Single-Sign-On: Datenschutzrechtliche Risiken
Von Martin Schmitt
TL;DR
Bei der Implementierung von Single-Sign-On-Systemen wird empfohlen, die ausdrückliche Zustimmung der Nutzer einzuholen.
Minimierung des Datenschutzrisikos
Single-Sign-On (SSO) bietet Nutzern einen bequemen Weg, sich bei verschiedenen Diensten mit nur einem Konto anzumelden. Doch diese Bequemlichkeit bringt datenschutzrechtliche Herausforderungen mit sich, die Webseitenbetreiber beachten müssen.
Die zentrale Empfehlung lautet: Bei der Login- und Registrierungsfunktion mittels SSO sollte stets die ausdrückliche Zustimmung der Nutzer eingeholt werden. Dies gilt unabhängig davon, ob es sich um eine Erstregistrierung oder einen wiederkehrenden Login handelt.
Korrekte Einbindung der Datenschutzeinwilligung
Für eine datenschutzkonforme Umsetzung empfiehlt sich ein dreistufiger Ansatz:
- Eine Checkbox und der Login-Button sollten nebeneinander platziert werden, sodass die Einwilligung unmittelbar vor dem Login-Vorgang sichtbar und aktiv abgegeben wird.
- Die Datenschutzerklärung muss direkt neben der Checkbox verlinkt sein, damit Nutzer vor ihrer Zustimmung die Möglichkeit haben, sich umfassend zu informieren.
- Die eigentliche SSO-Funktion sollte erst nach erteilter Einwilligung aktiv werden. Das bedeutet: Ohne aktive Zustimmung bleibt der SSO-Login-Button deaktiviert.
Dieser Ansatz stellt sicher, dass die Einwilligung freiwillig, informiert und eindeutig erfolgt – so wie es die DSGVO in Art. 7 verlangt.
Restrisiko bei Single-Sign-On
Trotz aller Vorsichtsmaßnahmen bleibt eine gewisse rechtliche Unsicherheit bestehen. SSO-Anbieter wie Google, Apple oder Facebook verarbeiten im Hintergrund Daten, auf die der Webseitenbetreiber nur begrenzten Einfluss hat.
Gerichte könnten den hier beschriebenen Ansatz im Einzelfall als unzureichend ablehnen, insbesondere wenn sich herausstellt, dass trotz Einwilligung umfangreiche Datenflüsse an den SSO-Anbieter stattfinden, die vom Nutzer nicht überblickt werden konnten.
Webseitenbetreiber sollten dieses Restrisiko kennen und in ihrer Risikoabwägung berücksichtigen.
Zusätzliches Risiko bei USA-Datentransfers
Ein weiterer kritischer Aspekt betrifft den Datentransfer in die USA. Die meisten großen SSO-Anbieter haben ihren Sitz in den Vereinigten Staaten, und europäische Datenschutzbehörden bezweifeln, ob die dort bestehenden Schutzmaßnahmen ausreichen, um den Anforderungen der DSGVO gerecht zu werden.
Trotz des EU-US Data Privacy Framework bestehen weiterhin Bedenken hinsichtlich der Zugriffsmöglichkeiten US-amerikanischer Behörden auf europäische Nutzerdaten. Die Rechtslage ist dynamisch und unterliegt fortlaufenden Entwicklungen.
Als risikomindernde Alternative wird der Wechsel zu EU-basierten SSO-Anbietern empfohlen. Europäische Lösungen unterliegen direkt der DSGVO und vermeiden die rechtlichen Komplikationen internationaler Datentransfers. Unternehmen sollten prüfen, ob ein solcher Wechsel technisch und wirtschaftlich umsetzbar ist.
Disclaimer: Dieser Artikel bietet allgemeine Informationen und ersetzt keine individuelle Rechtsberatung.