Untersagung von “Datenverschnitt”: Volltext der Verfügung des Hamburgischen Landesdatenschutzbeauftragten “HmbBfDI” gegen Google liegt vor

Bislang relativ unbeachtet von medialer Aufmerksamkeit bahnt sich nach der Kampagne des unabhängigen Landeszentrums für Datenschutz in Schleswig-Holstein (ULD) gegen Facebook so eine Art zweiter Front Deutscher Datenschutzbehörden gegen amerikanische Internetkonzerne an. Die Hamburger Datenschutzbehörde (“Hamburgischer Beauftragter für Datenschutz und Informationsfreiheit”, HmbBfDI) erließ in der Ende September eine Verfügung gegen den Internetkonzern Google, die dem Unternehmen untersagt, die bei der Nutzung unterschiedlicher Google-Dienste anfallenden Nutzerdaten zu Nutzerprofilen zusammenzuführen. Uns liegt nun die Verfügung im Volltext vor.

Gegenstand der Verfügung ist die Tatsache, dass Google die bei der Nutzung seiner Dienste anfallenden Daten verschneidet, und so in die Lage versetzt ist, detaillierte Nutzungs- und Bewegungsprofile der Nutzer zu erstellen. Dies betrifft sowohl die bei Google registrierten Personen (z.B. Gmail-Nutzer und die meisten Besitzer eines Android-Smartphones) als auch Personen, die Google-Dienste (z.B. die Suchmaschine) unangemeldet verwenden. Durch die Vielzahl der quer über die verschiedenen Dienste vorhandenen Nutzerdaten wird des Google ermöglicht, die Gewohnheiten der Nutzer bis in private Details auszuspähen; eine solche Nutzung behält sich Google in seinen Nutzungsbestimmungen ausdrücklich vor. Dort heißt es z.B.:

“Unter Umständen verknüpfen wir personenbezogene Daten aus einem Dienst mit Informationen und personenbezogenen Daten aus anderen Google-Diensten. Dadurch vereinfachen wir Ihnen beispielsweise das Teilen von Inhalten mit Freunden und Bekannten.”
(Link auf Googles Datenschutzbestimmungen, Verlinkungen im Text vom Original übernommen)

Dies verletzt nach Ansicht (nicht nur) des HmbBfDI deutsches Datenschutzrecht, da ein entsprechender Erlaubnissatz nicht existiiert und eine informierte Einwilligung ebenso fehlt wie auch die gesetzlich vorgesehene Möglichkeit zum Widerspruch gegen eine solche Nutzung (§ 13 Abs. 1 TMG).

Demgemäß wird Google in der Verfügung des HmbBfDI vom 26.9.14 nun unter anderem verpflichtet

“a. sicherzustellen, die bei der Nutzung eines Dienstes erhobene Nutzungsdaten (§ 15 Abs. 1 TMG) registrierter Nutzer von den Nutzungsdaten anderer Dienste getrennt zu verarbeiten, es sei denn der jeweilige Nutzer hat eine Einwilligung in die Zusammenführung („Verknüpfung“) der Daten erteilt, und gemäß §§ 13 Abs. 4 Nr. 4 TMG die zur Umsetzung dieser Verpflichtung erforderlichen technischen und organisatorischen Maßnahmen zu ergreifen;

b. sicherzustellen, dass unter Verwendung von Nutzungsdaten (§ 15 Abs. 1 TMG) pseudonyme Nutzungsprofile nicht registrierter Nutzer zum Zweck der Darstellung maßgeschneiderter Inhalte und Werbung, der Reichweitenanalyse, der Weiterentwicklung und Verbesserung der
Qualität der angebotenen Dienste, der Verbesserung der Nutzererfahrung der Nutzer nur dann erstellt werden, soweit und solange der betroffene Nutzer der Verwendung der Daten i.S.d. § 15 Abs. 3 TMG nicht widersprochen hat und die zur Umsetzung dieser Verpflichtung
erforderlichen technischen und organisatorischen Maßnahmen zu ergreifen;

c. sicherzustellen, dass pseudonyme Nutzungsprofile registrierter und nicht registrierter Nutzer nicht mit den Angaben zur Identifikation des Trägers des Pseudonyms zusammengeführt („verknüpft“) werden, § 15 Abs. 3 S. 3 TMG, es sei denn der jeweilige Nutzer hat eine entsprechende Einwilligung zur Zusammenführung („Verknüpfung“) der Daten erteilt, und gemäß §§ 13 Abs. 4 Nr. 6 TMG die zur Umsetzung dieser Verpflichtung erforderlichen technischen und organisatorischen Maßnahmen zu ergreifen;

d. sicherzustellen, dass bei der Nutzung eines Dienstes von registrierten Nutzern erhobene Nutzungsdaten (§ 15 Abs. 1 TMG) nicht mit den Inhaltsdaten dieser Nutzer aus anderen Diensten entgegen §§ 28 Abs. 1 und 2; 4 Abs. 1 BDSG; §§ 15 Abs. 1; 12 Abs. 1 und 2 TMG miteinander verknüpft werden, es sei denn der jeweilige Nutzer hat eine entsprechende Einwilligung in die Zusammenführung („Verknüpfung“) der Daten erteilt, und gemäß §§ 13 Abs. 4 Nr. 4 TMG; § 9 Abs. 1 i.V.m. Nr. 8 Anlage zum BDSG die zur Umsetzung dieser Verpflichtung erforderlichen technischen und organisatorischen Maßnahmen zu ergreifen;”

Der Volltext der Verfügung wurde uns auf Grund des Hamburgischen Transparenzgesetzes zur Verfügung gestellt und ist hier verfügbar.

Es bleibt abzuwarten, wie Google reagiert, mit einem verwaltungsrechtlichen Widerspruch ist wohl zu rechnen. Gut möglich, dass es auch das Hamburgische Verwaltungsgericht demnächst mit der Frage zu tun bekommt, wie weit sich amerikanischer Internetunternehmen hinsichtlich Ihrer Datenverarbeitungspraxis vor Deutschen Richtern rechtfertigen müssen.