Googles Datenschutzprozess: Wer kontrolliert die Daten, die Ihre Geräte verlassen?

Eine Datenschutzeinstellung ist ein Versprechen darüber, was mit Daten geschieht. Organisationen, die sensible Informationen verarbeiten, müssen prüfen, ob dieses Versprechen eingehalten wird.

Der Rechtsstreit um Googles App-Tracking wirft für Sicherheitsverantwortliche eine praktische Frage auf: Wie genau entspricht das tatsächliche Verhalten eines Geräts den Schutzmaßnahmen, die seine Nutzer aktiviert zu haben glauben?

Am 3. September 2025 sprach ein Bundesgeschworenengericht im Verfahren Rodriguez v. Google den Klägern 425,7 Millionen US-Dollar zu. Gegenstand des Streits waren Daten, die über mobile Apps von Drittanbietern erhoben wurden, nachdem Nutzer bestimmte Google-Aktivitätseinstellungen deaktiviert hatten. Die offizielle Website zum Verfahren erläutert die Vorwürfe und die betroffenen Gruppen. Die Geschworenen befanden Google wegen Verletzung der Privatsphäre und unzulässigen Eindringens in den privaten Lebensbereich für haftbar. Bei einem gesonderten Anspruch nach kalifornischem Recht zum Computerzugriff entschieden sie hingegen zugunsten von Google, wie aus der gerichtlichen Entscheidung vom Januar 2026 hervorgeht.

Am 28. August 2026 wies das Gericht Googles Antrag auf Aufhebung des Datenschutzurteils zurück. Google bestreitet die Entscheidung und legte anschließend Berufung ein, wie MediaPost im September berichtete. Zum Stand vom 25. September 2026 war der Rechtsstreit noch nicht abgeschlossen. docs.justia.com

Die Sicherheitsfrage hinter dem Datenschutzstreit

Im Mittelpunkt des Verfahrens stehen Information, Einwilligung und Datenerhebung. Für die Cybersicherheit liegt seine weitergehende Bedeutung darin, die Datenflüsse zu verstehen, die bei der gewöhnlichen Gerätenutzung entstehen.

Die NIST-Leitlinien zu Cybersicherheit und Datenschutz erkennen an, dass Datenschutzrisiken durch routinemäßige Datenverarbeitung entstehen können, unabhängig von einem Cybersicherheitsvorfall. Eine Organisation kann ihre Systeme gegen unbefugtes Eindringen schützen und dennoch zulassen, dass Informationen über Dienste abfließen, die in freigegebene Anwendungen eingebettet sind.

Für Sicherheitsteams geht mit der Freigabe von Anwendungen deshalb eine umfassendere Verantwortung einher. Welche Informationen übermittelt eine App? Welche eingebetteten Komponenten erhalten sie? Was ändert sich, wenn das Tracking deaktiviert wird?

Warum der operative Kontext entscheidend ist

Wie sensibel Daten sind, hängt teilweise davon ab, was sie in Verbindung mit anderen Informationen offenbaren. Die NSA-Hinweise zur Offenlegung mobiler Standortdaten erläutern, dass Standortdaten tägliche Routinen, Bewegungen und Verbindungen zwischen Personen und Orten sichtbar machen können. Für Beschäftigte in Behörden, im Verteidigungsbereich und in kritischen Infrastrukturen können solche Muster operative Bedeutung haben.

Diese Risikobetrachtung geht über die gerichtlichen Feststellungen zu Google hinaus und ist davon unabhängig. Sie gibt Organisationen Anlass, Telemetrie- und Metadaten ebenso zu bewerten wie Dokumente und Nachrichten, die sie bereits als sensibel einstufen.

Datenschutzerwartungen in überprüfbare Anforderungen übersetzen

Nach unserer Einschätzung sollten Organisationen drei Prüfungen in ihre Bewertungen der mobilen Sicherheit aufnehmen:

• Datenerhebung erfassen. Dabei sind Betriebssystemdienste und Komponenten von Drittanbietern in freigegebenen Apps einzubeziehen. Empfänger, Zwecke und Aufbewahrungsfristen sollten dokumentiert werden.
• Schutzmaßnahmen testen. Das beobachtete Verhalten vor und nach Änderungen der Datenschutzeinstellungen sollte mithilfe kontrollierter Testgeräte und geeigneter Anwendungs- und Netzwerkanalysen verglichen werden. Nach wesentlichen Updates sind diese Tests zu wiederholen.
• Unnötige Datenerhebung reduzieren. Externe Telemetrie sollte eine geschäftliche Begründung voraussetzen. Zudem muss nachgewiesen werden, dass die festgelegten Beschränkungen wirksam sind.

Beschaffungsteams sollten Anbieter auffordern, diese Verhaltensweisen nachzuweisen. Sicherheits- und Datenschutzteams sollten gemeinsam festlegen, welche Nachweise ausreichen.

Die bleibende Erkenntnis für sensible Umgebungen ist klar: Kontrolle über Daten wird glaubwürdig, wenn eine Organisation erklären kann, welche Daten ihre Geräte verlassen, warum dies geschieht und wie dieses Verhalten technisch durchgesetzt wird.