do you share user data with other organizations for purposes other than the intended transaction or service?

Wie schon bei Frage 3 gesagt: Ich teile Daten mit Akismet/Wordpress um Spam zu filtern. Nun könnte man vielleicht sagen, dass das zur Kommentartransaktion gehört. Aber ich bette Google Webfonts ein und jeder Aufruf dieser hinterläßt Daten bei Google, die ich zwar nicht direkt sende, deren Übermittlung ich aber beim User triggere. Von den WordPress eigegen Statistiken über Suchbegriffe, die auf mein Blog führten, die ich im Admin Panel sehe, ganz zu schweigen. Ehrlich betrachtet bin ich auch hier durchgefallen.

Frage 5: Do you encrypt user data?

Schlicht und ergreifend: Nein. Die Nutzerdaten liegen in einer Datenbank auf meinem Server rum, die nicht extra verschlüsselt ist. Die virtuelle Festplatte, auf der die Datenbank läuft, ist auch ohne Verschlüsselung schon langsam genug. Ich bin wiederum durchgefallen.

Frage 6: Do you require the government to comply, at a minimum, with the legal process provided by the law before getting users‘ data?

Hier wirds komplexer. Erste Frage: Welche Regierung? Die Bundesrepublik? Die USA? Und wessen rechtlicher Ablauf? Der der Bundesrepublik? Der der USA? Bevor ich Nutzerdaten an die Polizei gäbe, würde ich eine richterliche Anordnung abwarten, von daher ja. Aber kann ich das für den Anbieter meines Servers garantieren? Und was ist mit WordPress/Akismet, die ja auch jede Menge Nutzerdaten zumindest kurzfristig hatten (zum Scan)? Die Frage ist sehr schwer zu beantworten, vielleicht könnte ich mir hier ein „Bestanden“ attestieren.

6 Fragen und 5 klare Neins. Und das nicht für einen bösen Dienst der ganz viele Private Daten sammelt sondern ein kleines popliges Blog, das keiner wirklich liest. Was wäre in der oben angenommenen Welt die Folge?

Nutzer würden meinen Blog, meine Kommunikationsplattform meiden: Sie entspricht nicht den als „gut“ erlernten Standards. Sicherlich könnte ich an bestimmten Bereichen tweaken, für irgendwas ist so ein Informatikstudium ja sicher gut gewesen. Aber wer ist dazu noch in der Lage? Kriegt das wirklich jeder und jede Blogbesitzer/in hin?

Eine Etablierung solcher Icons würde (bei angenommener Ehrlichkeit der Anbieter) langfristig zu einer gewissen Eskalation führen bei der am Ende die Menschen und Anbieter mit wenig Knowhow oder Geld auf der Strecke bleiben.

Sicherlich könnte man solche Icons nur von „großen Firmen(TM)“ fordern, doch ab wann ist eine Firma groß genug? Web Startups kommen mit wenigen Mitarbeitern auf riesige Nutzerzahlen, wo will man da die Grenze ziehen? Und sorgt man dafür, dass eine solche Zertifizierung nicht ein gerade wachsendes Projekt überfordert und in den Ruin treibt? Wie will man mit großen nichtkommerziellen Anbietern umgehen?

Die Idee der Privacy Icons an sich ist eine gute: Die Fragen von Datenschutz/Privatsphäre greifbar zu machen und verständlich. Doch decken die hier vorgestellten Icons wirklich die Fragen ab, die den Menschen wichtig sind? Wie viele weitere Fragen müsste es noch geben und sind die Icons dann noch einfach?

Die essentielle Frage hier ist: Ist Privacy/Datenschutz wirklich simpel genug, um es mit Icons und wenigen Fragen gut genug einzugrenzen? Und wenn nicht, wer soll all die Datenschutzerklärungen bitte lesen?

 

Werbung