Google FloC ist genauso einwilligungspflichtig wie Cookies und bringt Datenschutzprobleme mit sich

Kategorien: Datenschutz, Cookies und Tracking

Google FloC dient der Berechnung von Gruppen von Nutzern mit gleichartigen Interessen, um ohne Cookies auszukommen. Der Browser-basierte Ansatz von FloC ist datenschutzrechtlich analog zu Cookies zu beurteilen und bringt insofern keine Verbesserung zum Datenschutz, sondern eher Verschlechterungen.

Einleitung

Google FloC wurde eingeführt, um Cookies abzulösen. Das trifft zwar nicht wirklich zu, ist aber die Grundidee. Mit FloC soll beispielsweise der Browser des Nutzers den Nutzer auf seinem eigenen System ausforschen. Dann werden von einem Algorithmus viele gleichartige Nutzer in einer Gruppe zusammengefasst. Eine solche Gruppe wird Kohorte genannt.

In einer Kohorte könnten beispielsweise weibliche Fahrradfahrer mit Vorliebe für Wintersport gruppiert sein. Eine Kohorte soll so viele Personen umfassen, dass eine ausreichende Pseudonymisierung gegeben ist. Hierbei wird auch von k-Anonymität gesprochen. Das k steht dabei für die Anzahl der Mitglieder einer Gruppe. Für k kann beispielsweise ein Wert von 100 angesetzt werden.

Wer mehr über FloC wissen will, dem empfehle ich meinen Grundlagen-Artikel:

Google möchte Cookies loswerden, um weiter Werbung verkaufen zu können, weil Marketing-Cookies in Deutschland einwilligungspflichtig sind. Dies gilt auch für andere Länder, in denen Art. 5 Abs. 3 der ePrivacy Richtlinie gilt.

Der FloC-Ansatz macht also für den Nutzer nur Sinn, wenn er datenschutzrechtlich besser handhabbar ist als Cookies. Genau das kann aber bezweifelt werden. Die Gründe nenne ich im Einzelnen.

In der ePrivacy-Richtline steht der Begriff Cookie nicht. Vielmehr steht dort sinngemäß:

Die ePrivacy-Richtlinie gilt übrigens für Deutschland, weil der BGH dies im Planet49-Urteil Mitte 2020 entschieden hat.

Bisher gab es nur Cookies, die gemäß der obigen Rechtsvorschrift im Endgerät des Nutzers gespeichert sind. Nun gibt es auch noch die Kohorten-ID.

Eine Kohorten-ID, die im Browser eines Nutzers gespeichert wird, und auf die andere zugreifen können, ist somit auch einwilligungspflichtig. Das ist dasselbe wie Cookies. Es gibt hier keinen Unterschied.

Der Zugriff erfolgt beispielsweise durch Werbetreibende, die über eine Bieterauktion einen Werbeplatz ersteigern können, und insbesondere dann, wenn eine Werbung durch den Auktionsgewinner ausgespielt wird. Hier nützt es wenig, wenn ein sogenanntes opaques Fenster verwendet wird, um Werbung auszuspielen. Ein opaques Fenster soll die personenbezoenen Daten des Nutzers für den Werbetreibenden unzugänglich machen.

Es spielt bei Cookies keine Rolle, ob personenbezogene oder anonyme Daten gespeichert und abgerufen werden. Und es is genauso bei Google FloC und der Kohorten-ID egal, welche Daten verarbeitet werden.

Neue Erkenntnisse zu FloC

Mir jedenfalls sind die folgenden Erkenntnisse neu, die gleich nach den alten Fakten von vor einigen Wochen folgen.

Alte Fakten (einige Wochen alt)

Bisher nahm ich an, Google möchte Nutzer "nur" dazu nötigen, dass diese ihr eigenes Endgerät samt Strom bereitstellen, damit Google den Nutzer auf seinem eigenen Endgerät ausspioniert, damit Google auf seinem eigenen Endgerät Auktionen zwischen Werbetreibenden erlaubt, damit der Gewinner der Auktion den Nutzer auf seinem eigenen Endgerät mit Werbung oder Meinungen beeinflussen darf, damit der Nutzer aufgrund dessen den Gewinn des Auktionsgewinners erhöht, damit Google mehr Umsatz erzielt. Dafür bekommt der Nutzer von Google genau nichts als Dank. Vielmehr verdient Google daran, dass Nutzer sich dem unterwerfen (müssen?).

Aus einer Kohorte kann man die intimsten Interessen der Mitglieder der Kohorte ableiten. Werbetreibende können Kohorten sogar selbst definieren. Im schlimmsten Fall könnte jemand eine Kohorte bilden, der mit Hilfe von Google Drogenabhängige oder Liebhaber fragwürdiger Videos zugeordnet werden. Gelingt es nun, den Bezug einer Kohorte zu einzelnen Personen herzustellen, weiß man sehr viel über die Vorlieben dieser Personen. Dies kann von der Beeinflussung der Meinung bis hin zur Strafverfolgung gehen.

Nun tut Google offiziell so, als wüsste niemand, wer einer Kohorte abgehört. Dieser Schutz mag gegebenenfalls im Browser des Nutzers vorhanden sein, sofern man annimmt dass

1. Google vertrauenswürdig ist und
2. es keine Sicherheitslücken im Browser und
3. es keine Sicherheitslücken im System des Nutzers und
4. es keine Sicherheitslücken im FloC-Algorithmus gibt

Zu 4. wurden beispielsweise Attacken genannt, die Schwachstellen im Algorithmus ausbeuten, um an Informationen zu gelangen (timing attacks etc.).

Neben FloC gibt es noch den TURTEDOVE Ansatz von Google, mit dem die Personalisierung von Anzeigen ohne Cookies gelingen soll. Hierzu laufen aktuell Experimente auf Servern von Google. Ohne hierauf genauer einzugehen, sei gesagt, dass auch TURTLEDOVE anscheinend analog zu Cookies zu handhaben ist. Google beschreibt einen Aspekt von TURTLEDOVE nämlich so: "The browser, not the advertiser, holds the information about what the advertiser thinks a person is interested in.". Damit ist auch wieder ein Zugriff auf Informationen im Endgerät des Nutzers gegeben, für die wegen der ePrivacy-Richtlinie (bzw. § 15 Abs. 3 TMG) eine Einwilligung einzuholen ist.

Google kennt die Personen, die einer Kohorte angehören

Neu ist mir, dass Google Kohorten faktisch schon außerhalb des Browser des Nutzers berechnet. Daraus ergeben sich ernsthafte Datenschutzprobleme.

Wer lange genug sucht, so wie ich, findet offizielle Belege, dass Google sogar selbst zugibt, die Mitglieder einer Kohorte zu kennen. Hierzu reicht ein Blick in die Zukunft des Werbegeschäfts von Google.

Real-Time Bidding (RTB) ist ein schon länger etablierter Mechanismus von Google. Er soll durch FloC nach dem Willen von Google zukünftig auch im Chrome Browser stattfinden.

Werbetreibende können die Mitglieder einer Kohorte kennen

Aktuell unterstützt Google bereits das Echtzeitbieten um Werbeplätze durch Kohorten, wie sie mit FloC errechnet werden. Im Dokument zu Authorized Buyers Real-Time Bidding beschreibt Google, dass die Kohorten-ID an Werbetreibende ausgespielt wird (bzw. aktuell experimentell ausgespielt wird). Lapidar wird erklärt, dass manche Informationen, die Rückschlüsse auf Personen erlauben könnten, von Google ausgeblendet werden, wenn die Kohorten-ID mitgegeben wird. Netterweise werden nur Nutzer berücksichtigt, die in Ihrem Google Konto nicht widerrufen haben. Dieses sogenannte Opt-Out erfüllt offensichtlich die Anforderungen an eine Einwilligung nicht.

Damit gibt Google direkt zu, selbst die Personen und die Kohorten, denen diese Personen zugeordnet sind, zu kennen. Ich habe mir ferner die Frage gestellt, ob der Nutzerstandort an Werbetreibende übermittelt wird, wenn die Kohorten-ID auch an die Werbetreibenden von Google kommuniziert wird.

Google verspricht, den Nutzerstandort mit Unschärfe zu versehen. Nun frage ich mich, wie es bei einem Einsiedler aussieht, der weit entfernt von sonstigen Menschen wohnt und dennoch Internetempfang hat. Eine Unschärfe von fünf Kilometern würde hier sicher nicht ausreichend. Der Einsiedler würde alleine aufgrund der Standortangabe, die Google bereitstellt, als Person ermittelt werden können.

Zusätzlich sei angemerkt, dass anscheinend Google selbst den Nutzer kennt bzw. kennen kann (gemäß des Begriffs der Datenerhebung reicht die Möglichkeit der Kenntnisnahme von Daten bereits aus, damit eine Datenverarbeitung vorliegt). Ein Glück, dass im Idealfall nur Google alle möglichen Vorlieben eines Nutzers kennt, ist man fast versucht zu sagen.

Fazit

Sofern eine Kohorten-ID im Browser des Nutzers gespeichert und später ausgelesen wird, darf dies nur nach Einwilligung durch den Nutzer erfolgen. Hierbei spielt es keine Rolle, ob es sich um anonymisierte, pseudonymisierte oder personenbezogene Daten handelt. Dies ergibt sich aus der ePrivacy Richtlinie.

Deswegen gibt es datenschutzrechtlich nicht allzu viele Unterschiede zwischen Google FloC im Browser und Cookies. Allerdings wäre für FloC im Browser nur einmal eine Einwilligung einzuholen, für Cookies pro Webseite jeweils eine. Umgekehrt kann eine Einwilligung für FloC dann aber auch zentral widerrufen werden, für Cookies aber nur jeweils pro Webseite. Beide Ansätze haben also gewichtige Vorteile und gewichtige Nachteile.

Der browserbasierte Ansatz von FloC ist also in Wirklichkeit keine Datenschutzverbesserung, sondern eher eine Verschlechterung. Erstens enthält eine Kohorte potentiell sensible Informationen zu den Gewohnheiten von Nutzern. Zweitens wird Google eine Einwilligungsabfrage im Chrome Browser wahrscheinlich so gestalten, dass möglichst viele Nutzer zum Zustimmen bewegt werden. Drittens werden wegen FloC die meisten Cookies schlichtweg nicht verschwinden, sondern weiterhin vorhanden sein.

Das Berechnen von Kohorten für das Real-Time Bidding findet jetzt schon außerhalb eines Browser statt, nämlich auf Google Servern, wo Google Daten von Nutzern sammelt. Die Ermittlung der Kohorten für das Echtzeitbieten um Werbeplätze basiert laut Google Dokumentation auf Daten, die Werbetreibende zuvor freigegeben haben. Hier stellt sich die Frage, woher die Werbetreibenden diese Daten haben. Belastbare Daten werden, jedenfalls jetzt gerade, überwiegend über Cookies oder andere Informationen aus dem Endgerät des Nutzers (Beispiel: Werbe-ID auf Apple oder Google Smartphones) gewonnen. Genau dafür bedarf es aber der Einwilligung durch den Nutzer. Auch das Abziehen eins digitalen Fingerabdrucks zum Zwecke des Nachverfolgen des Nutzers über mehrere Webseiten hinweg wäre einwilligungspflichtig.

Wie auch immer man es dreht oder wendet: Für belastbare Nutzerdaten muss dessen vorige Einwilligung eingeholt werden. Hierbei ist es egal, ob das Konstrukt zur Datengewinnung Cookie, Werbe-ID oder FloC im Browser oder im Smartphone heißt.