Heimliche Browser-Überwachung von Schulkindern? Google verklagt
Google ernte heimlich Daten von US-Schulkindern und nutze die Daten für kommerzielle Zwecke. Diesen Vorwurf erheben Eltern in einer Klage.
(Bild: BGStock72/Shutterstock.com)
70 Prozent der US-Schulen verwenden Chromebooks samt Clouddiensten von Google. Damit soll Google die Kinder quer durch das Internet selbst dann verfolgen, wenn Cookies ausgeschaltet sind – durch heimliches Fingerprinting im Chrome-Browser. Diesen Vorwurf erhebt eine neue Klage, die als Sammelklage alle betroffenen Familien vertreten möchte. Die geernteten Daten würde der Datenkonzern für kommerzielle Zwecke seiner selbst und seiner Werbekunden auswerten.
Die betroffenen Kinder müssen von Rechts wegen in die Schule gehen und dort Chromebooks sowie rund zwei Dutzend Clouddienste Googles verwenden, vom E-Mail-Dienst Gmail über Chat-Dienste und Google Docs bis zum KI-Sprachmodell Gemini. Opt-outs sind nicht vorgesehen. Die allermeisten dieser Schulkinder sind minderjährig. Für die Verarbeitung ihrer Daten durch Google müssten die Erziehungsberechtigten zustimmen; Google versuche gar nicht erst, deren Zustimmung einzuholen, sondern verlasse sich auf die mit den Schulen geschlossenen Verträge. Diese könnten die Zustimmung der Erziehungsberechtigten aber nicht ersetzen, führt die Klageschrift aus.
Videos by heise
Die am Montag beim US-Bundesbezirksgericht für das Nördliche Kalifornien eingebrachte Klageschrift zeiht Google nicht nur der Verletzung von Zivilrecht, sondern auch von Strafrecht und von Verfassungsrecht. Letzteres wird laut Klage schlagend, weil Google die Chromebooks und zahlreiche Cloud-Dienste im Auftrag der Schulbehörden erbringt. Das Verfahren heißt Joel Schwarz et al v Google und trägt das Az. 3:25-cv-03125.
Google stellt gegenüber heise online die Vorwürfe der Klage in Abrede: "Diese Anschuldigungen treffen nicht zu. Personenbezogene Information von (Kindern aus US-Schulen) wird nie für personalisierte Werbung genutzt." Für die Zustimmung zu Datenverarbeitung an sich wendet sich Google aber tatsächlich nicht an die Erziehungsberechtigten, sondern verlangt von den Schulen solche Zustimmungen, soweit erforderlich, einzuholen.
"Durch seine Angebote überwacht Google die Schüler und extrahiert kontinuierlich deren personenbezogene Daten", heißt es in der Einleitung der umfangreichen Klagen, "Google und seine Kunden verarbeiten diese Informationen zu intimen, detaillierten Profilen der Schulkinder." Die Unternehmen würden diese Profile dazu ausnutzen, ihre Produkte und Dienstleistungen an die Kinder zu vermarkten, "zu manipulieren, wie die Kinder denken und handeln, ihre Informationsumgebung zu formen, und signifikante Entscheidungen zu treffen, die das Leben und die Zukunft der Kinder beeinflussen – alles ohne Wissen der Kinder oder ihrer Eltern, ohne Möglichkeit, die unzulässige Sammlung und Verbreitung der persönlichen und privaten Informationen der Kinder zu vermeiden oder zu begrenzen."
Fingerprinting ist kaum zu vermeiden
Technisch nutze Google dafür Browser-Fingerprinting. Davon gibt es mehrere Varianten, deren Abwehr schwierig ist. Beim sogenannten Canvas Fingerprinting schreibt ein Script Text in das Browserfenster, gerne nicht oder kaum sichtbar. Anschließend liest dasselbe Script den entsprechenden Bildschirminhalt als grafische Information aus. Je nach Betriebssystemversion, Browserversion, Grafikkarte und Grafiktreiberversion unterscheidet sich das gerenderte Ergebnis minimal. Läuft auf einer anderen besuchten Webseite das gleiche Script, kann es den Computer mit hoher Wahrscheinlichkeit wiedererkennen – ganz ohne Cookies.
Ähnliche Tricks können Datendealer dank Software-Schnittstellen (API) für Ton, Batteriestatus oder WebRTC anwenden. Beispielsweise lässt ein Script heimlich eine Tonfolge berechnen, die dann gar nicht ausgegeben wird. Beim nächsten Mal kann der Tracker das Ergebnis wiedererkennen und zuordnen. Welche Formen des Fingerprinting Google nutzt, sagt die Klage nicht.
"Das bedeutet, dass Google (Fingerprinting) dazu verwenden kann, jedes Kind zu verfolgen, selbst wenn es oder der Schuladministrator Cookies deaktiviert hat oder Technik einsetzt, die Cookies Dritter blockiert (…). Das durch Fingerprinting erstellte Profil identifiziert Nutzer und ihre Onlineaktivitäten webseitenübergreifend." Google "massives Datenernte setzt Kindern ernsten und irreversiblen Risiken bei Privatsphäre, Eigentum, und Selbstbestimmung um, und schadet ihnen in schwerwiegender, verdeckter Weise", beschweren sich die Kläger. Dabei handelt es sich um Kinder aus unterschiedlichen US-Bundesstaaten.
Solche Datensammlung und -verwertung sei rechtlich nur aufgrund wohlinformierter, freiwilliger Zustimmung einer zuständigen Person im Austausch gegen hinreichende Entschädigung zulässig. Zuständig seien dafür die Erziehungsberechtigten, die gar nicht gefragt worden seien. Zudem gäbe es weder eine Entschädigung für die Datenernte, noch könne die Zustimmung angesichts geltender Schulpflicht freiwillig erfolgen. Auch von Information können keine Rede sein. Google habe die relevanten Informationen über mehr als 20 unterschiedliche Dokumente verstreut, deren Inhalt vage, unverständlich, verwirrend und teilweise widersprüchlich sei.
Die juristischen Vorwürfe
Die Klage behauptet zahlreiche Rechtsverletzungen. Da Google in behördlichem Auftrag tätig sei, verstoße die Datensammlung gegen den Vierten Zusatzartikel der US-Bundesverfassung, der willkürliche Durchsuchungen untersagt, sowie gegen den Vierzehnten Zusatzartikel, aus dem ein Recht auf Datenschutz abgeleitet wird. Außerdem verstoße Google durch die heimliche Überwachung gegen ein bundesgesetzliches Abhörverbot (Federal Wiretap Act) und gegen die Kinderdatenschutzgesetze COPPA (Children's Online Privacy Protection Act) und CIPA (Children's Internet Protection Act). Zusätzlich führt die Klage das Eindringen in private Bereiche und ungerechtfertigte Bereicherung ins Treffen.
Darüber hinaus stützt sich das Vorbringen auf Recht des US-Bundesstaates Kalifornien, wo Google seine Firmenzentrale unterhält. Verletzt würden der Anspruch auf Datenschutz der kalifornischen Verfassung, das strafrechtliche Verbot des Eindringens in private Sphären, Computerstrafrecht (Comprehensive Computer Data Access and Fraud Act, CDAFA) sowie das Verbot unlauteren Wettbewerbs. Die Kläger beantragen ein Geschworenenverfahren, die Zulassung als Sammelklage, die Feststellung von Rechtsverletzungen, Unterlassungsverfügungen, Kostenersatz, sowie Schadenersatz und Strafschadenersatz, allesamt zuzüglich Zinsen.
(ds)
