LinkedIn nutzte 18 Millionen Mailadressen von Nicht-Usern für Targeting auf Facebook

Bereits über 560 Millionen Nutzer kann das soziale Jobnetzwerk LinkedIn zählen. Trotzdem möchte man weiter wachsen und neue User gewinnen. Dabei wurde das Portal jetzt jedoch dabei erwischt, wie entgegen der Regularien der DSGVO mit den Adressdaten von Nicht-Nutzern Targeting auf Facebook betrieben wurde. LinkedIn gibt sich kooperativ; doch die Taktik mag schon ihre Wirkung getan haben.

18 Millionen Mailadressen fürs Targeting

Das Prinzip ist denkbar einfach: LinkedIn hat millionenfach Mailadressen an der Hand, die Personen gehören, welche nicht bei dem Portal registriert sind. Deshalb werden diese personenbezogenen Daten genutzt, um über Facebook gezielt Ads für diese Personen auszuspielen, die ihnen eine Registrierung bei LinkedIn anbieten. Doch genau diese Praktik hat konkret Richtlinien aus der dieses Jahr inkraftgetretenen DSGVO verletzt.

Wie TechCrunch mit Bezug auf einen Bericht des Data Protection Commissioner Irlands schreibt, war schon 2017 eine Beschwerde eingegangen, nach der die Praktik LinkedIns untersucht werden sollte. Genau das tat die Data Protection Commission auch und kam zu dem Schluss, dass die Maßnahme ohne das Wissen des Data Controllers, also LinkedIn Irland, zustande gekommen war. Diese wäre aber notwendig gewesen.

Viele Unternehmen hatten im Zuge der DSGVO Zentren für die Datenverarbeitung in die USA verlegt, um bestimmte Regularien zumindest zum Teil umgehen zu können. Schließlich untersuchte man LinkedIns Vorgehen eingehender und erklärte:

As a result of the findings of our audit, LinkedIn Corp was instructed by LinkedIn Ireland, as data controller of EU user data, to cease pre-compute processing and to delete all personal data associated with such processing prior to 25 May 2018.

Denis Kelleher, Head of Privacy EMEA, bei LinkedIn gab daraufhin an, dass man völlig kooperativ sei:

Unfortunately the strong processes and procedures we have in place were not followed and for that we are sorry. We’ve taken appropriate action, and have improved the way we work to ensure that this will not happen again. During the audit, we also identified one further area where we could improve data privacy for non-members and we have voluntarily changed our practices as a result.

Die Verarbeitung der Daten vonseiten LinkedIns verstößt seit Einführung der DSGVO wohl aufgrund der Intransparenz mindestens gegen § 5 der Verordnung.

LinkedIn geht clever mit der Untersuchung um 

Damit keine Geldstrafe oder weiteres Aufhebens um die Targeting-Praktik folgt, hatte das Unternehmen dank unmittelbarer Einstellung der Datenverarbeitung in diesem Kontext eine gütliche Einigung mit der DPC in Irland erzielt. Allerdings, das erkennt auch TechCrunchs Ingrid Lunden, gehört LinkedIn wiederum zu den Unternehmen, die im Nachhinein eine Entschuldigung für ihr Vorgehen vorlegen; aber es schon zuvor hätten besser wissen können. Eine Strafe konnte abgewendet werden, da die Beschwerde sich noch auf eine Zeit vor der DSGVO bezog; heute könnte eine solche Praktik schwerwiegendere Folgen haben.

Letztlich ist noch ein zentraler Punkt ein wenig unheimlich: denn wo genau LinkedIn die sage und schreibe 18 Millionen Mailadressen überhaupt aufgetrieben hat, die ja nicht von den eigenen Nutzern stammen, bleibt weiterhin unklar. Nun hat sich das Unternehmen dazu nicht geäußert und sein Targeting eingestellt. Doch womöglich konnten auf diesem Wege bereits zahlreiche Nutzer gewonnen und die Awareness überhaupt gesteigert werden. Da ist eine Entschuldigung ein guter Preis für die schlussendlich fragwürdige Verarbeitung so vieler personenbezogener Nutzerdaten.