Die Hamburger Datenschutzbehörde hat heute bekannt gegeben, dass sie eine Anordnung gegen Google Inc. erlassen hat. Durch diese Anordnung wird Google verpflichtet, Nutzerdaten aus unterschiedlichen Diensten nur „unter Beachtung der gesetzlichen Vorgaben zu erheben und zu kombinieren“. Google werde dazu verpflichtet, Maßnahmen zu ergreifen, um den Nutzer „künftig selbst über die Verwendung der eigenen Daten zur Profilerstellung entscheiden“ lassen zu können („Wesentliche Änderungen bei der Datenverarbeitung von Google notwendig – Datenschutzaufsicht erlässt Anordnung“, Pressemitteilung des HmbBfDI v. 30.9.2014).
Ansatz des HmbBfDI
Vom Android-Telefon über GMail zu Google+ und zur Google-Suche: Google verarbeitet große Datenmengen und führt diese Daten zusammen. Durch die Auswertung von GMail-Nachrichten soll die Google-Suche verbessert werden. Mit Hilfe von Standortdaten, die bei der Nutzung des Smartphones anfallen, wird Google Maps optimiert. Und natürlich geht es auch stets darum, Werbung „maßzuschneidern“.
Die Hamburger Datenschutzbehörde meint, dass sich Google nicht an die Verpflichtung hält, vom Nutzer eine Einwilligung zu verlangen, bevor Daten aus verschiedenen Diensten zusammengeführt werden:
„Die Bildung … diensteübergreifender Profile behält sich Google durch die seit März 2012 geltenden Privatsphärebestimmungen ausdrücklich vor. Da für eine derartig massive Profilbildung unter Zusammenführung aller Daten weder im nationalen noch im europäischen Recht eine Rechtsgrundlage existiert, ist dies nur dann zulässig, wenn der Nutzer ausdrücklich und informiert in eine derartige Verarbeitung seiner Daten eingewilligt hat oder – soweit dies gesetzlich vorgesehen ist – er dagegen widersprechen kann.“
(„Wesentliche Änderungen bei der Datenverarbeitung von Google notwendig – Datenschutzaufsicht erlässt Anordnung“, Pressemitteilung des HmbBfDI v. 30.9.2014, (4. Absatz))
§ 15 Abs. 3 TMG lässt für eine Profilbildung ein Widerspruchsrecht des Nutzers genügen, sodass es keiner vorherigen Einwilligung bedarf. Die Hamburger Beamten sind jedoch der Auffassung, dass Google die Anforderungen des § 15 Abs. 3 TMG nicht erfüllt. Zudem vertritt man in Hamburg offenkundig die Auffassung, dass Google in seinen Datenschutzbestimmungen nicht ausreichend über die Zusammenführung von Daten aufklärt.
Ansatz von Google
Liest man die Google-Datenschutzerklärung (Google Datenschutzerklärung, Stand 31.3.2014), so muss man anerkennen, dass Google sich zugleich um Verständlichkeit und um Kürze bemüht. Wie schwer es ist, es bei der Formulierung einer Datenschutzerklärung sowohl Behörden als auch Nutzern recht zu machen, hat niemand besser beschrieben als der Google-Datenschutzbeauftragte Peter Fleischer in einem Beitrag mit dem schönen Titel „Why Johnny can’t read a privacy policy“, Peter Fleischer: Privacy … ? Blog v. 27.3.2013.
Zwei Prognosen:
- für das Verfahren
Eine Prognose sei gewagt: Das Hamburger Verfahren wird dazu führen, dass Google seine Datenschutzerklärung ändert und zudem möglicherweise auch Modifikationen vornimmt, die – per Klickfeld oder auf andere Weise – dem Nutzer auf einfache Weise den Widerspruch gegen bestimmte Formen der Datenverarbeitung ermöglichen. Dies wird dann von vielen gefeiert werden als Erfolg bei der Durchsetzung des Selbstbestimmungsrechts der Google-Nutzer.
- für die Persönlichkeitsrechte der Nutzer
Aber ist den Persönlichkeitsrechten der Nutzer wirklich geholfen durch die „Einwilligung per Mausklick“ oder den „One-Click-Widerspruch“? Ich meine nein.
Oder ganz im Gegenteil:  Wir brauchen Regeln, die festlegen, in welcher Weise Google – und alle andere Big-Data-Unternehmen – Daten auswerten dürfen. Derartige Regeln gibt es derzeit weder in Deutschland noch in Europa, noch sind solche Regeln im Zuge der EU-Datenschutzreform geplant. Statt dessen setzt man auf die Einwilligung und das Kleingedruckte (das allenfalls Juristen lesen). Und überlässt es damit letztlich dem Nutzer und Verbraucher, die eigene Privatsphäre bei der Nutzung von Internetdiensten zu schützen.
