Nachdem bekannt wurde, dass die Aufnahmen von Sprachassistenten wie Siri, Alexa und der Google Assistant von menschlichen Mitarbeiter abgehört werden können, wurden die Datenschutzbeauftragten des Bundes und der Länder aktiv. Google hat mittlerweile freiwillig die Praxis in Europa gestoppt. Mitarbeiter werden mindestens bis Ende Oktober keine Aufnahmen der Nutzer mehr überprüfen und transkribieren. Nun folgt auch Apple. Doch wie sieht eigentlich die Rechtslage bei Sprachassistenten aus?
Sprachassistenten stehen bei Datenschützern in Verruf
Sprachassistenten sind inzwischen weit verbreitet. Und doch war ihre Vereinbarkeit mit geltenden Bestimmungen des Datenschutzrechts von Anfang an ein Streitpunkt. Denn so richtig klar war nicht, was und wann genau aufgenommen wird, wer Zugriff auf die Aufnahmen hat und was mit diesen geschieht.
Im Juli 2019 hat nun der Bundesdatenschutzbeauftragte Ulrich Kelber angekündigt, sich die seit langem bei Datenschützern in Verruf stehenden Sprachassistenten gemeinsam mit seinem Kollegen im Europäischen Datenschutzausschuss vornehmen zu wollen.
Mittlerweile hat der Landesdatenschutzbeauftragte Hamburg ein Verwaltungsverfahren gegen Google eingeleitet, um wegen der datenschutzrechtlichen Bedenken das Anhören der Mitschnitte durch Google-Mitarbeiter bzw. Dienstleister zu untersagen. Google teilte daraufhin mit, dass die Praxis des Abhörens der Sprachaufnahmen durch Mitarbeiter bereits seit dem 10. Juli vorläufig für drei Monate gestoppt worden sei. Google möchte nun zusammen mit der Datenschutzbehörde prüfen, wie man zum einen die Audioaufnahmen testen und zugleich den Nutzern die Verwendung der Daten besser erklären kann.
Der Hamburger Datenschützer regte auch an, entsprechende Maßnahmen gegen Amazon oder Apple zu ergreifen. Für diese Unternehmen ist er jedoch nicht zuständig, da nur Google seinen Sitz in Hamburg hat.
Dem Beispiel vorauseilenden Gehorsams von Google folgend hat nun auch Apple Überprüfungen von Sprachaufnahmen von Siri durch Mitarbeiter ausgesetzt. Apple hat angekündigt, sich für diese Art der Datenverarbeitung zukünftig eine ausdrückliche Einwilligung über ein Update einzuholen.
Warum werden die Datenschützer jetzt aktiv?
Im Juli war durch in den Niederlanden und Belgien geleakte Mitschnitte bekannt geworden, dass Audioaufnahmen der Google Home Smart Speakers und des Google Sprachassistenten systematisch durch Mitarbeiter von Google – aber auch durch externe Subunternehmer – transkribiert und ausgewertet werden.
Die geleakten Mitschnitte beinhalten teilweise sehr vertrauliche Gespräche, die sensible personenbezogene Daten aus der Privat- und Intimsphäre der Nutzer thematisieren. Dramatischer ist, dass Teile der Aufnahmen durch fehlerhafte Aktivierung der Geräte entstanden sind. Ohne ein „Okay Google“ hat Google also Aufnahmen von intimsten Momenten wie persönlichen Gesprächen, Sex oder kriminellen Aktivitäten mitbekommen und ausgewertet. Auf diese bekannt gewordenen Informationen bezog sich der hamburgische Datenschutzbeauftragte Caspar auch explizit.
Diese Analysen der Aufnahmen durch Menschen dienen vornehmlich der Verbesserung der Spracherkennung. Das kann beim „Erlernen“ neuer Sprachen oder Dialekte nötig sein oder auch in Fällen, in denen die Sprachaktivierung in irgendeiner Form versagte. Den Anbietern der Sprachassistenten geht es also primär nicht darum, was aufgenommen wird, sondern wie.
Bislang behaupteten die Anbieter, die analysierten Sprach-Mitschnitte seien zureichend anonymisiert und deswegen dem einzelnen Nutzer gar nicht mehr zuzuordnen. Außerdem seien die Mitarbeiter angewiesen, nur an den Sprachassistenten gerichtete Sätze abzutippen, nicht aber zufällig aufgenommene Worte, die durch eine fehlerhafte Aktivierung des Assistenten mitaufgezeichnet wurden.
Dass aber bereits das Anhören der Aufnahme ausreichen kann, um die sprechenden Personen nachträglich identifizieren und sogar ausfindig machen zu können, zeigte hingegen im vergangenen Jahr schon die Datenpanne des Sprachassistenten Alexa. Wenn es bei der Analyse der Sprachaufnahmen gerade darum geht, zu überprüfen, was der Nutzer genau gesagt hat und was der Assistent daraus gemacht hat, muss der Mitarbeiter eben jedes Wort, jeden Namen, jede Adresse nachschlagen. Mithilfe von Google-Suchen stößt man dann schnell auf die Identität des Aufgenommenen.
Darüber hinaus gibt es auch ausreichend Berichte, dass beispielsweise den Mitarbeitern bei der Auswertungen von Sprachaufnahmen von Amazon-Echo teilweise die Seriennummern der verwendeten Geräte und die Namen der Nutzer angezeigt wurden.
Auch Apple wird vorgeworfen, die auszuwertenden Aufzeichnungen mit Metadaten anzureichern, u.a. geographische Position des Aufgenommenen und dessen Kontaktinformationen.
Keine transparente Aufklärung der Nutzer
Neben diesen Zweifel an der ordnungsgemäßen Ausgestaltung dieser Art der Analyse ist das Hauptproblem: Kaum einem Nutzer war diese Praxis bekannt.
Sie werden von den Anbietern auch nicht in einer der Datenschutzgrundverordnung (DSGVO) entsprechenden Weise über die Verwendung ihrer Daten informiert. Mit der Einführung der DSGVO ist der Umfang der Informationspflichten der Datenverarbeiter gestiegen. Art. 13 DSGVO sieht u.a. vor, dass die Betroffenen in präziser, transparenter, verständlicher und leicht zugänglicher Form über die Art, den Zweck und die Dauer der Datenverarbeitung informiert werden müssen. Insbesondere müsste den Nutzern hier mitgeteilt werden, wer die Sprachaufnahmen zu hören bekommen könnte und an wen die Aufnahmen weitergeleitet werden.
Hinzu kommt, dass die Nutzer eines Sprachassistenten zwar vor dessen Inbetriebnahme eine datenschutzrechtliche Einwilligung erteilen. Diese ist jedoch nur wirksam, wenn die Nutzer zuvor entsprechend ausführlich informiert worden sind. Denn Einwilligung setzt Kenntnis dessen voraus, in was ich einwillige. Bei Sprachassistenten müssten Betroffene daher nicht nur über die konkrete Verarbeitung der Sprachbefehle informiert werden, sondern auch über die Risiken und die Häufigkeit von Fehlaktivierungen.
Apple wies zwar in den Erläuterungen zum Datenschutz darauf hin, dass Daten zur Verbesserung von Siri und ihrer Funktionen gesammelt werden. Allerdings fehlt es an jeglichem Hinweis darauf, dass es sich bei diesen Daten um Audio-Mitschnitte handelt, geschweige denn, dass diese von Menschen ausgewertet werden.
Weitere rechtliche Probleme bei Sprachassistenten
Bis zum Bekanntwerden dieser Praxis hatten Juristen datenschutz- und persönlichkeitsrechtliche Bedenken eher im Hinblick auf Familienmitglieder, Besucher und Geschäftskontakte angenommen. Denn schließlich habe nur der Verwender eines Sprachassistenten in die Aufzeichnung durch die Geräte eingewilligt – nicht aber andere im Haushalt oder in den Geschäftsräumen anwesende Personen.
Im geschäftlichen Bereich könnte somit der Verwender eines solchen Geräts selbst gegen Datenschutzrecht verstoßen, wenn er seine Gäste nicht zureichend informiert.
Und im privaten Bereich, in dem die DSGVO keine Anwendung finde, könnte eine solche Informationspflicht dennoch aus dem Schutz des Allgemeinen Persönlichkeitsrechts folgen, das auch das Recht am gesprochenen Wort umfasst. Danach hat jeder das Recht, selbst zu entscheiden, welche Informationen er von sich preisgeben möchte. Erklärt sich die Person nicht damit einverstanden, dass Gespräche womöglich mitgehört und aufgezeichnet werden, so ist es ratsam, die Geräte auszuschalten. Betroffene könnten sonst zivilrechtliche Ansprüche gegen die Inhaber solcher Geräte geltend machen.
