Ab 2013 bat Twitter die Nutzer, eine Telefonnummer oder E-Mail-Adresse anzugeben, um die Kontosicherheit zu verbessern – zum Zurücksetzen von Passwörtern, zum Entsperren markierter Konten und zur Aktivierung der Zwei-Faktor-Authentifizierung. Das Unternehmen teilte den Nutzern mit, diese Informationen würden dazu dienen, ihre Konten abzusichern, und zu nichts weiterem.
Von 2014 bis 2019 gaben mehr als 140 Millionen Nutzer ihre Daten heraus. Twitter erwähnte jedoch nicht, dass es die Nummern und E-Mail-Adressen auch für gezielte Werbung nutzen würde, indem es Werbetreibenden ermöglichte, die Daten mit ihren eigenen Listen oder Informationen von Datenhändlern abzugleichen, um bestimmten Personen gezielte Anzeigen auszuspielen.
Am 25. Mai 2022 kündigten die FTC und das Justizministerium eine vorgeschlagene Anordnung an, die Twitter zur Zahlung einer zivilrechtlichen Geldbuße von 150 Millionen US-Dollar verpflichtet. Die FTC behauptete, die Praxis sei irreführend gewesen und habe gegen den FTC Act, die EU-US- und die Swiss-US-Privacy-Shield-Abkommen sowie eine FTC-Anordnung von 2011 verstoßen, die Twitter separat untersagte, seine Datenschutz- und Sicherheitspraktiken falsch darzustellen.
Über die Geldbuße hinaus untersagte die Anordnung Twitter, aus den irreführend erhobenen Daten Gewinn zu ziehen, verpflichtete das Unternehmen, die betroffenen Nutzer darüber zu informieren, dass ihre Sicherheitsdaten auch zur Ausrichtung von Werbung verwendet worden waren, und zwang es, andere Optionen für die Mehrfaktor-Authentifizierung anzubieten, die nicht von einer Telefonnummer abhängen.
Twitter verwendete Sicherheits-Telefonnummern für die Ausrichtung von Werbung wieder und erhielt dafür eine FTC-Strafe von 150 Mio. USD sowie ein Verbot, Sicherheitsdaten für Werbung zu verkaufen.
Twitter behandelte für Sicherheitszwecke erhobene Daten als kostenlosen Werbe-Input und ging davon aus, dass die Nutzer die Wiederverwendung nicht bemerken würden.
Es ignorierte eine bestehende Anordnung von 2011, die bereits untersagte, die Handhabung von Kundeninformationen falsch darzustellen.
Für einen Zweck erhobene Daten sind nicht ohne Weiteres für einen anderen frei verfügbar – ein gebrochenes Sicherheitsversprechen verwandelt Einwilligung in eine Geldbuße und eine gerichtliche Anordnung.
Die Geldbuße von 150 Millionen US-Dollar gehörte zu diesem Zeitpunkt zu den höchsten, die die FTC je erwirkt hatte, und sie machte auf das Risiko aufmerksam, Sicherheitsdaten für Werbung wiederzuverwenden. Die Anordnung zwang Twitter, über 140 Millionen Nutzer darüber zu informieren, dass ihre Telefonnummern und E-Mail-Adressen zur Ausrichtung von Werbung verwendet worden waren, und Authentifizierungsmethoden zu unterstützen, die keine Telefonnummer erfordern. Für die Branche bekräftigte der Fall, dass ein Versprechen darüber, wie Daten verwendet werden, eine bindende Verpflichtung ist – insbesondere wenn bereits eine frühere Einwilligungsanordnung vorliegt.
DEN BELEGEN FOLGEN