linkedin.com — 55/100 (Mittleres Datenschutzrisiko)
Zuletzt analysiert
LinkedIn · linkedin.com
Berichtsdetails
Mittleres DatenschutzrisikoLinkedIn sammelt eine riesige Menge Ihrer Daten – einschließlich aus Ihren Kontakten, Kalendern und im gesamten Web –, nutzt diese zum Training von KI-Modellen ohne klare Opt-out-Möglichkeit, teilt sie umfassend mit Microsoft und Werbetreibenden und speichert sie breit gefächert, obwohl EU-Nutzer einigen zusätzlichen Schutz genießen.
Die globale Datenschutzrichtlinie von LinkedIn ist detailliert, offenbart jedoch weitreichende Datenpraktiken. Das Unternehmen sammelt Daten aus zahlreichen Quellen (vom Nutzer bereitgestellt, abgeleitet, von anderen, von Drittanbieter-Websites), nutzt sie ohne klare Opt-out-Möglichkeit zum Training von KI-Modellen, teilt sie weitreichend mit Microsoft-Verbundunternehmen und Werbepartnern und speichert sie auf unbestimmte Zeit, solange das Konto offen ist. EU/EWR-Nutzer werden auf einen separaten Europäischen Regionaldatenschutzhinweis für zusätzliche Rechte verwiesen. Mechanismen für grenzüberschreitende Übermittlungen werden vage beschrieben. Nutzerrechte werden aufgeführt, aber durch weitreichende Aufbewahrungsausnahmen eingeschränkt.
Kategoriebewertung
Aufschlüsselung der Richtlinie nach zentralen Compliance-Bereichen. Gut = stark, mittel = gemischt, schlecht = bedenklich.
Sammelt umfangreiche Kategorien einschließlich Kalenderdaten, Kontakte aus Uploads anderer, abgeleitete Attribute und behält sich das Recht vor, neue Datentypen zu sammeln, wenn sich die Dienste weiterentwickeln (Abschnitt 1.9).
Die Richtlinie ist detailliert und deckt viele Bereiche ab, aber ihre Länge und Komplexität erschweren das vollständige Verständnis; wichtige Details werden in separate Dokumente ausgelagert (Cookie-Richtlinie, EU-Hinweis, Help-Center-Links).
Umfangreiche Weitergabe an Microsoft-Verbundunternehmen für Dienstentwicklung und Werbung (Abschnitt 3.4), gehashte IDs werden an nicht-verbundene Werbetreibende weitergegeben (Abschnitt 2.4), und Daten werden an Unternehmenskunden wie Arbeitgeber weitergegeben (Abschnitt 3.1).
Bestätigt das Vorhandensein grenzüberschreitender Übermittlungen (Abschnitt 5.2) und verweist auf „gesetzlich vorgesehene Mechanismen“, spezifiziert jedoch nicht, auf welche Mechanismen (SCCs, BCRs, DPF) tatsächlich zurückgegriffen wird.
Abschnitt 2 erklärt ausdrücklich, dass personenbezogene Daten verwendet werden, um „KI-Modelle zu entwickeln und zu trainieren“, bietet jedoch keinen klaren Opt-out-Mechanismus in der globalen Richtlinie; es wird nur ein Link zu den „Verantwortungsvollen KI-Prinzipien“ angeboten.
Abschnitt 4.2 beschreibt Rechte auf Zugang, Löschung, Berichtigung, Widerspruch und Portabilität, und EU-Nutzer werden auf zusätzliche Rechte verwiesen, aber weitreichende Aufbewahrungsausnahmen (Abschnitt 4.3) und die Komplexität der Einstellungen schränken die praktische Wirksamkeit ein.
Wichtigste Befunde
Bemerkenswerte Klauseln, Probleme oder positive Praktiken (kritische zuerst)
KI-Modelltraining mit personenbezogenen Daten ohne klares Opt-out
Abschnitt 2 besagt, dass LinkedIn personenbezogene Daten nutzt, um „KI-Modelle zu entwickeln und zu trainieren“. Die globale Richtlinie sieht keinen Mechanismus vor, um dieser Verarbeitung zu widersprechen. Während EU-Nutzer unter dem separaten Europäischen Regionaldatenschutzhinweis möglicherweise Widerspruchsrechte haben, schweigt die globale Richtlinie zu jeglichem Opt-out, was Bedenken hinsichtlich der Rechtsgrundlage und Verhältnismäßigkeit für das KI-Training aufwirft.
Umfangreiche Datenweitergabe an Microsoft-Verbundunternehmen
Abschnitt 3.4 offenbart, dass LinkedIn personenbezogene Daten an Verbundunternehmen einschließlich Microsoft Corporation weitergibt. Dies umfasst öffentlich geteilte Inhalte, um „ihre Dienste bereitzustellen oder zu entwickeln“, und personenbezogene Daten, um „ihre Werbedienste zu verbessern, bereitzustellen oder zu entwickeln“. Die Richtlinie erwähnt auch, dass Anfragen in Chat-Erfahrungen an Bing verwiesen werden. Dies erzeugt einen erheblichen Datenfluss innerhalb des Microsoft-Ökosystems, den Nutzer möglicherweise nicht vollständig verstehen oder kontrollieren können.
Weitreichende und vage Datenaufbewahrungspraktiken
Abschnitt 4.1 besagt, dass LinkedIn personenbezogene Daten speichert, „solange Sie Ihr Konto offen halten“, und Profile offen behält, auch wenn Nutzer sich nur gelegentlich beteiligen. Abschnitt 4.3 listet weitreichende Ausnahmen auf, die die Datenaufbewahrung nach Kontoschließung erlauben, einschließlich „rechtliche Verpflichtungen“, „Streitigkeiten beilegen“, „Sicherheit aufrechterhalten“, „Betrug und Missbrauch verhindern“ und „unsere Nutzungsvereinbarung durchsetzen“. Diese Ausnahmen sind weder zeitlich begrenzt noch eng definiert.
Grenzüberschreitende Übermittlungsmechanismen nicht spezifiziert
Abschnitt 5.2 bestätigt, dass Daten „sowohl innerhalb als auch außerhalb der Vereinigten Staaten“ verarbeitet werden und sich auf „gesetzlich vorgesehene Mechanismen zur rechtmäßigen grenzüberschreitenden Datenübermittlung“ verlässt. Die Richtlinie spezifiziert nicht, ob Standardvertragsklauseln (SCCs), das EU-US Data Privacy Framework (DPF), Binding Corporate Rules (BCRs) oder andere Mechanismen verwendet werden. Dieser Mangel an Spezifität ist ein Transparenzbedenken nach den Artikeln 13 Abs. 1 Buchst. f und 46 der DSGVO (GDPR).
Erhebung von Drittanbieter-Kontakt- und Kalenderdaten ohne Einwilligung der Betroffenen
Die Abschnitte 1.1 und 1.2 beschreiben die Erhebung von Kalenderbesprechungsinformationen (Zeiten, Orte, Teilnehmer, Kontakte) und Kontaktinformationen, wenn andere Nutzer ihre Kalender synchronisieren oder Kontakte hochladen. Die Betroffenen, deren Informationen durch die Handlungen anderer erhoben werden, haben keine direkte Beziehung zu LinkedIn und wissen möglicherweise nicht, dass ihre Daten erfasst wurden.
Tracking auf Drittanbieter-Websites ohne Interaktion
Abschnitt 1.4 besagt, dass LinkedIn für Nutzer außerhalb der bezeichneten Länder „Informationen über Ihr Gerät, auf denen Sie nicht mit unseren Diensten interagiert haben (z. B. Werbe-ID, IP-Adresse, Betriebssystem- und Browserinformationen)“ für Werbezielgruppen erfasst. Während EU-Nutzer durch den Europäischen Regionaldatenschutzhinweis geschützt sein könnten, erlaubt die globale Richtlinie das Tracking von Nicht-Nutzern, die nie mit LinkedIn interagiert haben.
Gehashte IDs werden an nicht-verbundene Werbetreibende weitergegeben
Abschnitt 2.4 unter „Info an Werbeanbieter“ offenbart, dass LinkedIn „gehashte IDs oder Gerätekennungen“ an nicht-verbundene Drittanbieter-Werbetreibende weitergibt. Die Richtlinie merkt an, dass diese in „einigen Ländern“ personenbezogene Daten darstellen können und dass Werbepartner diese mit den von ihnen direkt erhobenen personenbezogenen Daten verknüpfen können. Dies birgt ein Verknüpfungsrisiko, das Nutzer plattformübergreifend re-identifizieren könnte.
Fazit für Nutzer
Das Geschäftsmodell von LinkedIn basiert auf umfangreicher Datenerhebung und -weitergabe, insbesondere für Werbung und KI-Entwicklung. EU-Nutzer haben einen stärkeren Schutz, aber die globale Richtlinie lässt erhebliche Lücken bei KI-Trainings-Opt-outs, spezifischen Übermittlungsmechanismen und sinnvoller Datenminimierung.
Compliance-Posture
LinkedIn versucht die DSGVO (GDPR)-Compliance für EU-Nutzer über einen separaten Europäischen Regionaldatenschutzhinweis und einen in Irland ansässigen Verantwortlichen zu erreichen, aber der globalen Richtlinie selbst fehlt es an Konkretheit bezüglich der Rechtsgrundlagen pro Verarbeitungstätigkeit, KI-Trainings-Opt-outs und Übermittlungssicherungsmaßnahmen – was potenzielle Compliance-Lücken für Nicht-EU-Nutzer schafft und Fragen zur Angemessenheit des globalen Rahmens aufwirft.
EU-Übermittlungen
Die Richtlinie bestätigt grenzüberschreitende Übermittlungen (Abschnitt 5.2) und erklärt, dass sie sich auf „gesetzlich vorgesehene Mechanismen“ verlässt, spezifiziert jedoch nicht, ob Standardvertragsklauseln (SCCs), Binding Corporate Rules (BCRs) oder das EU-US Data Privacy Framework (DPF) verwendet werden. Diese Unklarheit ist ein Bedenken hinsichtlich der Compliance unter Kapitel V der DSGVO (GDPR).
Erkannte Signale
Konkrete Datenpunkte und Praktiken im Text identifiziert
Textbelege
Direkte Zitate aus der Richtlinie, die diese Befunde stützen
We may use your personal data to improve, develop, and provide products and Services, develop and train artificial intelligence (AI) models, develop, provide, and personalize our Services, and gain insights with the help of AI, automated systems, and inferences
We process data both inside and outside of the United States and rely on legally-provided mechanisms to lawfully transfer data across borders.
We generally retain your personal data as long as you keep your account open or as needed to provide you Services.
If you are outside the Designated Countries, we also collect (or rely on others, including Microsoft, who collect) information about your device where you have not engaged with our Services (e.g., ad ID, IP address, operating system and browser information) so we can provide our Members with relevant ads
We do not share your personal data with any non-Affiliated third-party advertisers or ad networks except for: (i) hashed IDs or device identifiers (to the extent they are personal data in some countries)
we may also share with our Affiliates, including Microsoft, your (1) publicly-shared content (such as your public LinkedIn posts) to provide or develop their services and (2) personal data to improve, provide or develop their advertising services.
Fehlend oder unklar
- Keine spezifische Liste von Unterauftragsverarbeitern oder Datenverarbeitern
- Keine Angabe, welcher rechtliche Übermittlungsmechanismus verwendet wird (SCCs, DPF, BCRs)
- Kein klares Opt-out für KI-Modelltraining
- Keine Datenaufbewahrungsfristen über „solange das Konto offen ist“ hinaus angegeben
- Keine Details dazu, wie lange Daten nach Schließung unter jeder Ausnahme aufbewahrt werden
- Keine DSFA-Zusammenfassung oder Referenz
- Keine Details zu automatisierten Entscheidungen mit rechtlicher Wirkung nach Artikel 22 DSGVO (GDPR)
- Keine Angabe, welche Datenkategorien unter welcher Rechtsgrundlage verarbeitet werden
Fragen zum Nachfragen
- Auf welchen spezifischen Rechtsmechanismus stützt sich LinkedIn für EU-US-Datenübermittlungen (Standardvertragsklauseln, EU-US Data Privacy Framework oder Binding Corporate Rules)?
- Wie können Nutzer der Verwendung ihrer personenbezogenen Daten für das KI-Modelltraining widersprechen (Opt-out), und erstreckt sich dieses Recht auf Daten, die bereits in trainierte Modelle einbezogen wurden?
- Was sind die spezifischen Aufbewahrungsfristen für personenbezogene Daten, die nach Kontoschließung unter jeder in Abschnitt 4.3 aufgeführten Ausnahme aufbewahrt werden?
- Wo können Nutzer die vollständige Liste der Unterauftragsverarbeiter und Datenverarbeiter einsehen, die Zugriff auf ihre personenbezogenen Daten haben?
- Wie stellt LinkedIn sicher, dass Betroffene, deren Informationen durch Kalendersynchronisationen und Kontakt-Uploads anderer erfasst werden, informiert werden und ihre Rechte ausüben können?
- Führt LinkedIn Datenschutz-Folgenabschätzungen (DSFA) für sein KI-Training und seine Werbeprofilierung durch, und können Zusammenfassungen zur Verfügung gestellt werden?
- Welche spezifischen Schutzmaßnahmen verhindern die Re-Identifizierung von Nutzern, wenn gehashte IDs an nicht-verbundene Werbetreibende weitergegeben werden?
Diese Analyse teilen
Jeder mit diesem Link kann das Ergebnis oben einsehen.
Entwickelt von DentroChat
100 % europäischer KI-Chat für alle
Chatte mit KI, arbeite mit Dateien, generiere Bilder und suche im Web. Daten bleiben in Europa.
Weitere analysierte Datenschutzerklärungen
Alle anzeigenbsky.social
55/100
Mittleres DatenschutzrisikoBluesky erhebt weitreichende Verhaltensdaten und speichert Ihre Direktnachrichten unverschlüsselt, sammelt aber Pluspunkte durch die Weigerung, Ihre Daten für zielgerichtete Werbung zu verkaufen, und durch eine solide DSGVO-Rechte-Infrastruktur.
Bericht ansehen →scaleway.com
55/100
Mittleres DatenschutzrisikoScaleway macht viel Aufhebens um die europäische Datensouveränität, aber diese Marketingseite bietet keinerlei tatsächliche Substanz einer Datenschutzrichtlinie, um diese Behauptungen zu untermauern.
Bericht ansehen →peerpush.com
55/100
Mittleres DatenschutzrisikoPeerPush hat starke Anonymisierungspraktiken für seine öffentlichen Analysen, fällt jedoch bei den DSGVO-Grundlagen zurück, da es keine Rechtsgrundlagen offenlegt, keinen EU-Vertreter hat und vage Sprache bei internationalen Datenübermittlungen verwendet.
Bericht ansehen →tella.com
55/100
Mittleres DatenschutzrisikoTella erfasst sensible Videodaten und teilt diese mit zahlreichen US-amerikanischen KI- und Analyseanbietern, ohne klar anzugeben, ob Ihre Daten deren Modelle trainieren, was es für EU-Nutzer zu einem gemischten Ergebnis macht.
Bericht ansehen →