Am vergangenen Freitag gingen nach zwei Monaten Pause der App-Store und das Lernportal des Lernspielzeugherstellers VTech wieder online. Grund für die Pause war ein im November bekannt gewordener Hack, bei dem Daten von 4,8 Millionen Eltern sowie 6,4 Millionen Kindern entwendet worden waren. Man habe „den Datenschutz weiter verstärkt“, heißt es in einer Mail des Geschäftsführers King Pang an Kund_innen, die Motherboard vorliegt. Während sich VTech „dem Schutz der Informationen [seiner Kund_innen] verpflichte[t]“, hat es jedoch auch ein neuer Absatz in die allgemeinen Geschäftsbedingungen geschafft. Unter „Einschränkung der Haftung“ heißt es dort neuerdings IN GROßBUCHSTABEN:

Sie erkennen an und stimmen zu, dass Sie die volle Verantwortung für die Nutzung der Seite und jedweder Software und Firmware, die Sie dort herunterladen, übernehmen. Sie erkennen an und stimmen zu, dass jedwede Information, die Sie während der Nutzung der Seite senden oder erhalten, nicht sicher sein, abgefangen, oder später von Unbefugten erfasst werden könnte.

Eine Sprecherin von VTech sagte dazu, man habe hart daran gearbeitet, die Sicherheit zu optimieren, aber „kein Unternehmen, das online operiere, kann eine 100%-ige Garantie dafür bieten, nicht gehackt zu werden“. Die Einschränkungen in der Haftung seien daher „allgemein üblich“.

Sicherheitsexperten wie Troy Hunt, Rik Ferguson und Ken Munro nennen dieses Verhalten „unglaublich arrogant“ und rufen zum Boykott von VTech-Produkten auf. Anstatt aus seinen Fehlern zu lernen, die Sicherheitsmaßnahmen zu erhöhen und sich bei den betroffenen Kund_innen zu entschuldigen, versuche das Unternehmen stattdessen, sich im Umgang mit Nutzerdaten von jeder Haftung zu befreien. Die einzig mögliche Motivation für die neue Klausel sei der Versuch, Vorteile aus der Unkenntnis des Gesetzes der Kund_innen zu schlagen und im Falle eines erneuten Hacks Klagen zu verhindern.

Wie effektiv die neue Klausel tatsächlich ist, wird von Jurist_innen bezweifelt. So bewerten etwa der niederländische Datenschutzrechtler Ot Van Daalen und die US-amerikanische Jura-Professorin Angela Campbell den Haftungsausschluss als kaum stichhaltig für die EU und USA. Die Verpflichtung zum Schutz von Kundendaten könne nicht so einfach vom Unternehmen auf die Nutzer_innen abgeschoben werden.