XING: Wie hält das Unternehmen es mit dem Datenschutz?

Wo lagert XING eigentlich seine Daten? Die bisherige Selbstauskunft dazu lautete: Das Unternehmen lagert seine Daten auf Servern in Deutschland und ist damit an das BDSG und die rechtlichen Regelungen für Deutschland gebunden. Allerdings gibt es Vorwürfe, XING würde Daten auch auf US-Servern speichern.

Der Vorwurf: XING lagere User-Daten auf Servern in den USA. Das Pretioso-Blog hatte auf diese Problematik schon in der Vergangenheit aufmerksam gemacht und ein Verfahren gegen XING eingeleitet. Michael Shah fragte wegen der Berichterstattung und der Vorwürfe des Blogs direkt bei XING nach – in einem Storify fasste er die bisherigen Ergebnisse zusammen. Ebenfalls widmete sich Lars Hahn in seinem Blog Systematisch Kaffeetrinken den Vorwürfen und der Reaktion von XING per Twitter. Diese hielt er – gelinde gesagt – noch für verbesserungswürdig und stellt zwei Fragen:

1. Wie professionell handelt XING in der Social Media-Kommunikation? Ist das vorläufige Schweigen möglicherweise gar ein Beispiel für eine clevere Strategie?
2. Ist ein zuverlässiger Datenschutz gegeben? Wie sicher sind unsere Daten auf XING in Hinblick auf die aktuelle Diskussion um Prism und Tempora?

Ingo Chao von XING antwortete schließlich in einem Kommentar bei Lars Hahn:

Wichtig ist: Wir speichern Mitgliederdaten ausschließlich in Deutschland (Frankfurt). […] Wir sind wie alle Online-Unternehmen gezwungen, auf die Infrastruktur des Internets zurückzugreifen. So ist es für uns alternativlos, mittels eines Content Delivery Networks die Daten sicher, schnell und zuverlässig auszuliefern. Die XING AG hat einen Auftragsdatenverarbeitungsvertrag mit dem Dienstleister Akamai, der den Anforderungen des § 11 BDSG und dem Art. 17 der EG-Datenschutzrichtlinie (95/46/EG) entspricht. […] US-amerikanische Behörden haben keinen automatischen Zugriff auf die Mitglieder-Daten bei XING. Hintergrund ist, dass bei Akamai keine Datenbank mit unseren Mitgliederdaten steht. In den Veröffentlichungen zu Prism wird hervorgehoben, dass amerikanische Firmen Datenbankinhalte auf Anfrage übergeben hätten. Das ist bei uns nicht der Fall. […] Wenn die Kritik so zu verstehen ist, dass Sie das Abhören von verschlüsselten Datenströmen auf dem Transportweg meinen (und nicht den Abruf von Datenbankinhalten): Die Datenströme müssen letztendlich den Kunden erreichen. Die Enthüllungen zu Tempora und ähnlichen Programmen von Behörden anderer Nationen lassen den Schluss zu, dass der Transportweg einer jeglichen Internetverbindung theoretisch abgehört werden kann und dass das in einem gewissen Umfang auch geschieht. Das ist ein jedes Unternehmen, jeden Internetnutzer auf der Welt treffendes Risiko, nicht nur in Deutschland. Dieses Risiko in der Infrastruktur des Internets ändert sich durch die Wahl des Content Delivery Network-Anbieters nicht, und selbst dann nicht, wenn wir kein CDN benutzen würden.

Warum XING so lange gebraucht hat um die Vorwürfe zu kommentieren ist mir unverständlich. Zwar wird im Kommentar auch darauf hingewiesen, man habe mit den Mitgliedern transparent über PRISM und die Folgen gesprochen. Allerdings ist mir das als XING-Kunde nicht gerade irgendwie aufgefallen. Ebenfalls sind diese Diskussionen ja nur den Mitglieder von XING selbst zugänglich, sprich man muss sich schon registrieren und dann anmelden um auf die im Kommentar verlinkte Seite zu kommen.

Stattdessen hätte man die aufgekommenen Vorwürfe bei Twitter sofort aus der Welt räumen können anstatt vor dem Wochenende auf ein „Kontaktformular“ zu verweisen – das war zwar ein Versuch die Debatte von Twitter wegzubringen, aber es hatte den Geschmack des „Wir wollen jetzt endlich unsere Ruhe“. Die Vorwürfe sind XING ja seit einigen Jahren bekannt, auch dass ein Verfahren des Hamburger Datenschutzbeamten anhängig ist – auf das Ergebnis darf man gespannt sein – insofern müsste XING nach einigen Stunden Recherche durchaus auch in der Lage gewesen sein auf die Vorwürfe in einer angemessenen und akzeptablen Weise zu reagieren. Dass dies nicht getan wurde wirft kein gutes Licht auf XING. Um die Frage von Lars Hahn zu beantworten: Professionell war das nicht, eher dilettantisch und nicht gerade imagestärkend für die Firma. Eine besondere Strategie konnte man da auch nicht erkennen, vielmehr ließ sich XING vor sich hertreiben und reagierte erst dann ausführlicher als im Blog von Lars Hahn die Thematik für eine breitere Öffentlichkeit diskutiert wurde. Was beweist: Blogs sind immer noch ungeheuer wichtig. Gut so.