Brave zeigt Google wegen Verletzung der DSGVO an

Brave hat eine formelle DSGVO-Beschwerde bei der irischen Datenschutzkommission Data Protection Commission (DPC) gegen Google eingereicht. Der Browserhersteller wirft dem Internet-Riesen vor, gegen Artikel 5(1)b der Datenschutzgrundverordnung (DSGVO) verstoßen zu haben. Darin ist das Prinzip der „Zweckbindung“ bei der Datenerhebung festgelegt.

Der Grundsatz der Zweckbeschränkung der DSGVO verlangt von den Organisationen, dass sie persönliche Daten nur für einen engen Zweck sammeln und verarbeiten, der gegenüber den Verbrauchern ausdrücklich angegeben werden muss.

Braves Anwalt Johnny Ryan bezeichnete die Datenschutzbestimmungen von Google als „hoffnungslos vage und unspezifisch“ und sagte, dass Googles Gründe für die Datenerhebung und einschränkende Details über die Verwendung der Informationen, wie die „Entwicklung neuer Dienste“, Beispiele für schlechte Praktiken seien, die die DSGVO nicht abdecke.

Ryan behauptet auch, dass Google zwar personalisierte Anzeigen für Nutzer auf der Grundlage ihrer Interessen bereitstellt, aber nur über begrenzte Informationen über die Zwecke der Verarbeitung und die Gründe für die Anzeige einer bestimmten Anzeige verfügt.

„Aus der Richtlinie geht nicht hervor, welche Aktivität, welches Produkt oder welche Interaktion von welchem Zweck abgedeckt wird. Es ist daher schwierig (wenn nicht gar unmöglich) zu entschlüsseln, ob und wann ein bestimmter Zweck zutrifft, zum Beispiel bei Daten, die im Zusammenhang mit Youtube, autorisierten Käufern oder Maps usw. gesammelt oder verarbeitet werden“, sagte Ryan in der Beschwerde.

Die Beschwerde umfasst auch eine Studie mit dem Titel Inside the Black Box [PDF], in der die Verarbeitungszwecke von Google für die Sammlung persönlicher Daten aus Integrationen in Websites, Anwendungen und Betriebssystemen aufgeführt sind. Die Verarbeitungszwecke reichen von der Buchhaltung über Werbung bis hin zu Transaktionen.

Unter Bezugnahme auf die Studie behauptet Ryan, dass Googles Zwecke für die Datenerfassung „so vage definiert sind, dass sie keine Bedeutung oder Begrenzung haben … das Ergebnis sind interne Daten, die frei für alle sind und gegen den Grundsatz der Zweckbindung des DSGVO verstoßen“.

„Allein der Besitz von persönlichen Daten aller Personen bedeutet nicht, dass Google diese Daten in seinem gesamten Unternehmen für beliebige Zwecke verwenden darf. Vielmehr muss es für jeden spezifischen Zweck eine rechtliche Grundlage suchen und diese transparent machen“, sagte Ryan.

„Aber die neuen Erkenntnisse von Brave zeigen, dass Google unsere persönlichen Daten zwischen seinen Unternehmen und Produkten auf verwirrende Weise wiederverwendet, die gegen den Grundsatz der Zweckbindung verstößt. Damit verstößt Googles interne Datenverwendung gegen die DSGVO“.

Als Teil der Beschwerde verlangt Brave von Google eine vollständige und ausreichend spezifische Liste der Zwecke, für die Google personenbezogene Daten verarbeitet, sowie der entsprechenden Rechtsgrundlagen. Google habe sich angeblich wiederholt geweigert, Brave eine substanzielle Erklärung seiner Verarbeitungszwecke mitzuteilen.

Die irischen Datenschützer führen bereits eine Untersuchung darüber durch, wie Google Standortdaten verarbeitet und verwaltet. Anlass sind mehrere Beschwerden aus EU-Mitgliedstaaten über Googles Umgang mit Standortdaten. Die irischen Behörden, die die oberste Aufsichtsinstanz für Google in der EU sind, teilten mit, dass sich die Untersuchung auf „die Rechtmäßigkeit von Googles Verarbeitung von Standortdaten und die Transparenz bei dieser Verarbeitung bezieht.