Google muss sich Datenschützern erklären
14 Monate nach Veröffentlichung neuer Datenschutzbestimmungen durch Google hat der Hamburgische Datenschutzbeauftragte Johannes Caspar ein Verwaltungsverfahren gegen das Unternehmen eingeleitet. Google ist damit aufgefordert, sich zu den Vorwürfen der Datenschützer zu äußern. „Ziel ist die datenschutzkonforme Ausgestaltung der derzeitigen Verarbeitungspraxis bei Google“, heißt es dazu in einer Mitteilung der Hamburger Datenschutzbehörde. Damit setzt Caspars Einrichtung um, was die Artikel-29-Datenschutzgruppe der EU bereits seit einigen Monaten beratschlagt. In der Gruppe koordinieren sechs auf EU-Ebene zusammengeschlossene nationale Datenschutzbehörden ihre Aktivitäten und Entschließungen.
Seine Datenschutzbestimmungen aktualisierte Google zuletzt am 24. Juni 2013, das Verfahren bezieht sich aber auf im März 2012 eingeführte, umfangreiche Änderungen. Seinerzeit monierte etwa der Verbraucherzentrale Bundesverband (VZBV), dass bei insgesamt 23 Klauseln der Bestimmungen nicht klar genug zu erkennen sei, wie Google mit den Nutzerdaten umgeht. Unklar bleibe, unter welchen Umständen das Unternehmen „möglicherweise gerätespezifische Informationen und Standortdaten“ erfasse, oder „personenbezogenen Daten aus den verschiedenen Google-Diensten miteinander“ verknüpfe, so die Verbraucherschützer. Eine vom Verband an Google ausgesprochene Abmahnung blieb offenbar weitgehend wirkungslos, die öffentliche Debatte klang wieder ab.
EU-Datenschützer stören sich an „diensteübergreifenden Nutzerprofilen“ und fehlender Speicherdauer-Festlegung
Nach Ansicht der Artikel-29-Gruppe verstoßen Googles Datenschutzbestimmungen „gegen die Verpflichtung des Unternehmens zu umfassender Transparenz bezüglich der Nutzung und des Umgangs mit den Daten der Nutzerinnen und Nutzer“. Als problematisch betrachten die europäischen Datenschützer „die pauschale Ermächtigung zur Erstellung umfassender diensteübergreifender Nutzerprofile und die fehlende Festlegung einer Speicherdauer der Daten.“
Auf Nachfrage von iRights.info erklärt Caspar, dass die Artikel-29-Gruppe im Laufe ihrer europaweiten und „intensiven Beratungen“, kontinuierlich mit Google im Gespräch gewesen sei, insbesondere durch die in der Gruppe federführende französische Behörde CNIL. Zwar habe Google den Dialog angenommen, doch zu konkreten Reaktionen oder Antworten hinsichtlich der monierten Bestimmungen sei es noch nicht gekommen.
Google sieht Datenschutzbestimmungen als EU-Anforderungen entsprechend
Lena Wagner, Pressesprecherin bei Google Deutschland, bestätigt die Aussage Caspars gegenüber iRights.info. Jedoch seien die im März 2012 geänderten Datenschutzbestimmungen auf Drängen der EU-Datenschützer verändert und den Anforderungen gemäß vereinfacht worden. „Damals sollten wir die Bestimmungen für unsere etwa 70 einzelnen Dienste zusammenfassen. Das taten wir – nun hält man uns heute vor, dass die Bestimmungen nicht differenziert genug seien“, meint Wagner.
„Ich gehe davon aus, dass dies für Google ein wichtiges Thema ist, das intern viel Zeit und Überlegungen erfordert“, erklärt Caspar. „Wir reden hier über ein Geschäftsmodell, bei dem es darum geht, möglichst viele Daten zu sammeln.” Skepsis herrsche insbesondere gegenüber der Möglichkeit, dass Google die aus seinen unterschiedlichen Diensten gesammelten Daten zu weitgehend verknüpfe, etwa um „Mega-Profile” (Caspar) zu erstellen.
Google wiederum sieht in den Verknüpfungen die Option, Dienste neuer Qualität zu erstellen, so Lena Wagner. Der Assistenzdienst Google Now beispielsweise verbinde standortbezogene Nutzerdaten mit aktuellen Staumeldungen, um in Echtzeit alternative Routenvorschläge bieten zu können.
Stellungnahme muss bis Mitte August vorliegen
So gingen Anfragen und Antworten zwischen Google und Datenschützern über Monate quasi ergebnislos hin und her. Dass es nun zu diesem Verfahren kommt, habe die Arbeitsgruppe zeitnah an Google weitergegeben, so Caspar. Das Unternehmen hat nun die Möglichkeit, bis Mitte August auf die Anhörung zu reagieren, und wird laut Wagner rechtzeitig eine Stellungnahme abgeben. Einen Konsens hält sie für möglich, will aber, genau wie Hamburgs Datenschützer Caspar, nichts zu den konkreten Fragen sagen.
In Abhängigkeit vom Ergebnis der Anhörung entscheidet der Hamburger Datenschützer über den Fortgang des Verfahrens. Möglich wäre es, eine Anordnung zu erlassen, die Google zur entsprechenden Umstellung der Verarbeitungspraxis verpflichtete. Das wäre weder für Google das erste Mal noch für andere IT-Unternehmen. „Wir nehmen das sehr ernst“, sagt Lena Wagner. Im Licht der jüngsten Enthüllungen rund um PRISM und die Rolle von Facebook, Apple oder Google darin sei die Aufmerksamkeit der Datenschützer noch größer geworden, so Caspar.
