Datenschutz: Kritik an Google neuer Datenschutzerklärung

Drei Wörter benutzt Google in seinen Datenschutzbestimmungen auffällig oft: "beispielsweise", "gegebenenfalls" und "möglicherweise". Für die Nutzer ist das ein Problem: Sie können aus dem Text nicht herauslesen, was Google mit gespeicherten Informationen konkret anstellt. Das Dokument ist vage formuliert, die Sätze zum Teil schlicht unverständlich.

Trotz vieler Bedenken hat Google die neuen Regelungen im Frühjahr in Kraft gesetzt. Nun verlangen die europäischen Datenschützer von Google konkrete Veränderungen, bis Anfang 2013 soll der Konzern einlenken.

Was kritisieren die Datenschützer?

In einer neunseitigen Analyse führt die französische Datenschutzaufsicht CNIL die Lücken in Googles Datenschutzerklärung und die aus ihrer Sicht unzulässigen Praktiken an. Die wesentlichen Punkte:

• Die Datenschutzerklärung ist zu vage gehalten: "Google-Nutzer können nicht feststellen, welche Daten bei den Diensten verarbeitet werden, die er nutzt, und zu welchen Zweck sie weiterverwendet werden."
• Die Datenschutzerklärung an sich erlaubt eine sehr weitgehende Verknüpfung von personenbezogenen Informationen aus verschiedenen Quellen. In der Analyse der CNIL heißt es, der Text erlaube es Google, "nahezu alle Daten aus allen Diensten für alle Zwecke zu verwenden". Eine Kostprobe aus der Google-Erklärung: "Google verknüpft Ihre Gerätekennungen oder Telefonnummer gegebenenfalls mit Ihrem Google-Konto" - wann das passiert und zu welchem Zweck Google die Daten mit Profilen zusammenführt, geht aus dem Dokument nicht hervor. Google setzt heute derzeit bei weitem nicht alles um, was der Text erlaubt.
• Google hat zwei umfassende Fragenkataloge der CNIL beantwortet, bleibt den Datenschützern zufolge aber eine wichtige Information schuldig: "Google hat nicht angegeben, wie lange maximal und wie lange in der Regel personenbezogenen Informationen gespeichert werden."

Wie können Google-Nutzer sich selbst schützen?

Einige Datenquellen für Googles Superprofil können Nutzer selbst einschränken. Das Google Web-Protokoll zum Beispiel sollte man deaktivieren, wenn man nicht will, dass Google alle Suchanfragen und alle von den Trefferseiten aus aufgerufenen Websites speichert.

Eine einfache Methode, die Google-Suche ohne Google-Profil zu nutzen, ist die Metasuchmaschine Ixquick. Man bekommt Google-Suchergebnisse ohne Google-Dienste. Der niederländische Betreiber von Ixquick garantiert seinen Nutzern, dass er bei Suchanfragen weder IP-Adressen speichert noch Cookies mit eindeutigen IDs setzt oder ausliest.

Der Hamburger Datenschützer Johannes Caspar rät Nutzern generell, nicht nur einen Anbieter für alle Dienste wie E-Mail, Fotoalben und Web-Suche zu nutzen. Es gibt einige Alternativen, zu Gmail und Google Docs zum Beispiel Zoho, zu Picasa zum Beispiel Flickr oder 500px.

Was fordern die Datenschützer?

Binnen vier Monaten soll Google unter anderem diese Punkte umsetzen:

• Google-Nutzer müssen ausdrücklich der Verarbeitung personenbezogener Informationen aus verschiedenen Quellen zu Zwecken wie Marketing, Werbung und Produktentwicklung zustimmen.
• Nutzer soll an eine Stelle die Möglichkeit zum Opt-Out aus der Verwendung bestimmter Daten haben.
• Google soll weniger Informationen über nicht angemeldete Nutzer sammeln - und diese ausschließlich zu Sicherheitszwecken.
• Wer bei Google mit einem Konto eingeloggt ist, soll entscheiden können, ob er einige Google-Dienste (zum Beispiel die Suche, die Karten oder YouTube) anonymisiert nutzen will, ohne dass Informationen über sein Verhalten in Verbindung mit dem Konto gespeichert werden.

Wie reagiert Google?

Google äußert sich nicht zu der Kritik. Man prüfe den Bericht, teilt das Unternehmen lediglich mit. Und: "Unsere Datenschutzerklärung respektiert dabei das europäische Recht." Die französische Datenschutzaufsicht ist da anderer Ansicht, in dem Bericht heißt es, für die Verknüpfung von personenbezogenen Daten im beschriebenen Ausmaß gebe es "keine rechtliche Basis".

Welche Sanktionsmöglichkeiten haben die Datenschützer?

Sollte Google die Forderungen der Datenschützer nicht umsetzen, müssen die Aufsichtsstellen in den einzelnen EU-Mitgliedsländern selbst über Sanktionen entscheiden und die Verfahren einleiten. Derzeit gibt es keine Regeln für Datenschutz-Sanktionen auf EU-Ebene. Die Verantwortlichen dürften sich dabei wahrscheinlich am Vorgehen der französischen CNIL orientieren.

Die CNIL kann wie auch der deutsche Bundesdatenschützer beispielsweise Bußgelder von bis zu 300.000 Euro erlassen. Allerdings ist es fraglich, ob die Aufsichtsstellen es darauf ankommen lassen. Es ist nicht eindeutig geklärt, welches Recht für Googles Datenverarbeitung gilt. Eine Sprecherin des Bundesdatenschutzbeauftragten Peter Schaar erläutert: "Der Fall ist komplex, es ist nicht klar, ob hier deutsches Recht anwendbar ist. Das müsste letztlich vor Gericht geklärt werden, wir prüfen den Fall."

Die neue EU-Datenschutzrichtlinie würde den Fall vereinfachen - eine Aufsichtsstelle wäre zuständig, und als Sanktionen könnten dem Unternehmen bis zu zwei Prozent des weltweiten Jahresumsatzes drohen. Der deutsche Innenminister bremst solche Verschärfungen auf EU-Ebene.

Was wird aus der Abmahnung durch Verbraucherschützer?

In Berlin läuft am Landgericht bereits ein Verfahren wegen Googles neuer Datenschutzerklärung. Der Verbraucherzentrale Bundesverband (VZBV) hatte im März 23 Klauseln der neuen Datenschutzerklärung abgemahnt, Google gab keine Unterlassungserklärung ab, nun läuft die Klage.

Bislang konnte nicht einmal die Klage zugestellt werden. Angesichts des komplizierten Sachverhalts rechnet die verantwortliche VZBV-Referentin Bianca Skutnik nicht allzu bald mit einem Urteil: "Nächstes Frühjahr wäre zu optimistisch."

Dem Autor auf Facebook folgen