- 23andMe änderte kurz nachdem bekannt wurde, dass beim Hack im Oktober auf die personenbezogenen Daten von rund 7 Millionen Menschen zugegriffen wurde, seine AGB so, dass die Teilnahme von Kunden an Sammelklagen und Schwurgerichtsverfahren eingeschränkt wird
- Die neuen AGB sehen vor, Streitigkeiten per Einzelschiedsverfahren zu behandeln; wenn Kunden nicht innerhalb von 30 Tagen nach der Mitteilung per E-Mail widersprechen, gilt dies automatisch als Zustimmung
- Zu den kompromittierten Daten gehörten Fotos, vollständige Namen, Standortdaten, Informationen zu Stammbäumen und Namen von Verwandten, das Unternehmen erklärte jedoch, dass genetisches Material oder DNA-Datensätze nicht offengelegt wurden
- 23andMe erklärte in einer SEC-Einreichung, dass vor Gerichten in Kalifornien, Illinois und Kanada bereits mehrere Sammelklagen eingereicht wurden
- Die Beschränkung von Sammelklagen kann Streitigkeiten in nicht öffentliche Schiedsverfahren verlagern und damit die Menge öffentlich verfügbarer Informationen reduzieren, aber die von Axios zitierte Nancy Kim meint, dass eine bloße Änderung der AGB für eine Verteidigung vor Gericht nicht ausreiche
Neue AGB verlagern Sammelklagen in Einzelschiedsverfahren
- 23andMe informierte Kunden per E-Mail darüber, dass der Abschnitt „Dispute Resolution and Arbitration“ der Nutzungsbedingungen aktualisiert wurde
- Nach Angaben des Unternehmens ist das Ziel des Updates, die Streitbeilegung zu beschleunigen und Schiedsverfahren zu vereinfachen, wenn mehrere ähnliche Ansprüche erhoben werden
- Die neuen AGB beschränken die Geltendmachung von Streitigkeiten durch beide Seiten im größtmöglichen, nach geltendem Recht zulässigen Umfang auf eine individuelle Eigenschaft
- Sammelklagen, kollektive Maßnahmen und Sammelschiedsverfahren sind nicht zulässig
- Kunden müssen innerhalb von 30 Tagen ab Erhalt der Mitteilung per E-Mail erklären, dass sie nicht zustimmen
- Erfolgt kein Widerspruch, gilt dies als Zustimmung zu den neuen AGB
- 23andMe reagierte nicht auf eine Bitte um Stellungnahme
Ausmaß des Hacks und bereits eingereichte Klagen
- Im Oktober gab 23andMe bekannt, dass Hacker auf sensible Nutzerdaten zugegriffen hatten
- Zu den abgerufenen Informationen gehörten Fotos, vollständige Namen, geografische Standorte, Informationen zu Stammbäumen und die Namen zugehöriger Familienmitglieder
- Das Unternehmen erklärte, dass genetisches Material oder DNA-Datensätze nicht offengelegt wurden
- Nach dem Angriff stellten Hacker Profile von Hunderttausenden aschkenasischen Juden und Chinesen im Internet zum Verkauf
- Das später bekannt gewordene Ausmaß des Vorfalls lag bei rund 7 Millionen Betroffenen, also etwa der Hälfte der Nutzerbasis des Unternehmens
- 23andMe erklärte in einer SEC-Einreichung, dass in mehreren Gerichtsbarkeiten bereits Sammelklagen eingereicht wurden
- Bundes- und Staatsgerichte in Kalifornien
- Staatsgerichte in Illinois
- Gerichte in Kanada
Nicht öffentliche Schiedsverfahren und Gegenreaktionen im Netz
- Laut Axios kann das Verbot von Sammelklagen dazu führen, dass Betroffene Streitigkeiten in nicht öffentlichen Schiedsverfahren lösen müssen, wodurch Informationen über das Verfahren nicht öffentlich werden
- Nancy Kim, Professorin am Chicago-Kent College of Law, sagte Axios, dass die bloße Änderung der AGB nicht ausreiche, um 23andMe vor Gericht zu schützen
- Online gab es Gegenreaktionen auf die neuen AGB
- Ein X-Nutzer namens Daniel Arroyo kritisierte, das Unternehmen verursache zuerst Probleme und handle dann zum Nachteil der Nutzer
- Ein X-Nutzer namens Paul Duke schrieb, es sehe so aus, als wolle das Unternehmen nach der Bekanntgabe des Hacks von Kundendaten Klagen verhindern
1 Kommentare
Meinungen auf Hacker News
Kunden automatisch so zu behandeln, als hätten sie restriktiveren Nutzungsbedingungen zugestimmt, ist ziemlich verdächtig, besonders angesichts des Zeitpunkts.
Ich bin kein Anwalt, aber es wirkt ziemlich offensichtlich, dass man nach dem Sicherheitsvorfall die Bedingungen ändern wollte, um nachträglich rechtlichen Problemen zu entgehen; daher scheint es wahrscheinlich, dass ein Gericht das nicht akzeptiert.
Ein Gericht dürfte nach den zum Zeitpunkt des Vorfalls gültigen Bedingungen urteilen und nicht zulassen, dass mit später neu erstellten Bedingungen „die Geschichte umgeschrieben“ wird.
Da sie den Vertragsinhalt falsch dargestellt haben, als wären Kunden an einen Vertrag gebunden, dem sie tatsächlich gar nicht zugestimmt haben, sollte man die für die Kläger günstigsten Bedingungen zugrunde legen — und das wären Bedingungen, denen 23andMe keine Zustimmung erhalten hat und die daher unwirksam sind.
Das ist ein Versuch, Verbraucherschutzgesetze zu schwächen, und die Regierung sollte das als direkten Angriff behandeln. Andere Unternehmen beobachten das ebenfalls, daher sollte schnell ein Signal gesendet werden, dass so etwas nicht toleriert wird.
Ich denke auch, dass der Chefjurist nach Regel 1.2(d) der American Bar Association disqualifiziert werden sollte.
Das Ziel dürfte eher sein, möglichst viel den Opfern anzulasten, damit von vornherein weniger Menschen klagen. Der nächste Schritt wird vermutlich sein, die Leute an die Bedingungen zu erinnern, denen sie „selbstverständlich zugestimmt“ hätten.
Nutzungsbedingungen sind kein Gesetz.
Ich habe noch nie gehört, dass ein Unternehmen deswegen vor Gericht ernsthafte Schwierigkeiten bekommen hätte; höchstens gab es ein PR-Problem.
Wenn sie sie nach der Zustimmung nach Belieben ändern können, weiß ich nicht, welchen Sinn es überhaupt hat, Nutzungsbedingungen zuzustimmen.
Wenn man den neuen Bedingungen widersprechen will, kann man eine solche E-Mail an legal@23andme.com schicken:
To Whom It May Concern:
My name is [name], and my 23andMe account is under the email [email]. I am writing to declare that I do not agree to the new terms of service at https://www.23andme.com/legal/terms-of-service/
Erst durch diesen Kommentar habe ich diese E-Mail in meinem Spam-Ordner gefunden. Ich hoffe, dieses Unternehmen geht daran komplett zugrunde.
Manche Unternehmen verlangen das tatsächlich. Das Verfahren von PayPal steht zum Beispiel hier: https://www.paypal.com/us/legalhub/useragreement-full#table-...
DNA-basiertes Targeted Advertising könnte darauf hinauslaufen, nur noch die fügsamsten Verbraucher herauszufiltern.
Ich hatte gedacht, dass sicherheitsbewusste Menschen, insbesondere Leute aus der Tech-Branche, ihre Genominformationen nicht so leichtfertig herausgeben würden.
Ich ging davon aus, dass die meisten 23andMe-Kunden ein Ausschnitt der allgemeinen Bevölkerung sind, aber wenn ich sehe, wie bereitwillig Leute bei WorldCoin oder auf Startup-Partys ihre Netzhaut scannen lassen, bin ich verwirrt. Ich verstehe nicht, warum jemand so etwas freiwillig tut.
Das ist ein vollständiges menschliches Genom mit deutlich mehr Daten als ein 23andMe-Bericht. Du kannst es selbst herunterladen und nach Risikofaktoren suchen. Damals waren die genetischen Berater überrascht, dass es keine verlässlichen genetischen Risikofaktoren gab.
Ich würde gern in technischen Begriffen und mit rationaler Argumentation erklärt bekommen, warum das, was ich getan habe, unklug war. Die üblichen Argumente kenne ich bereits; man kann davon ausgehen, dass ich sie vor dem Hintergrund eines Doktortitels in Biologie, Erfahrung mit der Analyse menschlicher Genome und Erfahrung beim Launch technischer Produkte bewertet habe.
Ich habe, gemessen am Datenschutzwissen sowohl in Technik als auch Medizin, immer wieder nach einer konsistenten Begründung gefragt, warum Genome geheim gehalten werden müssen, aber außer Varianten von „es könnte wie in Gattaca werden“, „es gibt etwas Unvorhersehbares“ und „es gibt Probleme mit Versicherungen“ habe ich bislang nichts Neues gehört.
Als ich mich bei 23andMe registrierte, war ich überzeugt, dass sie eines Tages gehackt würden und alle Daten abfließen. Trotzdem habe ich das gegen den Wert abgewogen, potenziell wichtige Gesundheits- und genetische Biomarker zu kennen.
Am Ende bewertete ich den Nutzen, solche Marker zu kennen, höher als die Genom-Privatsphäre. Ersteres ist handlungsrelevant und kann zur Optimierung von Gesundheit und Lebensdauer genutzt werden, während Letzteres einen unklaren Wert hat und außerhalb spezieller Threat Models kaum in großem Stil missbraucht werden kann.
Trotzdem hat 23andMe zumindest für einige tatsächlich einen echten Mehrwert geliefert.
Merkwürdig ist, dass 23andMe die Daten nicht nach 30 Tagen automatisch gelöscht oder zumindest offline genommen und nur auf Anfrage bereitgestellt hat.
Sie hätten einfach mitteilen können, dass die Ergebnisse bereitstehen und die Daten nach dem ersten Download nur 30 Tage lang verfügbar sind. Das sind extrem sensible Daten, und an 23andMes Reaktion sieht man, dass sie das offenbar selbst wissen. Warum sie die Daten trotzdem weiter gespeichert haben, wirkt unverantwortlich und auch für das Unternehmen riskant.
Heute würde ich das natürlich keinesfalls mehr machen, aber jetzt ist es zu spät. Damals fehlte mir die Weitsicht.
Ich sammle so viele Fakteninformationen zu Schiedsverfahren wie möglich.
Es ist noch nicht fertig, aber schon ziemlich nützlich und gut belegt: https://grimreaper.github.io/arbitration/docs/problems/
Danke fürs Teilen.
Ich werde die neuen Bedingungen auf jeden Fall ablehnen und mich der bereits eingereichten Sammelklage anschließen.
Gerade bei hochsensiblen Daten sollte man Security ernst nehmen.
Die eigene DNA an irgendein zufälliges Startup im Internet zu schicken, war vom ersten Tag an ziemlich offensichtlich eine schlechte Entscheidung.
Ich habe Widersprüchliches gelesen.
Ich freue mich schon darauf, in drei Jahren einen Scheck über 0,25 Dollar zu bekommen. Im Ernst: Ich frage mich, ob man zusätzlich auch etwas wie eine Klage vor einem Bagatellgericht einreichen sollte.
Ich bin kein Anwalt, aber vor Gericht dürfte der Zeitpunkt der Handlung entscheidend sein, sodass diese Änderung der Bedingungen vermutlich nicht viel bedeutet.
Wenn ein Nutzer bei der Registrierung Bedingungen A zugestimmt hat und 23andMe später Bedingungen A durch Bedingungen B ersetzt, können sie den Nutzer nicht einfach abmelden und wieder neu registrieren, um ihn zur Zustimmung zu den neuen Bedingungen B zu zwingen.
Sie können um Zustimmung zu den neuen Bedingungen bitten, aber der Nutzer muss nicht zwingend zustimmen. AGB sind kein Gesetz, sondern eine freiwillige rechtliche Vereinbarung zwischen Unternehmen und Kunde.
Nicht einmal der Staat kann rückwirkend handeln. Wenn man zum Beispiel 2023 20 % Körperschaftsteuer gezahlt hat, kann die Regierung fünf Jahre später nicht sagen, die Körperschaftsteuer betrage jetzt 30 %, und verlangen, dass man die Differenz für die Vergangenheit ausgleicht.
Beim nächsten Login können sie einen großen AGB-Bildschirm anzeigen, und die meisten Nutzer werden einfach akzeptieren.
Außerdem haben sie per E-Mail mitgeteilt, dass man standardmäßig als mit den neuen Bedingungen einverstanden gilt, wenn man nicht innerhalb von 30 Tagen „widerspricht“.
Es gibt einen Namen dafür, nach Abschluss eines Geschäfts die Bedingungen zugunsten einer Seite zu ändern.
Betrug.
„Im Oktober gab Anne Wojcicki, Chefin des in San Francisco ansässigen Gentest-Unternehmens 23andMe, bekannt, dass Hacker auf sensible Nutzerdaten zugegriffen hatten, darunter Fotos, vollständige Namen, geografische Standorte, Informationen zu Abstammungsstammbäumen und sogar Namen von Verwandten.“
Für alle, die es nicht wissen: Ihre Schwester ist eine langjährige Marketing-Person, die seit 1999 bei Google arbeitet und an AdWords, AdSense, DoubleClick, GoogleAnalytics sowie an der defizitären Datensammel- und Werbetochter YouTube beteiligt war.
Die Monetarisierung durch das Sammeln persönlicher Daten scheint in der Familie zu liegen.
Ich habe die alten und die neuen Nutzungsbedingungen schnell verglichen, aber keine großen Änderungen gefunden.
Ich würde gern wissen, was tatsächlich geändert wurde. Es gibt viele Texte, die die neuen Bedingungen kritisieren, aber ich sehe keine Stelle, die die tatsächlichen Formulierungsunterschiede zeigt.
Ich frage mich, wer den tatsächlichen Diff hat.
https://www.23andme.com/legal/terms-of-service/full-version/...
https://www.23andme.com/legal/terms-of-service/full-version/
Als Laie sind mir zwei Dinge aufgefallen.
Mitten in der Haftungsbeschränkung wurde „WITHIN THE LIMITS ALLOWED BY APPLICABLE LAWS, YOU EXPRESSLY ACKNOWLEDGE AND AGREE THAT 23ANDME SHALL NOT BE LIABLE FOR ANY DAMAGES“ eingefügt.
Der Abschnitt Streitbeilegung wurde stark geändert, und es gibt auch neue Inhalte zu Massen-Schiedsverfahren. Allerdings enthielten die früheren Bedingungen bereits eine verbindliche Schiedsklausel und Inhalte zu Sammelklagen.
Vor ein paar Jahren hatte ich dort ein Vorstellungsgespräch für eine Security-Stelle, aber noch bevor der Bewerbungsprozess abgeschlossen war, wurde die Rolle gestrichen.
Es fühlte sich so an, als hätte Sicherheit keine Priorität gehabt, und am Ende erntet man eben, was man sät.