FTC will Avast zu 16,5 Millionen US-Dollar Strafe verdonnern

Das Tochterunternehmen Jumpshot von Avast hat anstatt des behaupteten Schutzes vor Online-Tracking genau das Gegenteil gemacht: Browser-Daten gesammelt und massenhaft an Werbetreibende wie Google, Yelp, Microsoft, McKinsey, Pepsi, Sephora, Condé Nast und viele mehr verkauft. Die Federal Trade Commission (FTC) will Avast dafür jetzt eine Strafzahlung von 16,5 Millionen US-Dollar aufbrummen.

Das Fehlverhalten von der Browser-Erweiterung, die angeblichen Tracking-Schutz liefern sollte und von Avast und AVG ausgeliefert wurde, fiel Ende 2019 auf. Mozilla hatte dort die Erweiterungen von Avast und AVG blockiert, da sie private Daten weitergereicht haben. Schon im Oktober fiel dem Adblock-Plus-Gründer Wladimir Palant auf, dass die Erweiterungen persönliche Daten etwa an die URL uib.ff.avast.com geschickt haben.

Millionenstrafe durch die FTC

Die FTC schreibt in ihrer Bekanntmachung, dass sie "Avast zur Zahlung von 16,5 Millionen US-Dollar auffordern und dem Unternehmen den Verkauf oder die Lizenzierung von Web-Browsing-Daten für Werbezwecke verbieten will". Das solle die Vorwürfe beilegen, dass das Unternehmen und seine Tochtergesellschaften solche Informationen an Dritte verkauft habe, "nachdem sie versprochen hatten, dass ihre Produkte Verbraucher vor Online-Tracking schützen würden."

Die FTC schreibt in ihrer Beschwerdeschrift, dass Avast durch die tschechische Tochtergesellschaft auf unfaire Weise Browser-Informationen von Kunden durch Browser-Erweiterungen und Antivirensoftware gesammelt, auf unbestimmte Zeit gespeichert und ohne angemessene Benachrichtigung und ohne Einverständnis der Nutzerinnen und Nutzer verkauft habe. Darüber hinaus erhebt die FTC den Vorwurf, dass Avast die Nutzer mit der Behauptung betrogen habe, die Software würde deren Privatsphäre schützen, indem sie das Tracking durch Dritte unterbinde, dabei aber unterlassen hat, die Kunden darüber zu informieren, dass sie selbst detaillierte, identifizierbare Browsing-Daten verkaufe. Konkret wirft die FTC Avast vor, die Daten an mehr als 100 Dritte durch die Tochterfirma Jumpshot verkauft zu haben.

Ferne erläutert die FTC, dass Jumpshot zwischen den Jahren 2014 und 2020 Browser-Informationen verkauft hat, die Avast bei den Kunden gesammelt hat. Die Käufer stellten der Beschwerde zufolge eine Sammlung aus Werbe-, Marketing- und Datenanalyse-Firmen sowie Datenhändler dar. Jumpshot behauptete, sie würden wiedererkennbare Informationen vor dem Transfer an Kunden mit speziellen Algorithmen entfernen. Die FTC hält dagegen, dass die Daten nicht ausreichend anonymisiert wurden.

So enthielten etwa Datenströme einzigartige IDs (unique identifiers) für jeden Webbrowser, von dem Daten gesammelt wurden, und dazu kamen jede besuchte Webseite, genaue Zeitstempel, Geräte- und Browser-Typ sowie Stadt, Bundesland und Land. Die FTC klagt daher an, dass Avast eine Falschbehauptung aufgestellt habe, als das Unternehmen angab, lediglich in aggregierter und anonymisierter Form persönliche Kundendaten übertragen zu haben. Jumpshot habe entgegen den Angaben sogar Produkte dazu entworfen, dass Kunden damit Nutzer nachverfolgen und mit weiteren bereits vorhandenen Informationen verknüpfen konnten, wirft die FTC Avast vor.

Neben der Zahlung von 16,5 Millionen US-Dollar, aus denen Kunden entschädigt werden sollen, soll der vorgeschlagene Beschluss Avast und den Tochterfirmen verbieten, falsch darzustellen, wie sie die Daten verwenden, die sie sammeln. Weitere geplante Auflagen umfassen das Verbot, die Browsing-Daten weiterzuverkaufen, die Auflage, die ausdrückliche Zustimmung von Kunden einzuholen, zudem die Daten zu löschen, die Jumpshot gesammelt hat, ferner Kunden zu benachrichtigen sowie ein Programm zum Schutz der Privatsphäre einzurichten.

Die Kommission der FTC hat einstimmig, mit drei zu null Stimmen, für die Verwaltungsbeschwerde in ihrer jetzigen Form gestimmt. Nach der Veröffentlichung folgt eine 30-tägige Kommentierungsphase. Danach wird die Kommission entscheiden, den vorläufigen Beschluss in finaler Fassung zu veröffentlichen.

(dmk)