Task Force zu Privatsphäre-Bestimmungen: "Freundliche Empfehlungen hat Google nicht umgesetzt"

LTO: Sie und Ihre Kollegen kritisieren die neuen Privatsphäre-Bestimmungen von Google. Was stört Sie daran?

Caspar: Eigentlich verfolgt Google mit seinen neuen Privatsphäre-Einstellungen ja einen positiven Zweck. Für die Nutzer soll alles einfacher und lesbarer werden. Soweit ist das auch ok. Wir befürchten aber, dass diese radikale Verschlankung der Datenschutzerklärung die Nutzer nicht mehr so informiert, wie sie das sollte. Es bleibt unklar, was Google mit den Daten macht.
Google bedient sich in seiner Datenschutzerklärung, die ja für alle von Google angebotenen  Dienste gilt, häufig sehr unbestimmter Begriffe. Wir haben da mal nachgezählt. In der deutschen Version findet sich etwa zehn Mal das Wort "gegebenenfalls", "möglicherweise" kommt 15 Mal. Das macht es für die Nutzer kaum möglich, zu erkennen, wie Google mit ihren Daten umgeht.

LTO: Neben der Unbestimmtheit der Datenschutzerklärung kritisieren Sie die Verknüpfung von Daten aus verschiedenen Profilen, etwa aus Google+ und Youtube.

Caspar: Das kommt hinzu. Google will die Daten seiner Nutzer für einen sehr weiten Zweck verwenden, nämlich  für die Verbesserung bestehender und die Entwicklung neuer Dienste. Dazu dürfen die Daten aus unterschiedlichen Profilen verknüpft werden, ohne dass man darin einwilligen muss oder eine Möglichkeit hat, das zu verhindern. Da Google über eine schier unglaubliche Breite von Diensten verfügt, könnten dabei Persönlichkeitsprofile erstellt werden.

LTO: Wie könnte der Internetriese seine Datenschutzerklärung an diesem Punkt formulieren, damit Sie einverstanden wären?

Caspar: Die Nutzer müssten in die Verknüpfung ihrer Daten aus verschiedenen Profilen einwilligen können. Wenn man bei der Registrierung bereits weiß, dass Daten verknüpft werden, dann ist das ja auch ok, soweit die Informationen hierzu auch hinlänglich klar erfolgen. Im Moment sehe ich aber nicht, dass einem das klar wird.

"Task Force, weil Google die Empfehlungen bisher nicht umgesetzt hat"

LTO: Sie äußern diese Kritik nicht alleine, sondern gemeinsam mit fünf weiteren EU-Staaten – Frankreich, Großbritannien, den Niederlanden, Italien und Spanien – in einer sogenannten Task Force. Was ist das für eine Gruppe?

Caspar: Zunächst hat die Art. 29-Gruppe, die aus dem europäischen und den nationalen Datenschutzbehörden sowie der Kommission besteht, Frankreich ein Mandat erteilt, sich mit den veränderten Datenschutzbestimmungen von Google zu befassen. Die französische Datenschutzbehörde CNIL hat dann Empfehlungen an Google ausgesprochen, wie die Privatsphäre-Bedingungen nutzerfreundlicher gestaltet werden könnten. Diese Empfehlungen wurden von der Art. 29-Gruppe an Google übermittelt.  Die Reaktion von Google hierauf war jedoch unzureichend, sodass die Task Force ins Leben gerufen wurde. Die Mitglieder werden nun anhand der Rechtsvorschriften der Mitgliedstaaten überprüfen, ob die Verarbeitung der Daten aufgrund der neuen Datenschutzbestimmungen rechtlich zulässig ist oder ob gegebenenfalls aufsichtsrechtliche Schritte erforderlich sind.

LTO: Wieso haben für Deutschland Sie die Federführung übernommen und nicht etwa Ihr Kollege auf Ebene des Bundes, Peter Schaar?

Caspar: Google hat seine deutsche Hauptniederlassung in Hamburg, deshalb sind wir federführend. Der Bundesdatenschutzbeauftragte ist nicht die zuständige Aufsichtsbehörde, weil auch die Länder  das Bundesdatenschutzgesetz vollziehen. Das hat seinen Grund im föderalen System Deutschlands.

"Bußgeld von einer Milliarde Dollar hätte ein ganz anderes Drohpotential"

LTO: Welche Sanktion könnten in Deutschland gegen Google verhängt werden im Vergleich zu Frankreich oder einem anderen Staat, der nicht in der Task Force ist?

Caspar: In Die Aufsichtsbehörden in den Mitgliedstaaten verfügen über gänzlich unterschiedliche Sanktionsmöglichkeiten. Im Regelfall liegt der Bußgeldrahmen in Deutschland bei maximal  300.000 Euro. 

Wenn man sich die Unterschiede ansieht, wird klar, warum es so wichtig ist, in der EU einheitliche Regeln zu schaffen. Diskutiert wird da etwa ein Bußgeld in Höhe von zwei Prozent des Jahresumsatzes. Das klingt vielleicht wenig. Bei  einem Umsatz von 50 Milliarden Dollar  wäre das beispielsweise ein Bußgeld von einer Milliarde Dollar. Das hat natürlich ein ganz anderes Drohpotential. Wir hoffen daher, dass sich dieser Vorschlag durchsetzt.

LTO: Wer wäre denn nach der geplanten Datenschutzverordnung für das Verfahren zuständig?

Caspar: Federführend soll die nationale Datenschutzbehörde tätig werden, in deren Land der Konzern seine Hauptniederlassung hat. Das bedeutet aber, dass sich ein Unternehmen aussuchen könnte, welche nationale Behörde für es zuständig ist. Da wir in Europa ganz unterschiedliche Qualitäten im Vollzug der Datenschutzvorschriften haben, würden die Unternehmen dann natürlich dorthin gehen, wo sie am wenigsten zu befürchten haben. Es gibt durchaus Länder, die den Datenschutz nicht so hoch hängen wie Deutschland. Da die geplanten europäischen Regelungen sehr allgemein gehalten sind, kommt der Konkretisierung durch den Vollzug eine hohe Bedeutung zu.

LTO: Wie könnte dieses Problem gelöst werden?

Caspar: Es ist schon in Ordnung, wenn dem Land die Federführung überlassen wird, in dem das Unternehmen seine europäische Hauptniederlassung hat. Aber für den Fall, dass die dortige Datenschutzbehörde untätig bleibt, sollten die anderen Länder den Fall im Wege eines Eintrittsrechts unter Beteiligung der europäischen Datenschutzkommission aufgreifen können. Betroffen sind ja am Ende alle EU-Bürger, nicht nur die im Land der Hauptniederlassung.

LTO: Vielen Dank für das Gespräch.

Prof. Dr. Johannes Caspar ist Hamburgischer Beauftragter für Datenschutz und Informationsfreiheit.

Das Gespräch führte Claudia Kornmeier.