Google hat seine Datenschutzerklärung seit dem 01.03.2012 geändert. Registrierte Nutzer mussten dieser Erklärung zwingend zustimmen. Im Folgenden eine Analyse der Datenschutzerklärung von Google, was beispielhaft auch anderen Datenschutzerklärungen eine Hilfestellung sein soll. Der Artikel ist auf dem Stand der zum 01.03.2013 gefassten Datenschutzerklärung von Google.
Update: Das Landgericht Berlin (15 O 402/12) erkannte inzwischen, dass einige der Klauseln in der Datenschutzerklärung von Google tatsächlich rechtswidrig sind.
Allgemeines
Es ist an erster Stelle zu sehen, dass die Neufassung der Datenschutzerklärung erheblich verständlicher strukturiert ist. Dabei wird die Datenschutzerklärung nicht mit (grundsätzlich notwendigen) Erklärungen „überfrachtet“; vielmehr gibt es eine Übersichts-Seite zu den typischen Schlüsselwörtern, so dass die Erklärung insgesamt schlank gehalten werden kann. Die Struktur orientiert sich dann an folgendem Muster:
- Welche Informationen wir erheben und aus welchem Grund.
- Wie wir diese Informationen nutzen.
- Welche Wahlmöglichkeiten wir anbieten, auch im Hinblick darauf, wie auf Informationen zugegriffen werden kann und wie diese aktualisiert werden können.
Der neu gewählte Aufbau ist definitiv ein Fortschritt und zu begrüßen. Insgesamt sollte es wünschenswert sein, dass Datenschutzerklärungen nicht einfach nur „herunter geschriebene Texte“ sind, die naturgemäß mit mehr erhobenen Daten umso unübersichtlicher werden. Google geht hier einen wichtigen und richtigen Schritt.
1) Erhobene Informationen
Google stellt klar, dass zum einen die Informationen erhoben werden, die man in seinem Account selber angibt.
Daneben – und das ist der umfangreichere Teil – geht es um die Daten, die bei der Nutzung der Dienste erhoben werden. Schon hier muss die Wortwahl in den Blick fallen („Wir erfassen möglicherweise Informationen“). Durch das „möglicherweise“ wird gerade nicht klar gestellt, was nun erhoben wird. Zwar erfolgt dann eine Auflistung verschiedener Informationen, aber auch hier auf die Wortwahl achten: „Derartige Informationen beinhalten“. Die folgende Auflistung ist also gerade keine abschliessende Liste, sondern letztlich nur eine Auswahl dessen, worauf Google möglicherweise zugreift. Sprich: In diesem Absatz stellt Google klar, was für Google von besonderem Interesse ist – es steht aber keinesfalls fest, was nun wirklich gespeichert wird (und was nicht). Bei den genannten Informationen finden sich dann:
- Gerätebezogene Informationen: Google stellt hier klar, dass die genannten Informationen nur „beispielhaft“ sind. Letztlich behält Google sich vor, auf sämtliche Hardware-Informationen des jeweiligen Geräts (sei es Computer oder Telefon), zuzugreifen. Also gerade wenn man eine Google-Anwendung auf dem PC oder ein Handy mit Android-Betriebssystem einsetzt, ermöglicht diese Klausel theoretisch den Zugriff auf sämtliche Informationen.
- Protokolldaten: Hier wird ein relatives umfassendes Abbild dessen gegeben, was in den Server-Logfiles von Google erfasst wird. Auf den ersten Blick als abschließende Liste, ist es tatsächlich auch mit einer Hintertüre versehen – bei den „Einzelheiten zur Art und Weise der Nutzung“ kommt das Wörtchen „beispielsweise“ vor. Aber auch der Rest der Liste zeigt, dass es nicht um die üblichen Server-Protokolle geht, Google möchte beispielsweise auch Zugriff auf gewählte und eingehende Telefonnummern nehmen; selbst die Dauer der Anrufe soll erfasst werden können. Was sich hier zeigt ist im Kern eine umfassende Vorratsdatenspeicherung – nur dass da eine Begrenzung auf 6 Monate nicht erwähnt wird.
- Unter Standortbezogene Informationen wird klar gestellt, dass Google so bestrebt wie möglich ist, die konkreten Standort-Daten des Nutzers auszulesen, von Sendemasten bis hin zu WLAN-Punkten (wobei Google im Rahmen des Streetview-Programms ja auch erfasst hat, wie private WLAN Punkte an welchen Orten benannt sind).
- Es wird darauf verwiesen, dass Google-Apps Eindeutige Applikationsnummern enthalten können, die individualisierbar sind.
- Dass eine Lokale Speicherung von Daten stattfindet, überrascht nicht – irgendwo müssen ja Daten der Nutzung hinterlegt sein.
- Der Hinweis zu Cookies und anonyme Kennungen ist m.E. nichts besonderes.
Also, was heißt das im Fazit dessen, was gespeichert wird: Google erhebt wohl alles, was irgendwie erhoben werden kann. Und wenn noch nicht, dann behält sich Google vor, es später zu tun. Was genau gerade gespeichert wird, weiß der Anwender auf Grund der Auflistung nicht, da diese nicht abschliessend gefasst ist. Es zeigt sich aber, dass schon die Hinweise von Google ausreichen, um eine umfassende Vorratsdatenspeicherung zu erkennen, die ein vollständiges Lebensprofil ermöglichen kann – weit mehr als die staatliche Vorratsdatenspeicherung, die interessanterweise zu sehr viel mehr Konflikten geführt hat, gerade hierzulande. Als würden Ermittlungsbehörden auf die Daten bei Google keinen Zugriff nehmen (können). Oder als wäre diese Datensammlung besser, nur weil Sie ein monopolartiger Konzern aufstellt.
Das rechtliche Fazit kann auch schon an dieser Stelle gezogen werden: Mit diesen Vorgaben ist eine Einwilligung weder mit deutschen, noch mit europäischem Datenschutzrecht, vereinbar. Grundlage der Einwilligung ist die Informiertheit des Einwilligenden, das heißt, er muss wissen, welche Datenverarbeitung stattfindet – eine pauschale Zustimmung („Macht doch was ihr wollt“) ist nicht möglich. Genau darauf läuft es hier aber hinaus.
2) Wie wir die von uns erhobenen Informationen nutzen
Hier geht es nun ans eingemachte: Nachdem wir nicht wissen welche Daten genutzt werden, aber davon ausgehen dürfen, das alles erhoben wird was auch nur verfügbar ist, kommt nun die Frage was mit den Daten geschieht. Ich gehe – soweit sinnvoll – Schritt für Schritt vor:
Wir nutzen die im Rahmen unserer Dienste erhobenen Informationen zur Bereitstellung, zur Instandhaltung, zum Schutz sowie zur Verbesserung dieser Dienste, zur Entwicklung neuer Dienste und zum Schutz von Google und unseren Nutzern.
Heißt: Die Daten werden intern (ohne Weitergabe an Dritte) für alles genutzt, was irgendwie sinnvoll ist.
Wir nutzen diese Informationen außerdem, um Ihnen maßgeschneiderte Inhalte anzubieten – beispielsweise um Ihnen relevantere Suchergebnisse und Werbung zur Verfügung zu stellen.
Hmm. Also: „Relevantere Suchergebnisse“ kann schon mal alles bedeuten, von Suchergebnissen passend zum aktuellen Standort, bis hin zu Suchergebnissen gewichtet nach persönlichem Surf-Verhalten und Präferenzen der sozialen Kontakte. Google meint das wahrscheinlich alles (und noch mehr). Selbiges dann für die Werbung. Wobei gerade hier interessant wäre, welche Daten verwendet werden sollen: Wenn ich mit Google Wallet im Baumarkt irgendwann mal Holzschrauben kaufe, sehe ich dann bei der nächsten Googlesuche Werbung für Schraubenzieher? Der Satz ist BlaBla, die wirklichen Fragen bleiben gerade offen.
Wir verwenden den von Ihnen für Ihr Google-Profil angegebenen Namen möglicherweise für alle von uns angebotenen Dienste, die ein Google-Konto erfordern.
Gut, die Intention ist klar: Es soll möglich sein, den Accountnamen des Google-Profils in allen Google-Diensten einheitlich zu erzwingen. Aber: Man beachte das Wort „möglicherweise“. Wieder weiss man nicht, was nun wirklich geschieht. Sprich: Bei Google macht man was man will.
Darüber hinaus ersetzen wir möglicherweise Namen, die in der Vergangenheit mit Ihrem Google-Konto verknüpft waren, damit Sie in all unseren Diensten einheitlich geführt werden.
Wieder: Möglicherweise. Ist das eine Datenschutzerklärung oder nicht? Jedenfalls wird klar gesagt: Wer bisher verschiedene Google-Konten genutzt hat, muss sich darauf einstellen, dass das vereinheitlicht wird. Was geschieht mit den Daten aus zwei verschiedenen Konten: Werden die gemischt? geht da was verloren?
Wenn andere Nutzer bereits über Ihre E-Mail-Adresse oder andere Sie identifizierende Daten verfügen, werden wir diesen Nutzern gegebenenfalls die öffentlich zugänglichen Informationen Ihres Google-Profils, wie beispielsweise Ihren Namen und Ihr Foto, anzeigen.
Wieder: BlaBla. „Gegebenenfalls“ wird etwas angezeigt – wenn jemand meine Mail-Adresse hat. Oder andere Daten. Also: Man weiß wieder nichts, kann dunkel erahnen worum es geht, nämlich darum eine Personensuche einzurichten.
Wenn Sie Google kontaktieren, zeichnen wir möglicherweise Ihre Kommunikation auf, um Ihnen bei der Lösung etwaiger bei Ihnen auftretender Probleme behilflich zu sein. Mitteilungen zu Ihrer Nutzung unserer Dienste, einschließlich Mitteilungen zu anstehenden Veränderungen oder Verbesserungen übermitteln wir Ihnen gegebenenfalls unter Verwendung Ihrer E-Mail-Adresse.
Standard-Passus, jedes CRM/Support-System speichert diese Daten auf Kunden-Anfrage. Dennoch schafft es Google nicht einmal hier auf ein „möglicherweise“ zu verzichten.
Mithilfe von Daten, die über Cookies und andere Technologien wie beispielsweise Pixel-Tags erfasst werden, verbessern wir Ihrer Nutzererfahrung und die Qualität unserer Dienste insgesamt. Die Speicherung Ihrer bevorzugten Spracheinstellung ermöglicht es uns beispielsweise, unsere Dienste in der von Ihnen bevorzugten Sprache anzuzeigen.
Soweit OK, nix besonderes.
Wenn wir Ihnen auf Sie zugeschnittene Werbung anzeigen, werden wir Cookies oder eine anonyme Kennung nicht mit sensiblen Kategorien, beispielsweise basierend auf Rasse, Religion, sexuelle Orientierung oder Gesundheit, verknüpfen.
Man beachte die Wortwahl: Google wird die Daten nicht verknüpfen – da steht nicht, dass man es nicht könnte! Letztlich selbstverständlich, trotzdem gut, dass es ausdrücklich zugesagt wird. Wohl aber fällt auf, dass Google eine eigene Vorstellung hat von dem, was besonders bedeutsam ist. Hier nur als Erinnerung, was nach §3 IX BDSG als besonders schützenswert gilt: „Besondere Arten personenbezogener Daten sind Angaben über die rassische und ethnische Herkunft, politische Meinungen, religiöse oder philosophische Überzeugungen, Gewerkschaftszugehörigkeit, Gesundheit oder Sexualleben“. Die politischen Meinungen hat Google schon einmal großzügig ausgesondert – wahrscheinlich ein zu interessantes Merkmal für Werbeanzeigen. So ist beispielsweise erwiesen, dass bestimmte politische Richtungen auch bestimmte Automarken fahren/meiden,ebenso bei Zeitungen/Zeitschriften. Selbst hier ist Google nicht in der Lage, grundlegenden Richtlinien zu folgen (die besonderen Personenbezogenen Daten sind europaweit, dank Richtlinie, harmonisiert).
Unter Umständen verknüpfen wir personenbezogene Daten aus einem Dienst mit Informationen und personenbezogenen Daten aus anderen Google-Diensten. Dadurch vereinfachen wir Ihnen beispielsweise das Teilen von Inhalten mit Freunden und Bekannten.
„Unter Umständen“ werden (irgendwelche) Daten mit (irgendwelchen) Daten verknüpft. Der Leser ist informiert.
Wir werden keine Informationen von DoubleClick-Cookies mit personenbezogenen Daten verknüpfen, es sei denn, wir haben diesbezüglich Ihre ausdrückliche Einwilligung erhalten.
Das ist nett.
Bevor wir Informationen zu anderen als den in dieser Datenschutzerklärung aufgeführten Zwecken nutzen, werden wir Sie um Ihre Einwilligung bitten.
Hui, hier geht Google ein wenig weiter als die gesetzliche Lage: Die sieht eine Einwilligung zwar zwingend vor, aber nicht in den Fällen, in denen eine Datenerhebung gesetzlich zugelassen ist. Letztlich ist das aber auch egal, denn bei so viel „unter Umständen“ und „möglicherweise“ Erhebung von nicht genau bezeichneten Daten bleibt nicht viel, worauf Google nicht ohnehin zugreift.
Google verarbeitet personenbezogene Daten auf unseren Servern, die sich in zahlreichen Ländern auf der ganzen Welt befinden. Daher verarbeiten wir Ihre personenbezogenen Daten gegebenenfalls auf einem Server, der sich außerhalb des Landes befindet, in dem Sie leben.
Nun ist Google natürlich groß und hat überall Server. Dass man ein Staatsgeheimnis aus den Serverstandorten macht mag noch nachvollziehbar sein. Dennoch könnte man hier zumindest eine Länderliste präsentieren oder die Zusage bieten, keine Speicherung in unsicheren Drittstaaten außer den USA/Indien vorzunehmen.
Das Fazit bis hier: Sie wissen nicht, was Google an Daten erhebt. Sie haben eine grobe Vorstellung, die darauf hinaus läuft, dass im Zweifelsfall alles erhoben wird. Der Sinn der Datenschutzerklärung, Klarheit und Informiertheit zu schaffen, wird vor lauter „möglicherweise“ zur reinen Farce. Darüber hinaus ist davon auszugehen, dass sämtliche Daten bei Google mittelfristig zu einem einheitlichen Profil zusammengeführt werden.
3) Transparenz und Wahlmöglichkeit
Jeder hat unterschiedliche Bedenken im Hinblick auf den Datenschutz. Unser Ziel ist, Klarheit darüber zu schaffen, welche Informationen wir erheben, damit Sie sinnvolle Entscheidungen über deren Verwendung treffen können.
Siehe oben: Bedarf keines weiteren Kommentars. Das „Google Dashboard“ ist eine tolel Erfindung – der Sinn der Datenschutzerklärung ist aber nicht, zu sagen: Wir tun was wir wollen, sehen Sie hier rein, um zu sehen, was eventuell von Ihnen gespeichert wurde.
4) Informationen, die Sie anderen mitteilen
Viele unserer Dienste erlauben es Ihnen, Informationen mit anderen zu teilen. Bedenken Sie, wenn Sie Informationen öffentlich mitteilen, dass diese Informationen gegebenenfalls von Suchmaschinen, einschließlich Google, indexiert werden. Unsere Dienste bieten Ihnen verschiedene Möglichkeiten, Ihre Inhalte zu teilen und zu entfernen.
Ist wohl keine Diskussion: Wer Inhalte bei Google teilt ist selbst verantwortlich.
5) Zugriff auf und Aktualisierung Ihrer personenbezogenen Daten
Der Abschnitt ist insgesamt m.E. OK, auch wenn Zusagen wie sinngemäß „wir bieten die Dienste grundsätzliche, aber ohne Garantie, kostenlos an“ vielmehr in Nutzungs-AGB und nicht in eine Datenschutzerklärung gehören. Auch Google verweist übrigens darauf, dass (natürlich nur möglicherweise) Daten die man bei Google entfernt hat, keineswegs sofort verschwinden – vielmehr behält man sich vor, die Daten eine ungewisse Zeit aufzubewahren, auch in Backup-Dateien. Wer Daten an Google gibt, der gibt sie aus der hand – in die Willkür von Google. Das wird auch hier wieder deutlich.
6) Von uns weitergegebene Informationen
Hier geht es dann darum, an wen welche Informationen weitergegeben werden. Es soll der Grundsatz gelten: Niemand außerhalb Google erhält personenbezogene Daten, ohne das ausdrücklich eingewilligt wurde. Ausnahmen:
- Domain-Administratoren bei Google Apps: Nichts besonderes. Wer es nicht kennt: Hier verwaltet ein Admin über Google-Apps Dienste für alle Nutzer der Apps. Eine Art Google-Intranet für Unternehmen.
- Für die Verarbeitung durch andere Stellen liest sich zuerst wie eine pauschale Erlaubnis, betrifft aber den Fall, dass Unternehmen als Sub-Unternehmer für Google tätig sind. Hier geht es um die Auftragsdatenverarbeitung (siehe §11 BDSG).
- Aus rechtlichen Gründen ist wieder so ein Knaller: Wer nur das fett gedruckte liest, wird glauben, dass nur in durch Gesetz vorgesehenen Fällen eine Weitergabe erfolgt. Mitnichten. Google versteht unter „rechtlichen Gründen“, dass nach Überzeugung von Google (Google spricht von „Treu und Glauben“) eine weitergabe rechtlich sinnvoll ist. Dazu gehört einmal, dass ein Gesetz die Weitergabe vorgibt, aber auch die Einhaltung von Nutzungsbedingungen. Und, man lese genau: Wenn die Rechte, das Eigentum oder die Sicherheit von Google oder Dritten betroffen sind. Sprich: Rechtsverletzungen, von urheberrechtlichen Verletzungen bis zu einfachen Beleidigungen, sind ein Grund für Google die Daten die oben umfangreich erhoben wurden, an Dritte weiter zu geben. Während die staatliche Vorratsdatenspeicherung diese Möglichkeit bei einfachen Urheberrechtsverletzungen nicht vorgesehen hat, will Google mit seiner eigenen Vorratsdatenspeicherung hier Abhilfe leisten.
Wir geben möglicherweise zusammengefasste, nicht-personenbezogene Daten an die Öffentlichkeit und unsere Partner – wie beispielsweise Verlage, Werbeunternehmen oder verbundene Webseiten – weiter. Beispielsweise veröffentlichen wir Informationen, um Trends betreffend die allgemeine Nutzung unserer Dienste aufzuzeigen.
Sprich: Man erstellt anonymisierte Statistiken, um damit zu arbeiten – u.a. bei den Werbeanzeigen. Dürfte nicht überraschen.
7) Datensicherheit
Wir bemühen uns intensiv darum, Google und unsere Nutzer vor unbefugtem Zugriff auf oder vor unbefugter Veränderung, Weitergabe oder Zerstörung von Daten zu schützen.
In dem Abschnitt geht es um eine Absichtserklärung, eine gut gemeinte Zusage, auf die Daten aufzupassen. Da die gesammelten Daten das Kapital von Google sind, habe ich hier keine Zweifel.
8) Anwendungsbereich
Unsere Datenschutzerklärung gilt für alle Dienste, die von Google Inc. und den verbundenen Unternehmen angeboten werden, einschließlich Dienste, die auf anderen Webseiten angeboten werden (wie beispielsweise unsere Werbedienste). Diese Datenschutzerklärung gilt nicht für Dienste, für die gesonderte Datenschutzerklärungen gelten, die die vorliegende Datenschutzerklärung nicht einbeziehen.
Rechtlich wohl nicht wild, aber ein netter Satzbau – hier steht am Ende: Diese Datenschutzerklärung gilt überall, nur nicht dort, wo sie nicht gilt.
Unsere Datenschutzerklärung gilt nicht für Dienste, die von anderen Unternehmen oder Personen angeboten werden, einschließlich Produkte oder Webseiten, die Ihnen in Suchergebnissen angezeigt werden, Webseiten, die möglicherweise Google-Dienste beinhalten, oder andere mit unseren Diensten verlinkte Webseiten.
Naja, ist wohl selbstredend: Die Google-Datenschutzerklärung gilt nicht für die Seiten, die man etwa über die Google Suche erreicht.
9) Durchsetzung
Sobald wir formale schriftliche Beschwerden erhalten, werden wir mit der Person, die die Beschwerde eingereicht hat, zum Zwecke der Nachverfolgung der Beschwerde Kontakt aufnehmen.
Gut zu wissen: „Formale schriftliche Beschwerden“ nimmt Google also ernst. Wann aber sind Beschwerden „formal“. Und besteht hier Google wirklich auf „schriftlich“ im Wortsinn, also auf geschriebenen Briefen? Einfacher macht diese Satz die ernsthafte Beschwerde jedenfalls nicht. Vielmehr wird klar: Wer sich beschweren will, muss Regeln einhalten, die nicht einmal klar benannt sind.
10) Änderungen
Unsere Datenschutzerklärung kann sich von Zeit zu Zeit ändern. Wir werden Ihre Rechte nach dieser Datenschutzerklärung nicht ohne Ihre ausdrückliche Einwilligung einschränken.
Wie das aussieht, erfährt man aktuell: Eine Einwilligung ist notwendig, ja. Aber wer nicht einwilligt, hat nicht die Wahl, den Dienst auf Grund der bisherigen Datenschutzregelungen zu nutzen. Die ausdrückliche Einwilligung, eigentlich der Schutzwall des Nutzers, verkommt zur Makulatur.
Fazit
Die Erklärung ist inhaltlich wertlos. Das Wort „möglicherweise“ kommt alleine 14 Mal vor. Es wird weder abschließend erklärt, was gespeichert wird, noch wozu. Rechtlich ist diese Erklärung mit dem Datenschutzrecht nicht zu vereinbaren (so auch richtigerweise wohl das LG Berlin) – der User weiß am Ende auch nicht mehr als vorher. Diese Datenschutzerklärung hat m.E. vielmehr die Funktion, dem Nutzer vor Augen zu führen, dass Google alle Daten speichern kann und was das bildlich bedeuten kann. Was das aber letztlich genau bedeutet, weiß der Nutzer nicht.
Wohl aber weiß der Nutzer, dass Google bestrebt sein wird, alle Daten in einem Account zu personalisieren. Das Ergebnis wird mittelfristig eine äußerst nützliche Google-ID sein, die im Alltag auch genutzt werden kann: Von der Bezahlung im Supermarkt, bis hin zur Suche nach einem Supermarkt, der Schaltung passender Werbeanzeigen für geeignete Produkte und der Erfassung der Fahrtroute zum Supermarkt samt eingehender Anrufe während des Einkaufs erfasst Google irgendwann alles. Die Google-ID, die hier vorbereitet wird, ist dabei weit mehr als ein einfaches Verhaltensprofil nach dem Muster einer Vorratsdatenspeicherung. Die hier aufgezeigte Google-ID ermöglicht nicht einfach nur Rückschlüsse; sie ist ein Backup des Alltags der Betroffenen unter einem einheitlichen Account. Mit der ausdrücklichen Zusage, dass die Daten nicht garantiert gelöscht werden wenn man es will.
Wer etwas anderes erwartet, ist naiv: Google bietet Dienste an, die normalerweise gutes Geld kosten müssten. Die Finanzierung der Google-Infrastruktur bezahlt kein User mit Geld, das muss jedem klar sein. Google hat einen Weg gefunden, Daten zu monetarisieren – und das ist keinesfalls böse. Es ist ein Geschäft, das der Nutzer sehenden Auges eingeht. Er darf nur nicht den Fehler machen, zu glauben, dass er ernsthaft und abschließend belehrt wird, was mit welchen Daten am Ende geschieht. Es mag „Datenschutzerklärung“ drüber stehen, eine umfassende „Datenveräußerungserklärung“ ist es. Wer das nicht versteht, sollte von einer personalisierten Nutzung der Google-Dienste, sei es im Web oder mit dem Google-Handy, absehen.
Unsere Kanzlei ist spezialisiert auf Starke Strafverteidigung, seriöses Wirtschaftsstrafrecht, Arbeitsrecht und IT-Recht / Technologierecht. Beachten Sie unsere Tätigkeit im Steuerstrafrecht, digitaler gewerblicher Rechtsschutz, IT-Sicherheitsrecht sowie Softwarerecht.
- Data Act - 19. April 2024
- Rechtliche Besonderheiten bei Software as a Service (SaaS) Verträgen- speziell KIaaS - 19. April 2024
- Unerlaubtes Glücksspiel - 19. April 2024