Avast muss eine Geldstrafe in Höhe von 16,5 Millionen Dollar bezahlen. Das Unternehmen hat seit 2014 sensible Informationen über die Surfgewohnheiten der eigenen Kunden gesammelt und verkauft.
Der Softwareanbieter Avast – bekannt durch das gleichnamige Antivirenprogramm – wurde von der US-amerikanischen Federal Trade Commission (FTC) mit einer Geldstrafe von 16,5 Millionen Dollar belegt. Die Aufsichtsbehörde teilte mit, dass das Unternehmen über seine Antivirensoftware Informationen über die Surfgewohnheiten der Nutzer gesammelt hat. Die FTC fügte hinzu, dass Avast die Nutzer bewusst in die Irre geführt habe.
Den Kunden wurde versprochen, dass durch die Nutzung der Software ihre Online-Privatsphäre geschützt werden würde. Stattdessen aber wurden durch das Programm identifizierbare Browsing-Daten gesammelt und weiterverkauft.
„Avast versprach den Nutzern, dass seine Produkte die Privatsphäre ihrer Surfdaten schützen würden, lieferte aber das Gegenteil“, sagte der Direktor des Bureau of Consumer Protection der FTC, Samuel Levine. „Avasts Lockvogel-Überwachungstaktik hat die Privatsphäre der Verbraucher gefährdet und gegen das Gesetz verstoßen.“
Avast verkaufte seit 2014 Nutzerdaten
Laut der FTC-Beschwerde speicherte und verkaufte das britische Unternehmen Avast über eine tschechische Tochtergesellschaft namens „Jumpshot“ von 2014 bis Januar 2020 Kundendaten. Diese Daten wurden über Browsererweiterungen und Antivirensoftware auf Computern und Mobilgeräten gesammelt. Dazu gehörte auch der Suchverlauf, der, wenn er von interessierten Dritten zusammengesetzt wurde, „die religiösen Überzeugungen der Verbraucher, ihre gesundheitlichen Bedenken, ihre politische Einstellung, ihren Standort, ihren finanziellen Status und andere sensible Informationen“ enthülle, so die FTC.
Der Beschwerde zufolge hat Avast es nicht nur versäumt, die Verbraucher darüber zu informieren, dass es ihre Browserdaten sammelt und verkauft. Das Unternehmen behauptete auch, dass seine Produkte das Tracking im Internet verringern. Desktop-Software und Browsererweiterungen wurden damit beworben, dass sie „lästige Tracking-Cookies blockieren“ oder „Ihre Privatsphäre schützen“.
Der ehemalige Konkurrent Jumpshot wurde 2013 von Avast übernommen und zu seinem Analyseunternehmen umgewandelt. Obwohl Jumpshot öffentlich behauptete, die erworbenen Informationen durch einen „speziellen Algorithmus“ zu anonymisieren, tat es nichts dergleichen und unterließ es, eindeutige Identifikatoren zu entfernen. Dadurch konnten Webbrowser-Daten und einzelne Nutzer gezielt in Verbindung gebracht werden. Auf diese Weise wurden Kundendaten an über 100 Drittparteien verkauft, darunter Werbeunternehmen und Analysefirmen.
Wie in der Beschwerde behauptet, schloss Jumpshot beispielsweise einen Vertrag mit einem einem Werbekonglomerat namens Omnicom. Der Vertrag sah vor, dass Omnicom einen „All Clicks Feed“ für 50 % der Avast-Kunden in den Vereinigten Staaten, dem Vereinigten Königreich, Mexiko, Australien, Kanada und Deutschland zur Verfügung gestellt bekommt. Gemäß dem Vertrag war es Omnicom gestattet, die Nutzerdaten mit den Datenquellen von Datenmaklern auf der Basis einzelner Nutzer in Verbindung zu bringen.
Weiterverkauf von Browserdaten untersagt
Neben der Geldstrafe in Höhe von 16,5 Millionen Dollar, die zur Entschädigung der Verbraucher verwendet werden soll, wurden weitere Vorgaben bestimmt. Avast ist es fortan untersagt, Browsing-Daten der Kunden zu Werbezwecken an dritte Parteien zu verkaufen oder zu lizenzieren. Sollte das Unternehmen dies dennoch anstreben, muss zuvor eine eindrückliche Zustimmung des jeweiligen Nutzers eingeholt werden.
Avast ist außerdem dazu verpflichtet, alle Kunden über die Maßnahmen und Bestimmungen der FTC zu informieren. Darüber hinaus wurde angeordnet, dass Avast ein Datenschutzprogramm im Unternehmen implementieren muss, das sich mit dem Fehlverhalten befassen soll. Abschließend ist Jumpshot dazu verpflichtet, alle von Avast übertragenen Daten, Erkenntnisse und Algorithmen zu löschen.