Mängel bei Daten­schutz und AGB: Was ist da los?

Was es bedeutet, wenn wir eine App als „kritisch“ einstufen oder dem Klein­gedruckten „sehr deutliche Mängel“ attestieren, zeigen einige Beispiele aus den Tests der Cloud-Dienste und Netz­werk­fest­platten (NAS).

Daten­sende­verhalten. Der Cloud-Anbieter Sugar­sync verschlüsselt die E-Mail-Adresse des Nutzers beim Login nicht. Fängt ein Hacker sie ab und knackt er zudem das Pass­wort, kann er die Daten aus der Cloud stehlen. Die Android-App des NAS-Herstel­lers Western Digital teilt einer anderen Firma den Stand­ort des Nutzers und eine eindeutige Geräte-ID seines Handys mit. Das ist für die Funk­tion der App nicht notwendig. In manchen Fällen können wir das Daten­sende­verhalten nicht bewerten, weil die Apps zu stark verschlüsselt sind. Das ist schade für uns als Tester, für Verbraucher aber eine gute Nach­richt: Der Schutz ist schwer zu knacken.

Daten­schutz­erklärungen. Die Cloud-Betreiber Mega und pCloud stellen nur eng­lische Texte bereit – genauso wie NAS-Anbieter Buffalo. Dropbox informiert zwar auf Deutsch, schreibt aber, im Zweifels­fall gelte die eng­lische Fassung. Firmen können aber nicht von ihren Nutzern verlangen, tech­nisch und juristisch komplexe Texte in einer Fremd­sprache zu lesen. Die Erklärungen von Google und Microsoft sind jeweils mehr als 30 Seiten lang, oft schwammig formuliert und sie enthalten Verweise auf anderswo zu findende Zusatz­informationen. Damit verfehlen sie die von der Daten­schutz-Grund­ver­ordnung geforderte Trans­parenz. Google will auch Daten von Dritten erfassen – ohne deren Einwilligung. Der Konzern informiert oft nur sehr vage, welche Daten er zu welchen Zwecken erhebt. Apple nennt einige Fälle, in denen das Unternehmen Nutzer­daten an andere Firmen weitergibt, erwähnt aber das Wider­spruchs­recht nicht.

Nutzungs­bedingungen und allgemeine Geschäfts­bedingungen. Die Texte von Apple kollidieren häufig mit deutschem und europäischem Recht: Viele Klauseln scheinen auf amerikanischen Maßstäben zu basieren, an hiesige Vorschriften wurden sie nicht ausreichend angepasst. Andere Probleme treten in den Texten von Google und Amazon auf: Sollte Google seine Cloud jemals einstellen, will der Konzern Kunden vorab informieren – allerdings nur „sofern vernünftiger­weise möglich“. Noch einen Schritt weiter geht Amazon. Das Unternehmen erklärt, es könne seine „Services oder einen Teil davon jeder­zeit ändern, zeitweilig einstellen oder ganz einstellen.“ In welcher Form und mit welcher Frist Nutzer darüber informiert werden, lässt Amazon jedoch offen. Im schlimmsten Fall würde eine Kundin oder ein Kunde den Hinweis verpassen und durch die Abschaltung des Dienstes den Zugriff auf alle Daten verlieren.