Jusletter IT

Die gesetzliche Vorgabe, wonach personenbezogene Daten nur dann erhoben, verarbeitet und genutzt werden dürfen, wenn sich der Verwender auf einen Erlaubnistatbestand berufen kann, wird als prägender Grundsatz im Datenschutzrecht angesehen.¹ Als Erlaubnistatbestand im datenschutzrechtlichen Sinne kommt zunächst die Einwilligung des Betroffenen in Betracht, darüber hinaus aber auch jede Rechtsnorm, aus der sich die Zulässigkeit der Datenverarbeitung im konkreten Umfang ergibt.² Hat der Betroffene nicht in die Datenverarbeitung eingewilligt und kann sich der Verwender auch auf keine gesetzliche Ermächtigungsgrundlage berufen, verstößt eine gleichwohl vorgenommene Erhebung, Verarbeitung oder Nutzung personenbezogener Daten gegen das Datenschutzrecht. Durch diese restriktive Regelung soll der besonderen Schutzbedürftigkeit personenbezogener Daten Rechnung getragen werden. Sobald personenbezogene Daten erst einmal in die Öffentlichkeit gelangt sind, ist es für den Betroffenen praktisch nicht mehr möglich, die Weiterverbreitung der entsprechenden Informationen zu verhindern, was am Beispiel zahlreicher Dienste von Google verdeutlicht werden kann.

Google bietet eine Vielzahl von Diensten an, die in unterschiedlichem Umfang eine Verbindung zu personenbezogenen Daten aufweisen oder herstellen. Ursprünglich als reine Suchmaschine für Internetseiten gestartet, hat das amerikanische Unternehmen das eigene Leistungsspektrum beständig ausgeweitet. Fast alle Dienste stehen den Nutzern kostenfrei zur Verfügung und erfreuen sich so großer Beliebtheit. Der «Preis» für die kostenlose Nutzung der Dienste ist allerdings oftmals ein Verlust an Privatsphäre – was den Internetnutzern vielfach nicht einmal bewusst ist.

Google zehrt immer noch von seinem in den ersten Jahren erfolgreich aufgebauten Image als Unternehmen, das im Interesse der Internetnutzer hilfreiche Dienste entwickelt und diese quasi zum Wohle der Allgemeinheit zur Verfügung stellt. Aus dieser Zeit stammt auch das Motto «Don’t be evil». Die öffentliche Wahrnehmung wird jedoch zunehmend kritischer und es wird immer häufiger von der «Datenkrake» Google gesprochen.³ Einer der größten Kritikpunkte ist die «Sammelwut» von Google. Nach Darstellung von Google ist es dagegen notwendig, eine Vielzahl von verfügbaren Daten zu speichern und diese anschließend auszuwerten, um die eigene Dienste zu verbessern und weiterzuentwickeln.⁴

Die klassische Textsuche scheint auf den ersten Blick unter datenschutzrechtlichen Gesichtspunkten noch unproblematisch zu sein. Der Internetnutzer, der nach einem bestimmten Begriff sucht, gibt vermeintlich keine eigenen personenbezogenen Daten preis. Insofern mag es noch akzeptabel sein, dass sämtliche Suchanfragen aufgezeichnet werden. Die Archivierung beschränkt sich dabei aber nicht auf das gesuchte Stichwort selbst, sondern umfasst unter anderem auch die IP-Adresse und eine Cookie-ID.⁵

Die Speicherung und Auswertung derartiger Logdateien ist keineswegs unüblich und erfolgt auch durch viele andere Unternehmen. Anhand der IP-Adresse und mit Hilfe von Cookies kann beispielsweise für statistische Zwecke ermittelt werden, wie oft einzelne Nutzer eine bestimmte Internetseite aufrufen und wie intensiv die Angebote auf der entsprechenden Internetseite genutzt werden. Im Vergleich zu anderen Unternehmen, die ähnliche Daten speichern, gibt es jedoch bei Google einen quantitativen Unterschied. Aufgrund der Vielzahl von Seitenzugriffen und der großen Reichweite der eigenen Internetseiten hat Google Zugriff auf ganz andere Datenmengen.

Ursprünglich wurden IP-Adressen unbeschränkt gespeichert, mittlerweile ist die Speicherdauer nach deutlicher Kritik der Artikel 29-Datenschutzgruppe auf neun Monate verkürzt worden.⁶ Selbst nach Ablauf dieser Zeit werden die Daten nicht insgesamt gelöscht, sondern nur anonymisiert. Auf diese Weise ist es Google möglich, langfristig Nutzerprofile zu erstellen. Google hat weltweit einen Marktanteil von mehr als 50 % und in Deutschland sogar von nahezu 90 %.⁷ Damit kennt Google zumindest das Suchverhalten und die Interessen der Mehrheit aller Internetnutzer.

Google kennt zunächst nur die IP-Adresse oder Cookie-ID der jeweiligen Nutzer, nicht aber deren Namen. Das Vorliegen eines Personenbezugs und die Anwendbarkeit des Datenschutzrechts könnten vor diesem Hintergrund fraglich sein. Es ist aber nicht ausgeschlossen, dass Google anhand der erfassten Informationen auch die Person des Internetnutzers bestimmen kann. Solange Internetnutzer dynamische IP-Adressen verwenden, die ihnen von den Internetserviceprovidern aus einem Pool an IP-Adressen zugewiesen, ist es eigentlich nur für den eigenen Provider möglich, zu der IP-Adresse einen Personenbezug herzustellen. Die herrschende Meinung geht davon aus, dass dies nicht ausreicht um eine IP-Adresse generell als personenbezogenes Datum anzusehen. Während es nach der abstrakten Theorie ausreichen soll, dass irgendjemand die Daten einer konkreten Person zuordnen kann, kommt es nach der relativen Theorie der herrschenden Meinung darauf an, ob derjenige, der Zugriff auf die Daten hat, einen Personenbezug herstellen kann.⁸

Im Zusammenhang mit der Archivierung von IP-Adressen durch Google ist es von Bedeutung, dass Google nicht nur Zugriff auf die Suchanfragen hat, sondern zugleich auch auf weitere Informationsquellen zurückgreifen kann. So ist für die Nutzung zahlreicher Dienste von Google eine Anmeldung erforderlich. Im Rahmen der Registrierung werden dabei personenbezogene Daten erfasst, die eine eindeutige Identifizierung des Nutzers ermöglichen. Google muss in diesen Fällen nur die verschiedenen Informationsquellen zusammenführen um einen Personenbezug herstellen zu können.

Denkbar ist ein Rückschluss auf die Person des Internetnutzers unter anderem, wenn dieser iGoogle nutzt, um eine personalisierte Startseite zu erstellen. Gleiches gilt für die Nutzung von Google Mail, aber auch etwa von YouTube, das mittlerweile ebenfalls zu Google gehört. Wenn vor diesem Hintergrund die von Google gespeicherten Daten solche mit Personenbezug sind, stellt sich die Frage, auf welcher Grundlage eine Speicherung durch Google erfolgt. Es gilt dann eigentlich der Grundsatz des Verbots mit Erlaubnisvorbehalt.

Die einschlägigen gesetzlichen Regelungen, in Deutschland beispielsweise das Telemediengesetz (TMG) gestatten typischerweise die Speicherung personenbezogener Daten soweit dies für die Vertragserfüllung bzw. Erbringung der Dienstleistungen erforderlich ist. Danach darf Google die Stammdaten der angemeldeten Nutzer erfassen, jedoch ist eine Notwendigkeit zur Zuordnung der einzelnen Suchanfragen und anderer Aktivitäten zu einem Nutzer nicht erkennbar. Es kommt dabei im Übrigen nicht darauf an, ob Google tatsächlich entsprechende Verknüpfungen aller vorhandenen Daten vornimmt, sondern auf die bloße Möglichkeit. Scheidet eine besondere gesetzliche Ermächtigungsgrundlage aus, kommt immer noch eine Einwilligung des Nutzers in Betracht.

Eine wirksame Einwilligung setzt eine ausreichende Information des Betroffenen voraus, auf deren Grundlage sich dieser freiwillig dazu entschließt, der Erhebung, Verarbeitung und Nutzung seiner personenbezogenen Daten zuzustimmen.⁹ Zwar stellt Google in seinem Datenschutz-Center umfassende Informationen zum Thema Datenschutz auf den eigenen Internetseiten zur Verfügung, eine Einwilligung im eigentlichen Sinne wird jedoch nicht eingeholt.¹⁰ Vielmehr unterrichtet Google nur über die Speicherung der Daten ohne dass der Nutzer eine Alternative oder auch nur eine Widerspruchsmöglichkeit hat.

Zugegebenermaßen ist es praxisfern, vor jeder Nutzung der Suchmaschine oder auch nur vor deren erstmaligen Verwendung eine explizite Einwilligung des Nutzers zur Protokollierung der Suchergebnisse einzuholen. Google muss sich jedoch die Frage gefallen lassen, warum derartige Daten überhaupt mit Personenbezug erfasst werden müssen. Neben dem Grundsatz des Verbotes mit Erlaubnisvorbehalt ist ein weiterer zentraler Pfeiler im Datenschutzrecht schließlich auch das Prinzip der Datenvermeidung und Datensparsamkeit. Der deutsche Gesetzgeber hat etwa in diesem Zusammenhang ausdrücklich festgeschrieben, dass insbesondere von den Möglichkeiten der Anonymisierung und Pseudonymisierung Gebrauch zu machen ist.¹¹

Vor diesem Hintergrund erscheint die Aussage von Google, die eigenen Datenschutzrichtlinien seien so ausgelegt, dass sie die Datenschutzgesetze in allen Ländern einhalten, in denen Google tätig ist, wohl etwas zu hoch gegriffen.¹² Es spricht vieles dafür, dass die Logdateien personenbezogene Daten enthalten, die ohne ausreichende Ermächtigungsgrundlage gespeichert und ausgewertet werden.

Unter datenschutzrechtlichen Aspekten problematisch sind vor allem auch die Dienste, bei denen Google nicht nur Informationen zusammenträgt, die ohnehin über das Internet zugänglich sind, sondern eigene Information erfasst, aufbereitet und bereitstellt. Dies trifft sowohl auf die Luftbildaufnahmen zu, die über Google Maps abrufbar sind, als auch auf die Aufnahmen aus der Straßenperspektive, die mittlerweile als Google Street View für viele Städte online verfügbar sind.¹³ Schon bei Google Maps ist die Auflösung dabei so gut, dass einzelne Autos und Personen erkennbar sind, ohne dass allerdings eine Identifikation der Fahrzeugen oder von einzelnen Menschen möglich wäre.

Bei Google Street View ist die Auflösung noch höher, da Google die Straßenzüge abfährt und dabei aus der Wagenperspektive Aufnahmen anfertigt. Die entsprechenden Fotoaufnahmen liegen für zahlreiche europäische Städte bereits vor, sind aber noch nicht freigeschaltet. Für Österreich hat Google angekündigt, in diesem Jahr die entsprechenden Daten zur Verfügung zu stellen. Vor der Veröffentlichung werden die Bilddaten automatisch bearbeitet, so dass beispielsweise Gesichter und Fahrzeugkennzeichen unkenntlich gemacht werden. Es bleibt die Frage, ob derartige Maßnahmen ausreichend sind, um das Angebot von Google datenschutzkonform zu gestalten. Neben der automatischen Bearbeitung der Daten bietet Google allen Betroffenen an, gegen einzelne Aufnahmen Widerspruch zu erheben. In diesem Fall sichert Google zu, die entsprechenden Bereiche der Aufnahmen unkenntlich zu machen.

Kein Argument gegen die Zulässigkeit von Google Street View dürfte der Einwand sein, dass aufgrund der ausschließlich automatischen Nachbearbeitung im Einzelfall doch noch Daten mit Personenbezug wie Gesichter oder Kennzeichen erkennbar bleiben. Angesichts der Menge der Daten ist bei realitätsnaher Betrachtung keine andere Form der Bearbeitung möglich. Soweit die Technik so ausgereift ist, dass Fehler weitgehend ausgeschlossen sind, muss dies als ausreichend angesehen werden.¹⁴

Vor allem in der Anfangsphase wurde teilweise dennoch die Auffassung vertreten, dass die flächendeckende Anfertigung von Aufnahmen für Google Street View generell unzulässig sei. Es wurde vor allem kritisiert, dass bereits mit der Aufnahme der Hauseingänge und die Wiedergabe der Außenaufnahmen in das Persönlichkeitsrecht der einzelnen Betroffenen eingegriffen wird. Hier ist aber zu berücksichtigen, dass die entsprechenden Aufnahmen von öffentlichen Straßen aus erfolgen und jeder Interessierte entsprechende Aufnahmen auch selbst anfertigen könnte. Vor diesem Hintergrund sehen zahlreiche Datenschützer die umfassende Verfügbarkeit hochauflösender Satellitenbilder auch kritischer als die Bilder von Google Street View.

Mittlerweile besteht jedenfalls innerhalb der Artikel 29-Gruppe Einigkeit darüber, dass Google Street View wohl als zulässig anzusehen ist, wenn bestimmte Bedingungen eingehalten werden. Hierzu gehört es unter anderem, dass die ursprünglichen Bilddaten nicht erhalten bleiben, sondern umgehend nach der Bearbeitung gelöscht werden und den Betroffenen die Möglichkeit eingeräumt wird, schon vorab Widerspruch gegen bestimmte Bildaufnahmen einzulegen.¹⁵ Dies ist wichtig, damit die Bilder nicht zunächst abrufbar sind und weiter verbreitet werden können bevor der Betroffene dies bemerkt und hiergegen vorgehen kann. Naturgemäß kann sich der Widerspruch dabei aber nur auf die Aufnahme von Grundstücken beziehen und nicht generell auf Aufnahmen, die im Zusammenhang mit einer Person stehen. Derartige Forderungen sind für Google technisch schlicht nicht umsetzbar.

Die Möglichkeit eines Widerspruchs gegen Aufnahmen bei Google Street View ist notwendig, sie stellt aber nur ein Mindestmaß an Schutz im Hinblick auf die Wahrung der Privatsphäre dar. Die Forderung der deutschen Verbraucherschutzministerin Ilse Aigner nach einer Umkehrung des Regel-Ausnahme-Verhältnisses ist konsequent.¹⁶ Es wäre vom Ansatz her richtig, wenn Google nur Aufnahmen von solchen Bereichen anfertigt, bei denen die Betroffenen explizit eingewilligt haben. Dies würde auch dem Grundsatz des Verbotes mit Erlaubnisvorbehalt entsprechen.

Zugegebenermaßen hätte dies in der Praxis zur Folge, dass es eine Vielzahl von weißen Flecken auf der Landkarte von Google gäbe, weil Google deutlich mehr Aufwand betreiben müssten, um die ausdrückliche Zustimmung der Betroffenen zu erhalten.

Auch in zahlreichen anderen Bereichen kehrt Google das Regel-Ausnahme-Verhältnis zu seinen Gunsten um. So werden bei der Bildsuche sämtliche im Internet verfügbaren Bilder zunächst erfasst, solange der jeweilige Seitenbetreiber, von dessen Seite die Bilder stammen, nicht explizit die Indexierung unterbindet. Die Frage der Zulässigkeit der Bildsuche wird zumeist unter urheberrechtlichen Gesichtspunkten diskutiert, aber auch im Urheberrecht stellt sich die Frage, ob der Rechteinhaber explizit in die Vervielfältigung der Bilder eingewilligt hat oder Google sich auf eine andere gesetzliche Ermächtigungsgrundlage berufen kann.¹⁷

Bisher hat sich Google insoweit auf den im amerikanischen Urheberrecht anerkannten Grundsatz des Fair Use zurückgezogen und damit argumentiert, dass keine Bildsuche angeboten werden könnte, wenn von jedem Rechteinhaber zunächst explizit eine Einwilligung eingeholt werden müsse.¹⁸ Diese Argumentation läuft letztlich darauf hinaus, dass Google für sich eine Umkehrung des Regel-Ausnahme-Verhältnisses in Anspruch nimmt, weil ansonsten der entsprechende Dienst nicht angeboten werden könne.

Nicht anders hat sich Google auch beim Einscannen von Bücherbeständen im Rahmen des Projektes Google Books verhalten. Ohne Rücksprache mit den Autoren und Verlagen hat Google bereits im Jahre 2004 begonnen, vor allem die Bibliotheksbestände von Universitäten einzuscannen und digital aufzubereiten.¹⁹ Auch hier wäre zu erwarten gewesen, dass Google sich vorab die notwendige Rechte verschafft, bevor mit dem Einscannen begonnen wird.²⁰ Tatsächlich bietet aber Google nur eine Möglichkeit des Opt-out an. Danach muss der Rechteinhaber aktiv tätig werden, um zu verhindern, dass einzelne oder alle Werke von ihm von Google digital zur Verfügung gestellt werden.²¹

In anderen Bereichen geht Google noch weiter und räumt dem Nutzer nicht einmal das Recht ein, sich gegen bestimmte Arten der Speicherung oder Auswertung von Informationen auszusprechen. Seit einiger Zeit bietet Google zahlreiche webbasierte Dienste an, die in Konkurrenz zu herkömmlicher Standardsoftware treten. Über Google Mail können etwa E-Mails gelesen und beantwortet werden, ohne dass dafür ein eigenes E-Mail-Programm wie Microsoft Outlook notwendig wäre. Mit Google Text & Tabellen bietet Google darüber hinaus eine webbasierte Textverarbeitung und Tabellenkalkulation an. Alle diese Dienste sind nur nutzbar mit einem Google Konto, außerdem müssen die entsprechenden Nutzungsbedingungen von Google für den jeweiligen Dienst akzeptiert werden. Die Nutzungsbedingungen sehen dabei weitreichende Rechte für Google im Hinblick auf die Auswertung von Inhalten vor.

Google lässt sich etwa bei Google Mail das Recht einräumen, den Inhalt der eingehenden Mails auszuwerten, um beispielsweise gezielt passende Werbung zu einzelnen E-Mails einzublenden. Eigentlich wäre die Korrespondenz per E-Mail durch das Fernmeldegeheimnis geschützt, allerdings hat der Betroffene natürlich die Möglichkeit, auf diesen Schutz freiwillig zu verzichten. Angesichts der Tatsache, dass die entsprechenden Erklärungen in den Nutzungsbedingungen integriert sind, stellt sich aber die Frage, ob tatsächlich eine ausreichende Einwilligung in datenschutzrechtlicher Hinsicht vorliegt.

Das Landgericht Hamburg hat in einem von der Verbraucherzentrale Bundesverband angestrengten Verfahren völlig zu Recht weite Teile der Allgemeinen Geschäftsbedingungen von Google für unwirksam erklärt, weil diese gegen geltendes Datenschutzrecht und zwingende Vorschriften des deutschen Verbraucherschutzrechtes verstoßen.²²

Die Richter haben unter anderem bemängelt, dass die Ermächtigungen für Google viel zu weitgehend und nicht deutlich genug begrenzt sind. Sie sind außerdem nicht klar und verständlich formuliert, weswegen sie gegen das Transparenzgebot verstoßen. In datenschutzrechtlicher Hinsicht wird bemängelt, dass Google lediglich darstellt, in welcher Weise personenbezogene Daten gespeichert und verwendet werden, ohne dass eine echte Zustimmung des Betroffenen in Form einer freiwilligen Einwilligung eingeholt wird.

Bei der Nutzung von Google Mail ist darüber hinaus zu beachten, dass der Dienst selbst dann problematisch bleibt, wenn der Betroffene im Einzelfall tatsächlich mit der Art und Weise der Nutzung personenbezogener Daten durch Google einverstanden ist. Bei der Korrespondenz per E-Mail über den Dienst ist nämlich nicht nur der Kontoinhaber schutzbedürftig, sondern auch der Absender eingehender E-Mails, dessen Informationen ausgewertet werden. Es stellt sich mithin die Frage, ob es ausreicht, wenn nur der Inhaber des Accounts mit dem Vorgehen von Google einverstanden ist oder ob nicht auch das Einverständnis des Absenders eingeholt werden müsste.

Ähnlich ist die Situation bei Google Text & Tabellen. Solange nur eigene Daten über diesen Dienst verarbeitet werden, mag die Einwilligung in die Nutzungsbedingungen noch ausreichend sein. Werden aber etwa Daten über oder von Dritten mit Hilfe dieses Dienstes verarbeitet, so stellt sich wieder die Frage, ob nicht auch deren Einwilligung zur Weitergabe der Daten an Google vorliegen müsste.

Wie wenig sich Google von der Kritik im Hinblick auf die Einhaltung der Datenschutzstandards beeindrucken lässt, wird schließlich auch bei zahlreichen neuen Diensten deutlich, die Google in den letzten Monaten vorgestellt hat.

Neueste Idee von Google ist die Einführung einer Kommunikationszentrale unter dem Namen Google Wave. Mit Hilfe der webbasierten Software sollen klassische E-Mails, Internet-Chats und weitere Kommunikationsformen vereinheitlicht werden, wobei besonders die Zusammenarbeit und der Informationsaustausch unter Freunden und Mitarbeitern verbessert werden soll. Bei Google Wave soll der Nutzer entscheiden können, welche Informationen für andere Nutzer sichtbar sind und von diesen bearbeitet werden können. Der Ansatz klingt durchaus vielversprechend, allerdings ist ein Problem bisher weitgehend ausblendet worden: Alle Daten, die bei Google Wave eingebunden werden, müssen auf Google-Servern hinterlegt sein. Selbstverständlich nimmt auch Google insoweit wieder für sich das Recht in Anspruch, sämtliche Daten für eigene Zwecke auszuwerten. So weiß Google dann endgültig, wie die Internetnutzer untereinander kommunizieren und was sie interessiert.

Das deutsche Bundesamt für die Sicherheit in der Informationstechnik (BSI) hat die Vorstellung von Google Wave zum Anlass genommen, um im eigenen Lagebericht ausdrücklich vor dem Einsatz der Software zu warnen.²³ Sowohl aus IT-sicherheitstechnischen Gründen als auch aus der Sicht des Datenschutzes sei die Nutzung dieser Software nicht zu empfehlen, gleiches gelte im Übrigen auch für die weiteren Google Dienste Google Mail, Google Text & Tabellen sowie Google Calendar.

Trotz aller Kritik an dem Vorgehen von Google im Hinblick auf die Sammlung und Auswertung personenbezogener Daten setzt das amerikanische Unternehmen seine bisherige Strategie fort, datenschutzrechtliche Bedenken zu ignorieren anstatt entsprechende Einwände auszuräumen. Ein rechtliches Vorgehen gegen Google gestaltet sich schwierig, da Google seinen Sitz in den USA hat und sich darauf beruft, in Übereinstimmung mit den dortigen rechtlichen Vorgaben tätig zu werden.²⁴ Auf diese Weise entsteht bisweilen der Eindruck, für Google würden die datenschutzrechtlichen Grundsätze nicht gelten. Weder ist zu erkennen, dass Google sich am Grundsatz der Datenvermeidung und Datensparsamkeit orientiert, noch entspricht das Vorgehen von Google in zahlreichen Fällen dem Grundsatz des Verbotes mit Erlaubnisvorbehalt. Google stellt vor allem den letztgenannten Grundsatz teilweise auf den Kopf, wenn Nutzerdaten erst einmal erhoben und verarbeitet werden, solange der Betroffene hiergegen keinen Widerspruch einlegt.

Auch wenn Google offensichtlich mit rechtlichen Mitteln nur schwer in entsprechende Grenzen verwiesen werden kann, wird sich für den Suchmaschinenanbieter auf absehbare Zeit die Frage stellen, welchen Wert die erfassten Daten an sich für das Unternehmen haben. Google lebt von der Akzeptanz seiner Angebote durch die Internetnutzer, da nur auf diese Weise der riesige Datenbestand aufgebaut werden kann. Wenden sich die Nutzer von Google ab, gerät das gesamte Geschäftsmodell in Frage. Dies zeigt deutlich genug, dass Datenschutz kein Anliegen des Staates ist, um seine Bürger zu schützen, sondern jeder Betroffene selbst für sich in diesem Bereich aktiv werden muss.²⁵

Meyer, Aktuelle Rechtsentwicklungen bei Suchmaschinen im Jahre 2008, K&R 2009, 217.
Ott, Das Internet vergisst nicht – Rechtsschutz für Suchobjekte?, MMR 2009, 158.
Ott, Schutz der Nutzerdaten bei Suchmaschinen, MMR 2009, 448.
Voigt, Datenschutz bei Google, MMR 2009, 377.

Sebastian Meyer, Rechtsanwalt und Datenschutzauditor (TÜV), Lehrbeauftragter an der FH Bielefeld; BRANDI Rechtsanwälte, Adenauerplatz 1, 33602 Bielefeld DE
sebastian.meyer@brandi.net; www.brandi.net