Googles neue Regeln verletzen Datenschutzgesetze

Googles neue Regeln verletzen Datenschutzgesetze

Die aktualisierten Nutzungsbedingungen des Internetriesen Google sind zu vage und erlauben zu viele Verknüpfungen. Europäisches und österreichisches Recht wird verletzt, politische Kritik und Klagen sind die Folge.

Mit 1. März 2012 hat der Internetriese Google eine überarbeitete Datenschutzerklärung sowie neue Nutzungsbedingungen in Kraft gesetzt, die für heftige Kritik sorgen. Die neuen Bestimmungen gelten für sämtliche Angebote des Unternehmens, auch für bereits gespeicherte Daten.
Das Google-Imperium umfasst neben Google Mail, Google+ auch die unumgängliche Suchmaschine und YouTube.  Damit ist de facto wohl jeder Internetnutzer von Anderungen betroffen. Laut offizieller Verlautbarung soll ein produktübergreifender Datenaustausch nicht nur größere Nutzerfreundlichkeit bringen, sondern auch zielgerichtete, auf den Nutzer abgestimmte Werbung und Suchergebnisse ermöglichen.

Einseitige Änderung

Die Kritik beginnt bereits bei der einseitigen Vertragsänderung: Zwar wird die Anpassung auf den Google-Portalen veröffentlicht, manche User erhalten darüber hinaus auch eine Verständigungsmail. Doch ist eine einseitige Vertragsänderung durch Schweigen nach österreichischem Recht gegenüber Konsumenten nur unter sehr engen Voraussetzungen wirksam. So muss der Änderungsmechanismus vertraglich vereinbart sein und der Kunde die effektive Möglichkeit haben, zu widersprechen ( § 6 Abs 1 Z 2 KSchG). Diese Kriterien sind nicht erfüllt.
Zudem sieht Google weder einzelne Zustimmungsmöglichkeiten (Opt-in) noch eine Ablehnungsmöglichkeit (Opt-out) für die neuen Bestimmungen vor. Wenn ein Nutzer daher mit den Änderungen nicht einverstanden ist, steht es ihm lediglich frei, keine GoogleDienste mehr in Anspruch zu nehmem, also alle bisherigen Accounts zu löschen. Fraglich ist, was dann mit den alten Daten des Nutzers passiert: Werden diese von Google automatisch gelöscht, oder ist das vom Nutzer selbst zu veranlassen? Bleibt der Nutzer untätig, werden seine Daten dann nach den alten Bestimmungen verwendet oder nach den neuen Regeln?

Licht und Schatten

Die künftig übersichtlichere Gestaltung und zentrale Abrufmöglichkeit der bisher mehr als 60 Bestimmungen sind grundsätzlich positiv zu bewerten. Bei einigen Produkten lässt sich Google allerdings die Möglichkeit eigener oder zusätzlicher Nutzungsbedingungen offen. Das untergräbt die angekündigte Vereinheitlichung.
Kritisch ist weiters, dass die Bedingungen oftmals einen - nach dem Österreichischen Datenschutzgesetz unzulässigen - Interpretationsspielraum offen lassen, werwas mitwelchen Daten machen darf: Dass die Daten von sämtlichen Diensten von Google Inc. und "verbundenen Unternehmen" genützt werden dürfen, widerspricht klar dem strengen Bestimmtheitserfordernis (OGH TOb 170/98w; Friends of Merkur). Auch in den grundsätzlich transparenter und verständlicher gestalteten FAQ streut Google unklare Formulierungen wie "kombinieren wir unter Umständen" oder "verarbeiten wir möglicherweise Informationen über Ihren tatsächlichen Standort" ein.

Das diensteübergreifende Zusammenführen sämtlicher Daten in einer Datenbank wird zwarmit plakativen Beispielen - etwa dass der User ausgehendvonseinem Aufenthaltsort in Kombination mit Kalender und dem aktuellen Verkehrsbericht auf eine drohende Verspätung zu einem eingetragenen Termin hingewiesen werden könne - als vorteilhaft dargestellt. Doch dass sich eine derartige Datenverknüpfung für den Nutzer auch als nachteilig erweisen kann, liegt auf der Hand. Wohl einige Nutzer legen Wert auf mehr  Privatsphäre.

Sicherheitsbedenken

Die Skepsis gegenüber der Datenbündelung ist auch im Lichte der jüngsten Hackingfälle zu sehen. Aber auch die steigende Lust diverser Regierungen und Behörden auf mehr Daten ist nicht zu unterschätzen.
Ein solch kumulierter Datenpool wird unweigerlich auch entsprechende Missbrauchsfälle und Zugriffsbegehren auslösen - oft auch, ohne dass der betroffene Nutzer davon überhaupt Kenntnis erlangt. Diesen Bedenken möchte Google durch erhöhte Sicherheitsvorkehrungen begegnen. Fraglich bleibt, ob diese ausreichend sind.
Privacy Tools wie Dashboard oder Anzeigenvorgaben-Manager und Vertraulichkeitseinstellungen bei Google-Chat bieten zwar die Möglichkeit, die Erhebung und Nutzung bestimmter Daten einzuschränken und geben dem Nutzer einen Uberblick über gespeicherten Daten. Das ist ein Ansatz, die Kontrolle über Art und Umfang der von Google gespeicherten Daten (teilweise) bei den Nutzern zu belassen. Eine Trennung der Dienste (Optierung gegen zentrale Datenerfassung) ist aber nicht möglich. Ein öffentliches Zugänglichmachen, eine Weitergabe an Dritte oder eine Speicherung einer größeren Anzahl von Daten als bisher findet nach Angaben von Google nicht statt. Allerdings soll das Teilen von Inhalten mit  anderen Google-Nutzern schneller und einfacher erfolgen: Darin kann - wenn dies, wie in der Praxis üblich, unüberlegt oder ungewollt erfolgt - ein Risiko liegen.
Die Datenschutzerklärung enthält den Hinweis, dass bei Werbung Cookies oder anonyme Kennungen nicht mit sensiblen Datenkategorien verknüpft werden. Dies indiziert die (sonstige) Verarbeitung sensibler Daten, für die das Österreichische Datenschutzgesetz grundsätzlich die ausdrückliche Zustimmung fordert die mangels Information der User nicht vorliegt.
Nicht alle Anderungen der Datenschutzbestimmungen von Google sind schlecht oder problematisch. So ist die Vereinheitlichung und Vereinfachung ein sehr guter Ansatz. Doch entsprechen die  Bedingungen, wie aufgezeigt, inhaltlich mehrfach nicht den europäischen und insbesondere Österreichischen Datenschutzerfordernissen.

Kritik aus aller Welt

Bereits vor der Implementierung regte sich daher international heftiger Widerstand gegen die geplanten Anderungen. Sogar US-Präsident Barack Obama schaltete sich in die Diskussion mit dem  Entwurf einer Datenschutz-Charta ein. In Europa sprachen sich die Datenschutzbehörden unter Führung der französischen Datenschutzkommission und mit Unterstützung der EU-Justizkommissarin für ein Aussetzen der Umsetzung aus. Dennoch traten die Bedingungen, wie von Google geplant, Anfang des Monats in Kraft. Klagsdrohungen und tatsächlich eingeleitete gerichtliche Schritte sind jetzt die Folge. Es ist daher sehr fraglich, ob sich Google mit dem einseitigen Schaffen von Fakten einen Gefallen getan hat, oder ob der Widerstand am Ende nicht sogar für den Weltkonzern zu groß wird. Selbst wenn vielleicht mangelnde internationale Durchsatzung von lokalen (Daten-) Schutzbestimmungen einen Vollzug möglicher nationaler Sanktionen  verhindert, so kann der globale mediale Aufschrei am Ende des Tages doch zu einem Einlenken führen.
Durch die einseitige Umsetzung hat Google aber bereits die erste Nagelprobe nicht bestanden, sehen die neuen Bedingungen doch - alerdings ohne nähere Spezifizierung - eine Zusammenarbeit mit lokalen Datenschutzbehörden vor.
DR. AXEL ANDERL LLM (IT-Law) ist Leiter des IT /IP Desk bei Dorda Brugger Jordis Rechtsanwälte.
MAG. INES SIEDER LLM (IT-Law) ist auf Datenschutzrecht spezialisierte Senior Associate in seinem Team.