- 23andMe hat nach der Bestätigung, dass der Umfang der im Oktober 2023 bekannt gewordenen Sicherheitsverletzung insgesamt 6,9 Millionen Menschen betrifft, Änderungen an den Nutzungsbedingungen eingeführt, die Streitigkeiten statt vor Gericht in ein Schiedsverfahren verlagern
- Nach dem neuen Verfahren müssen Nutzer zunächst mit dem Kundensupport mindestens 60 Tage lang informell verhandeln; wird keine Einigung erzielt, geht der Fall in der Regel in ein Schiedsverfahren über
- Die Schiedsklausel verhindert mit wenigen Ausnahmen Sammelklagen und kollektive Schiedsverfahren, wodurch es für Betroffene schwieriger wird, gemeinsam vorzugehen
- Nutzer können sich nur entziehen, wenn sie innerhalb von 30 Tagen ab dem Stichtag bzw. dem Datum des Inkrafttretens eine schriftliche Mitteilung an arbitrationoptout@23andme.com senden, doch in der Benachrichtigungs-E-Mail fehlt diese Adresse
- Die am 30. November 2023 in Kraft getretene Änderung betrifft auch Nutzer, die bereits von der Sicherheitsverletzung betroffen waren, und schränkt die Möglichkeit, künftige Streitigkeiten vor Gericht auszutragen, deutlich ein
Nach der Sicherheitsverletzung wurden die Nutzungsbedingungen geändert
- 23andMe ist ein Unternehmen für persönliche Genomik und Biotechnologie und arbeitet seit der ersten Offenlegung am 6. Oktober 2023 die Sicherheitsverletzung auf
- Am 19. Oktober behauptete derselbe Hacker, der zunächst die Verantwortung reklamiert hatte, einen weiteren Vorfall und erklärte diesmal, auf mehr als 4 Millionen genetische Profilaufzeichnungen zugegriffen zu haben
- Am 4. Dezember bestätigte 23andMe, dass der gesamte Umfang des Vorfalls insgesamt 6,9 Millionen Nutzer betrifft
- Bis zum 14. Oktober hatten mehrere Personen Fahrlässigkeitsklagen gegen 23andMe eingereicht; unter Nutzern wurde die Reaktion des Unternehmens weithin als sehr unzureichend bewertet
Kernelemente des neuen Streitbeilegungsverfahrens
- 23andMe setzt über ein Update der Terms of Service Änderungen um, die Nutzer in ein bindendes Schiedsverfahren zwingen
- Bei einem bindenden Schiedsverfahren tragen beide Seiten ihre Argumente einem neutralen Dritten, dem Schiedsrichter, vor; dieser prüft die Beweise und trifft eine Entscheidung
- Entscheidend ist, dass die Entscheidung des Schiedsrichters endgültig und rechtlich vollstreckbar ist, sodass beide Seiten sie akzeptieren müssen und keine Berufung vor einem normalen Gericht möglich ist
- Dieses Verfahren wird bei Verbraucherverträgen, Arbeitskonflikten und geschäftlichen Streitigkeiten eingesetzt und ist oft schneller und weniger formell als ein Gerichtsverfahren
Wichtige Klauseln in den Nutzungsbedingungen
-
Frist zur ersten Streitbeilegung
- Nutzer müssen sich bei Problemen im Zusammenhang mit 23andMe-Diensten zunächst an den Kundensupport wenden
- Vor weiteren rechtlichen Schritten muss mindestens 60 Tage lang informell verhandelt werden
- Erforderlich ist eine detaillierte E-Mail mit Angaben zur Streitigkeit, zum Zeitpunkt ihres Entstehens, zur gewünschten Lösung und zu den Kontaktdaten
- Wenn ein Anwalt beteiligt ist, muss auch dieser gemeinsam mit 23andMe darüber sprechen
-
Schiedsverfahren statt Gericht
- Wird der Fall innerhalb von 60 Tagen nicht gelöst, geht er in der Regel nicht vor Gericht, sondern in ein Schiedsverfahren
- Das Schiedsverfahren folgt den Regeln des Schieds-Dienstleisters JAMS
- Wenn viele ähnliche Streitigkeiten auftreten, kann ein Verfahren für Mass Arbitration über NAM genutzt werden
-
Entscheidung des Schiedsrichters
- Die Entscheidung des Schiedsrichters ist endgültig
- Der Schiedsrichter muss das Recht anwenden und kann Entscheidungen treffen, die auch ein Gericht treffen könnte
-
Ausnahmen vom Schiedsverfahren
- Bestimmte Angelegenheiten wie Streitigkeiten über geistiges Eigentum und Klagen mit geringem Streitwert können vom Nutzer oder von 23andMe vor Gericht gebracht werden
-
Verbot von Sammelklagen
- Nutzer können nicht gemeinsam mit anderen gegen 23andMe Sammelklagen oder kollektive Schiedsverfahren einreichen
- Jede Streitigkeit wird einzeln behandelt
-
Salvatorische Klausel
- Selbst wenn Teile der Regelungen zur Streitbeilegung rechtlich nicht durchsetzbar sind, bleiben die übrigen Klauseln in Kraft
Auswirkungen auf Streitigkeiten rund um die Sicherheitsverletzung
- Entsteht im Zusammenhang mit der Cybersicherheitsverletzung ein Streit mit 23andMe, müssen Nutzer zunächst versuchen, die Sache mit dem Kundensupport zu klären
- Kommt keine Einigung zustande, geht der Fall – sofern keine Ausnahme greift – nicht vor Gericht, sondern in ein Schiedsverfahren
- Da keine Sammelklage gemeinsam mit anderen Betroffenen möglich ist, verringert sich der Spielraum für ein gemeinsames Vorgehen
- Die Änderung der Nutzungsbedingungen trat am 30. November 2023 in Kraft und betrifft auch Nutzer, die von der Sicherheitsverletzung betroffen waren
30-Tage-Opt-out-Verfahren
- 23andMe hat damit begonnen, Nutzer per E-Mail über die Änderungen der Nutzungsbedingungen zu informieren
- Nutzer können sich innerhalb von 30 Tagen ab dem Stichtag der neuen Klauseln von den Bestimmungen zu Schiedsverfahren und zum Verzicht auf Sammelklagen ausnehmen lassen
- In der Benachrichtigungs-E-Mail fehlt der Hinweis, dass dazu eine E-Mail an die in den aktualisierten Bedingungen genannte Opt-out-Adresse arbitrationoptout@23andme.com gesendet werden muss
- Laut der Vorschau der aktualisierten Nutzungsbedingungen müssen Nutzer eine schriftliche Mitteilung an diese Adresse senden, wenn sie nicht an die Schieds- und Sammelklageverzichtsklauseln gebunden sein wollen
- Die Mitteilung muss innerhalb von 30 Tagen ab dem Datum der ersten Nutzung des Dienstes oder ab dem Inkrafttreten der Bedingungen mit den Klauseln zu Schiedsverfahren, Sammelklagen und kollektivem Schiedsverfahren gesendet werden
- Wenn ein Nutzer die Schiedsklausel per Opt-out ablehnt, ist auch 23andMe nicht an diese Klausel gebunden
Warum Schiedsverfahren für Verbraucher nachteilig sein können
- Die Stanford Graduate School of Business hat Beiträge und Studien veröffentlicht, die darauf hindeuten, dass Schiedsverfahren zum Nachteil von Verbrauchern wirken können
- Der betreffende Beitrag kommt auf Basis der Analyse von rund 9.000 Schiedsverfahren aus der Wertpapierbranche zu dem Schluss, dass das Schiedssystem Verbraucher benachteiligt
- Unternehmen verfügen über einen Informationsvorsprung, wenn es darum geht, Schiedsrichter zu finden, die eher zu ihren Gunsten entscheiden könnten
- Auch Schiedsrichter wissen, dass unternehmensfreundliches Verhalten in einem Fall die Wahrscheinlichkeit deutlich erhöht, künftig erneut ausgewählt zu werden
- Die aktuelle Änderung der Nutzungsbedingungen schützt eher 23andMe selbst als die Verbraucher und könnte bei einer weiteren Sicherheitsverletzung ähnlichen Ausmaßes als Schutzwall gegen massenhaften Unmut von Nutzern dienen
Wie eine Opt-out-E-Mail formuliert werden kann
- Wer von der Sicherheitsverletzung betroffen ist und nicht an das erzwungene Schiedsverfahren gebunden sein möchte, kann eine E-Mail an folgende Adressen senden
- legal@23andme.com
- customercare@23andme.com
- arbitrationoptout@23andme.com
- Ein möglicher Betreff ist
Request to Opt-Out of Updated TOS - Die E-Mail sollte Folgendes enthalten
- den Hinweis, dass sie sich auf die Änderung der 23andMe-Nutzungsbedingungen vom 30. November 2023 bezieht
- den bei 23andMe registrierten Namen
- die mit dem 23andMe-Konto verknüpfte E-Mail-Adresse
- eine Formulierung, dass offiziell ein Opt-out aus den aktualisierten Nutzungsbedingungen beantragt wird
- eine Formulierung, dass den in der jüngsten Aktualisierung genannten Klauseln nicht zugestimmt wird
- Nutzer sollten die Antwort aufbewahren und ausdrücklich um eine Bestätigung bitten, dass das Opt-out verarbeitet wurde
- Sollte es künftig zu einer weiteren Verletzung kommen, kann diese Antwort als Beleg dafür dienen, dass der Nutzer nicht an die geänderten Nutzungsbedingungen gebunden ist
1 Kommentare
Meinungen auf Hacker News
Je mehr man Nutzungsbedingungen liest, desto mehr scheint eine Common-Law-artige Lösung nötig zu sein.
Den Begriff Common Law verwende ich hier lose: etwa indem man Softwaredienste in einige vordefinierte Kategorien einteilt, wie Informationsanbieter, soziale Netzwerke oder Schnittstellen zur realen Welt, und für jede Kategorie Standardregeln festlegt.
Für den stationären Einzelhandel gibt es bereits einen ähnlichen Rahmen: Einzelne Geschäfte können nicht einfach beliebige eigene Regeln aufstellen, sondern müssen innerhalb gesellschaftlicher Normen arbeiten.
Die heutige Struktur verleitet jedes Unternehmen dazu, in seinen Bedingungen möglichst viele rechtliche Ansprüche für sich zu reklamieren, und schafft dadurch faktisch Unternehmensstaaten. Viele Klauseln wären vor Gericht wohl nicht durchsetzbar, was kulturell auch die Rechtsstaatlichkeit schwächt, und Nutzer sind bei Verhandlungen stets in einer stark benachteiligten Position.
In mehreren europäischen Ländern gibt es solche Gesetze bereits in beträchtlichem Umfang. Wenn man im Internet etwas kauft, kann man es innerhalb von 14 Tagen zurückgeben, wenn es einem nicht gefällt, hat Anspruch auf angemessene Gewährleistung, und Unternehmen dürfen personenbezogene Daten nicht ohne ausdrückliche Zustimmung missbrauchen. Erzwungene verbindliche Schiedsverfahren sind ebenfalls nicht erlaubt.
Man muss keine Vorlagen für Nutzungsbedingungen vorschreiben; grundlegende Verbraucherschutzgesetze reichen.
Deshalb ist meiner Ansicht nach nicht Common Law nötig, sondern echte Gesetzgebung.
Das Problem ist, dass Gesetze sehr konkret sein müssen. Wenn man Unternehmen verbieten will, „meine Daten“ zu verkaufen, muss man zuerst definieren, was meine Daten sind und was Daten des Unternehmens sind; das ist schwieriger, als es klingt. Gehört mir meine Sozialversicherungsnummer, oder hat der Staat sie mir nur geliehen? Sind öffentliche Register öffentliche Daten? Solche Fragen entstehen.
Datenschutz ist nur ein Teil davon. Was ist mit Finanzen, damit, ob ein Dienst Nutzer ausschließen darf, was passiert, wenn man nie Geld bezahlt hat, ob Beiträge gelöscht werden dürfen, ob Zitate gelöschter Beiträge bleiben dürfen, ob Werbetreibende bestimmte Bevölkerungsgruppen gezielt ansprechen dürfen, und so weiter?
Solche Dinge in tatsächliche Gesetze zu gießen ist schwierig, und ein Gesetz zu schaffen, das die Mehrheit zufriedenstellt, ist nahezu unmöglich. Ich verstehe den Wunsch danach, aber wenn das Gesetz erst einmal da ist, wird es dir wahrscheinlich nicht gefallen.
Beim Hauskauf ist es nicht mit einer einzigen Unterschrift getan; faktisch unterschreibt man jede Seite und an mehreren Stellen derselben Seite. Es gibt keinen Grund, warum Nutzungsbedingungen anders sein sollten.
Rechte, die man noch nicht hat, kann man normalerweise nicht aufgeben; daher kann man keine Klausel über ein verbindliches Schiedsverfahren unterschreiben, wenn noch gar kein Schaden entstanden ist.
Zusätzlich werden allgemeine Geschäftsbedingungen, die vielen Menschen vorgelegt werden, durch Gesetze stark begrenzt, die ihre Grenzen festlegen, und es gibt auch Verbraucherschlichtungsstellen, die es Verbrauchern erleichtern, gegen Unternehmen vorzugehen.
Entwurf für einen Widerspruch gegen die geänderten Bedingungen, den man an
arbitrationoptout@23andme.comsenden kann:Betreff: Request to Opt-Out of Updated TOS
23andMe Team,
I am contacting you regarding the recent changes to the 23andMe Terms of Service, dated November 30, 2023. My name is [your name as registered with 23andMe], and the email associated with my 23andMe account is [your 23andMe account email].
I hereby formally request to opt out of the newly updated Terms of Service. I do not consent to the terms as outlined in the recent update.
Thank you for processing my request promptly.
[Your Name]
arbitrationoptout@23andme.comstammt.In der E-Mail, die ich erhalten habe, stand „please notify us“, und der Link war ein Mail-Link an
legal@23andme.com.Diese Adresse habe ich gestern verwendet, als ich geschrieben habe, dass ich den neuen Bedingungen nicht zustimme.
Schick nicht nur eine E-Mail; du brauchst eine Übermittlungsart, mit der du nachweisen kannst, dass du es gesendet hast.
Es läuft nach dem Motto „Wenn du nicht widersprichst, gilt das als Zustimmung“ – aber ist es überhaupt legal oder durchsetzbar, die Bedingungen eines Servicevertrags zu ändern, ohne dass Nutzer dies bestätigen oder akzeptieren?
„Amazon EU und Amazon Digital UK hatten Verfahren, mit denen sie den Preis ab dem neuen Abo-Zeitraum einseitig ändern konnten. Solche Bedingungen sind für Verbraucher besonders schädlich, wenn eine Zahlungskarte mit dem Konto verknüpft ist und der Anbieter sich selbst das Recht einräumt, im nächsten Abo-Zeitraum automatisch den neuen Betrag abzubuchen.“
„Seit Jahren vertreten wir die Auffassung, dass Vertragsbedingungen die Pflichten der Vertragsparteien fair regeln müssen. Bei immer beliebteren Abo-Diensten vertrauen Verbraucher dem Dienstanbieter und überlassen ihm ihre Zahlungskartendaten, um regelmäßig ihren Verpflichtungen nachzukommen. Das bedeutet jedoch nicht, dass der Unternehmer danach ohne Zustimmung des Verbrauchers mehr berechnen darf als den zuvor vereinbarten Betrag.“
„Es ist inakzeptabel, gemäß einer geänderten Preisliste automatisch abzubuchen, indem Mittel auf der verknüpften Zahlungskarte blockiert werden, oder einseitig wesentliche Änderungen der Vertragsbedingungen einzuführen.“
https://uokik.gov.pl/aktualnosci.php?news_id=20132 — Mitteilung auf Polnisch
Hier geht es zwar um Amazon, aber die Behörde untersucht auch Abo-Dienste anderer Unternehmen. Amazon EU und Amazon Digital UK haben mit der Behörde kooperiert und werden Kunden künftig über geplante Änderungen informieren sowie ihnen ermöglichen, diese abzulehnen und den Vertrag ohne Vertragsstrafe zu kündigen.
Bei Internetanbietern gilt dieses Verfahren bereits; sie können Verträge nicht nach Belieben ändern. Sie können einem allerdings telefonisch mit einem „ganz neuen Tarif, der genau auf Sie zugeschnitten ist“ auf die Nerven gehen.
Es ist möglich, Druck auszuüben, damit Unternehmen ihr Verhalten ändern, aber fraglich ist, ob sich das direkt auf einen bestimmten Dienst wie 23andMe anwenden lässt. Dennoch könnte dieses Datenleck dazu führen, dass Datenschutzbehörden in mehreren Ländern genauer hinschauen, was 23andMe tut.
Definiert wird das als ein Fall, der „entgegen dem Gebot von Treu und Glauben ein erhebliches Ungleichgewicht der vertraglichen Rechte und Pflichten der Parteien zum Nachteil des Verbrauchers verursacht“.
https://www.legislation.gov.uk/ukpga/2015/15/section/62?view...
Die Formulierung „um Streitigkeiten schnell beizulegen und das Schiedsverfahren zu vereinfachen, wenn mehrere ähnliche Ansprüche geltend gemacht werden“ klingt so, als bereite sich jemand auf die Folgen des Datenlecks vor.
Ich frage mich, wie es angehen kann, dass man nach einem Hack die Bedingungen nachträglich ändert, um Schäden wegen mangelhafter Sicherheit zu begrenzen.
Wenn das möglich ist, warum sollte man sich dann überhaupt um Sicherheit kümmern? Man ändert später einfach die Bedingungen. Kompetente Anwälte dürften das durchaus anfechten können.
Unabhängig von den Bedingungen könnten Familienmitglieder, die den Bedingungen nie zugestimmt haben, weiterhin klagebefugt sein.
Wird ein vom Datenleck betroffener Verwandter, der die Bedingungen nicht unterschrieben hat, eine Sammelklage in Billionenhöhe anführen?
Mit Sammelklage meine ich hier nicht ein Verfahren, das nur einige Anwälte reich macht und dem fehlbaren Unternehmen erlaubt, sich mit einem kleinen Teil seiner unrechtmäßigen Gewinne freizukaufen, sondern eine Klage mit dem Ziel, eine zu Missbrauch neigende Branche die Öffentlichkeit fürchten zu lassen.
Meine Mutter hat diesen Dienst ziemlich gedankenlos genutzt und in das Formular die Namen aller Verwandten eingetragen.
Die erhaltenen Ergebnisse waren überhaupt nicht nützlich, und jetzt liegen 50 % meiner DNA in ihrer dubiosen Datenbank, ohne dass ich irgendeine Möglichkeit habe, dem zu widersprechen.
Ich hasse diese Organisation wirklich.
Selbst wenn nur ein erstaunlich kleiner Anteil der Weltbevölkerung sequenziert wird, lassen sich Proben auch Personen zuordnen, die selbst nicht sequenziert wurden. Um den Artikel zu zitieren: „Genetische Genealogie konnte wie ein universelles De-Anonymisierungswerkzeug funktionieren.“
Vielleicht muss man also nicht allzu wütend darüber sein, dass die Mutter sich angemeldet hat. Unsere DNA gehört uns schwerlich auf dieselbe Weise wie Dokumente auf einer Festplatte, und wahrscheinlich hatten wir von Anfang an kein Widerspruchsrecht.
„Sensible personenbezogene Daten im Zusammenhang mit Stammbäumen, Geburtstagen und ungefähren geografischen Standorten wurden offengelegt. In einigen Fällen, so das Unternehmen, könnten vor allem über kompromittierte Konten auch Fotos und Anzeigenamen verbundener Familienmitglieder offengelegt worden sein, die denselben Dienst nutzen. 23andMe betont, dass kein tatsächliches genetisches Material und keine DNA-Datensätze offengelegt wurden.“
„Ein Sprecher von 23andMe sagte Engadget, dass Hacker auf diese Weise auf DNAR-Profile von etwa 5,5 Millionen Kunden sowie auf Family-Tree-Profilinformationen von 1,4 Millionen Teilnehmern an DNA Relative zugegriffen haben.“
„DNAR-Profile enthalten neben selbst gemeldeten Informationen wie Anzeigename und Standort auch sensible Details wie den Anteil gemeinsamer DNA bei DNA-Relatives-Matches, Familiennamen, vorhergesagte Verwandtschaftsverhältnisse und Abstammungsberichte. Family-Tree-Profile enthalten Informationen wie Anzeigenamen und Beziehungslabels sowie optional vom Nutzer hinzugefügte Angaben wie Geburtsjahr und Standort. Als der Vorfall im Oktober erstmals öffentlich wurde, erklärte das Unternehmen nach seiner Untersuchung, dass ‚genetische Testergebnisse nicht geleakt wurden‘.“
https://www.engadget.com/23andme-hack-now-estimated-to-affec...
Vermutlich hat der Stackdiary-Autor „DNAR profile“ als „genetic profile“ wiedergegeben, aber für diesen Begriff gibt es keine Standarddefinition. Wenn es jedoch eine Definition gäbe, hätte ich vermutet, dass damit zumindest ein Teil der DNA-Informationen gemeint ist.
23andMe könnte lügen oder selbst nicht wissen, was tatsächlich passiert ist; wenn dem so ist, wird es wohl erneut Nachrichten geben, sobald zusätzliche Offenlegungen verpflichtend werden.
Nehmen wir an, morgen käme ein verantwortungsvoller DNA-Dienst auf den Markt, der etwa differenzielle Verschlüsselung nutzt, sodass man DNA teilen und Verwandte finden kann, während die Privatsphäre bis zu einem gewissen Grad geschützt bleibt.
Er käme trotzdem nicht einmal an den Start. Denn die Verwandten sind bereits bei diesem Dienst oder bei Ancestry, MyHeritage oder FamilyTreeDNA. Auch diese Unternehmen sind allesamt schmierige US- oder israelische Großkonzerne, denen man nur so weit trauen kann, wie man sie werfen kann – und das ist nicht einmal ein Inch.
Auch wenn ein Cousin mitgemacht hat, kann man leicht identifiziert werden. Im Grunde wird man leicht identifizierbar, sobald irgendjemand aus der Blutsverwandtschaft einen solchen Dienst nutzt.
Einen möglichen Vorteil könnte es geben.
Wenn erzwungene verbindliche Schiedsverfahren gelten, könnten genau diese Unternehmen sich selbst ins Knie schießen, weil sie Tausende individuell eingereichte Fälle nicht bewältigen können.
https://www.nytimes.com/2020/04/06/business/arbitration-over...
„Wenn 25 oder mehr Schiedsverlangen eingereicht werden, die denselben oder einen ähnlichen Gegenstand sowie gemeinsame Rechts- oder Tatsachenfragen betreffen, und die Parteien, die die Verlangen einreichen, denselben oder koordinierten Rechtsbeistand haben“, gilt dies als „Mass Arbitration“.
Alle Streitigkeiten im Rahmen von Massenschiedsverfahren werden von National Arbitration and Mediation, einem „national anerkannten Anbieter von Schiedsverfahren“, entschieden.
[1] https://arstechnica.com/tech-policy/2023/12/23andme-changes-...
Ich hätte gern, dass das jemand überprüft. Ist zwingende verbindliche Schiedsgerichtsbarkeit in der EU/im EWR/in der EFTA zulässig?
Falls nicht: Was passiert dann mit Kunden in Frankreich oder Deutschland? Dieser Vertrag wirkt vollständig nicht durchsetzbar.
Darüber hinaus fände ich es gut, wenn das absichtliche Erstellen nicht durchsetzbarer Verträge illegal wäre. Zu viele Unternehmen entwerfen einschüchternde Verträge, die normale Menschen weder verstehen noch als nicht durchsetzbar erkennen können.
Artikel 10 der Richtlinie 2013/11/EU bestimmt, dass „die Mitgliedstaaten sicherstellen, dass eine Vereinbarung zwischen einem Verbraucher und einem Unternehmer, Beschwerden einer AS-Stelle vorzulegen, für den Verbraucher nicht verbindlich ist, wenn sie vor Entstehen der Streitigkeit geschlossen wurde und bewirkt, dass dem Verbraucher das Recht genommen wird, zur Beilegung der Streitigkeit die Gerichte anzurufen“.
https://eur-lex.europa.eu/LexUriServ/LexUriServ.do?uri=OJ:L:...
Allerdings verhindert das nicht, dass ein Kunde nach Entstehen der Streitigkeit auf seine Rechte verzichtet, etwa als Teil eines Vergleichs.
Denn DNA-Tests ohne gerichtliche Anordnung sind dort illegal.