Amazon Alexa und der Datenschutz

Wie arbeitet Alexa und was können Sie selbst tun, um den Datenschutz bei Ihrer Nutzung des Tools zu gewährleisten? Einen Überblick gibt dieser Beitrag.

Amazon Echo und die Sprachsteuerungssoftware Alexa

Über 5 Jahre schon steht Amazon Echo, der intelligente Lautsprecher aus dem Hause Amazon als Frontend, in den deutschen Wohnungen von Smart-Home-Liebhabern, die sich gegen Siri (Apple), Google Assistent (Google), Bixby (Samsung) oder Cortana (Microsoft) entschieden haben und macht mithilfe der Spracherkennungssoftware Alexa den begeisterten Nutzern das Leben bequemer. Voraussetzungen der Nutzung sind lediglich eine Internetverbindung und ein Account bei Amazon.

Jederzeit bereit

Alexa ist jederzeit bereit, auf Nennung des festgelegten Aktivierungs-Codeworts hin den empfangenen Befehlen Folge zu leisten, wobei das Sprachkommando ab Nennung des Codeworts regelmäßig zur Auswertung in die Amazon Cloud gesendet wird. Die verschlüsselte Übertragung von Daten in die Cloud wird von dem Lautsprecher mittels blauen Lichts angezeigt und somit dem Betroffenen transparent gemacht.

Alle Befehle werden ausgeführt

Egal, ob es darum geht, umfängliche Wissensfragen zu beantworten, die Wunschmusik abzuspielen oder Online-Bestellungen abzuwickeln, Alexa ist immer zur Stelle. Auch eine direkte Ansteuerung von Smart-Home-Installationen ist ebenso möglich, soweit Kompatibilität besteht, wie der Versand von Sprachnachrichten.

Alexa Skills

Jeder Nutzer kann neue Funktionen zu Alexa hinzufügen, indem er Skills, die von Drittanbietern zur Verfügung gestellt werden, aus einer Liste auswählt und sie aktiviert.

Kritik an Alexa – ein kurzer Faktencheck

Zeit, die Dinge aus datenschutzrechtlicher Sicht gerade zu rücken. Was, wenn nicht der Datenschutz, könnte gegen diese smarte Technik sprechen. Die Kritikpunkte an dem System sind vor allem Folgende:

Unsicherer Drittstaatentransfer

Jegliche Information, die Alexa – jedenfalls nach Aussprache des festgelegten Codewortes – erlangt, wird bei Amazon in den USA auf Servern gespeichert und auch weiterverarbeitet. Bereits diese Tatsache bedeutet datenschutzrechtliche Risiken wegen des notwendigen Drittstaatentransfers in einen Nicht-EU/EWR-Staat.

Datenschutzprobleme bei Alexa Skills

Weiter haben Wissenschaftler vor einiger Zeit in einer Studie Datenschutzprobleme im Zusammenhang mit der Nutzung der Alexa Skills dargestellt, für die sie über 90.000 Skills von Drittanbietern analysierten und auswerteten. Die Wissenschaftler bemängeln insbesondere die fehlende Transparenz über den Einsatz eines Drittanbieters zur Generierung der abgefragten Antwort bzw. über dessen Identität. Zwar gebe es einen Zertifizierungsprozess bei Amazon für neue Skills vor deren Veröffentlichung, jedoch sei es möglich, die Skills später noch abzuändern und somit im worst case zusätzliche Daten „abzufishen“, wie z.B. Kreditkartendaten. Auch seien die Datenschutzerklärungen der Skill-Anbieter oft unzureichend.

Kann Alexa uns insgeheim abhören?

Damit Alexa merkt, wann das Codewort ausgesprochen wird, sind die Mikrofone dauerhaft aktiv, was bedeutet, dass Alexa dauerhaft Daten verarbeitet. Man erahnt schon, wo genau dabei die datenschutzrechtlichen Probleme liegen:

Klar ist, dass die Alexa-Nutzer vor der ersten Inbetriebnahme des Sprachassistenten den Nutzungsbedingungen voll umfänglich und ausdrücklich zustimmen müssen, somit eine Einwilligungserklärung gem. Art. 6 Abs. 1 lit. a DSGVO eingeholt wird, und wenn man den Ausführungen des Wissenschaftlichen Dienstes des Bundestages folgt, dürfte Amazon ggf. auch seinen Informationspflichten gem. Art. 13, 14 DSGVO gegenüber seinen Nutzern mehr oder weniger ausreichend nachkommen.

Jedoch sind damit nicht alle Datenschutzprobleme gelöst. So wiesen Verbraucherschützer bereits vor längerer Zeit darauf hin, dass sich Alexa insbesondere über die Nennung des Codewortes auch irren kann, vor allem in Bezug auf Wörter, die sich ähnlich anhören. Dann startet ein aus Betroffenensicht in diesem Moment nicht gewollter, wohlmöglich unbemerkter Datenverarbeitungsprozess, der von der Einwilligungserklärung nicht umfasst ist, es wird ungewollt abgehört und die Daten werden von Amazon weiterverarbeitet. Folglich liegt ein ungerechtfertigter Eingriff in die Privatsphäre des Betroffenen vor.

Wie steht es um die Daten meiner Gäste?

Des Weiteren wird ab dem Zeitpunkt der Nennung des Codewortes alles Hörbare durch Amazon aufgezeichnet und im Anschluss transkribiert – auch Hintergrundgeräusche oder die Stimmen eigener Gäste (ggf. auch von besonders schützenswerten Kindern) inklusive aktueller Gesprächsinhalte.

Zumindest, wenn anwesenden Gästen die Installation Alexas nicht bekannt ist, wird ihre (mutmaßliche) Einwilligung in die Datenverarbeitung im Zweifelsfall fehlen. Jedenfalls für den Fall, dass auch Kinder betroffen sind, kann sich die Frage stellen, auf welcher Rechtsgrundlage dann eine Datenverarbeitung überhaupt noch gestützt werden kann. Grundsätzlich müssen nämlich bei Kindern regelmäßig beide Sorgeberechtigte vor Beginn der Datenverarbeitung in diese einwilligen.

Noch brisanter ist das Vorgehen aus datenschutzrechtlicher Sicht vor dem Hintergrund, dass auch sensible personenbezogene Informationen aus der Privat- und Intimsphäre in so ggf. oftmals nicht gewolltem Umfang durch Amazon verarbeitet werden können.

Wie geht Amazon mit den gesammelten Daten um?

Bekannt ist, dass Amazon die gesammelten Daten nicht nur dazu nutzt, um den empfangenen Befehl ausführen zu können, sondern auch, „um das System zu verbessern“, also die zugrunde liegende künstliche Intelligenz zu trainieren und auch, um die individuelle Stimme besser zu erkennen bzw. das System besser an den Nutzer anpassen zu können. Dazu hören Mitarbeiter auch Sprachmitschnitte mit, um die Erkennungsqualität zu verbessern. Genauere Aussagen zu dieser Datenverarbeitung gibt es von Amazon aber nicht, so dass deren genauer Umfang nicht klar ist.

Amazon wertet die Daten seiner Nutzer außerdem aus, um personalisierte Nutzerprofile zu erlangen, die dann z.B. passgenaue Werbung ermöglichen.

Unklar ist bei aller Betätigung durch Amazon jedoch, wer genau unter welchen Voraussetzungen Zugriff auf Amazons Nutzerdaten hat.

Wie sich die Datenschutzeinstellungen von Alexa ändern lassen

Sie als Nutzer können den Datenschutz bei Alexa für Ihre personenbezogenen Daten selbst nach Ihren Bedürfnissen einrichten, indem Sie – am besten bereits bei der Ersteinrichtung des Sprachassistenten – die Datenschutzeinstellungen des Gerätes anpassen. Sie als Alexa-Nutzer profitieren dabei von den individuellen Einstellungsmöglichkeiten laut Hersteller in dem Umfang, dass Sie selbst wählen, ob Sie keine Daten mehr dauerhaft zur Verfügung stellen, sich dadurch Alexa aber nicht noch besser an Sie anpasst, oder ob Sie Ihre Daten bewusst dauerhaft in der Amazon-Cloud belassen und von einer ggf. besseren Alexa-Qualität profitieren.

Alexas Sprachaufzeichnungen löschen

In der Alexa App können Sie Ihre Sprachaufzeichnungen jederzeit sehen, anhören oder löschen. Oder Sie klicken unter „Einstellungen“ / „Alexa Datenschutz“ auf „Ihre Alexa Daten verwalten“ und schalten die standardmäßig aktivierte Speicherung der Sprachbefehle aus (unter „Ihre Sprachaufnahmen verwalten“ den Regler zu „Sprachaufnahmen automatisch löschen“ auf „An“ stellen, nach unten scrollen und „Keine Aufzeichnungen speichern“ auswählen, danach die Auswahl „Bestätigen“).

Alternativ kann auch eine befristete Speicherzeit gewählt werden, wenn Sie Alexa die Möglichkeit geben wollen, sich besser an Sie anzupassen, Sie aber verhindern möchten, dass über einen längeren Zeitraum ein detailliertes Profil von Ihnen angelegt wird. Dann wählen Sie unter „Sprachaufnahmen automatisch löschen“ nicht, wie vorgegeben, „Aufzeichnungen speichern, bis ich sie lösche“, sondern „Meine Aufzeichnungen 18 Monate lang speichern“ oder „Aufzeichnungen 3 Monate lang speichern“.

Oder Sie löschen die Sprachaufzeichnungen manuell. Dazu rufen Sie unter „Alexa Datenschutz“, „Ihre Alexa-Daten verwalten“, „Ihre Sprachaufnahmen verwalten“ die Liste Ihrer gespeicherten Sprachaufzeichnungen auf, um dann nach Auswahl eines „Datumsbereichs“ entweder alle in der Liste gezeigten Aufnahmen oder einzelne Aufnahmen manuell zu löschen.

Amazon selbst weist in seinem „Datenschutzportal für Alexa“ auf eine weitere Möglichkeit hin:

„Um eine Aufzeichnung per Sprachbefehl zu löschen, sagen Sie einfach „Alexa, lösche, was ich gerade gesagt habe“, um die Aufnahmen der letzten zehn Minuten zu löschen, oder „Alexa, lösche alles, was ich heute gesagt habe“, um die Aufnahmen des Tages zu löschen.“

Und auf den Befehl „Alexa, wie kann ich meine Datenschutzeinstellungen überprüfen?“ hin schickt Ihnen Amazon nach eigenen Angaben einen Link mit Informationen zu den ersten Schritten in die Alexa App.

Schließlich können Sie durch Betätigung des „Mute“-Knopfes an dem Echo-Lautsprecher bewirken, dass die Mikrofone nicht mehr aktiv sind, oder Sie installieren „Alexagate“, ein separates Tool, das mithilfe von Ultraschall die Mikrofone von Amazon Echo blockiert.

Welche rechtlichen Vorgaben stellt der Datenschutz an Alexa?

Grundsätzlich müssen Verantwortliche, die virtuelle Sprachassistenten entwickeln bzw. deren Auftragsverarbeiter die Vorschriften der DSGVO genauso beachten wie die Vorgaben, die der E-Privacy-Richtlinie der EU-Kommission entstammen.

Die Leitlinien des Europäischen Datenschutzausschusses (EDSA) zu virtuellen Sprachassistenten vom 07.07.2021 erläutern als Auslegungshilfe die datenschutzrechtlichen Vorgaben für den Einsatz und die Entwicklung zu diesen Geräten. Zielgruppen der Leitlinien sind sowohl Verantwortliche als auch Entwickler. Legt man die Empfehlungen neben die oben beschriebenen Praktiken hinsichtlich des Amazon-Dienstes Alexa, lässt sich der Stand des Datenschutzes hinsichtlich der Nutzung des Sprachassistenten zusammenfassend wie folgt einordnen:

Rechtsgrundlagen für die Verarbeitung personenbezogener Daten gem. Art. 6 DSGVO:

• Der EDSA sieht bezüglich der DSGVO Art. 6 Abs. 1 lit. b DSGVO einzig als einschlägig für die Verarbeitung personenbezogener Daten zum Ausführen von Befehlen der Nutzer. Hinsichtlich des Zieles der Verbesserung der künstlichen Intelligenz bzw. des Trainings der Algorithmen wird lediglich die vage Aussage getroffen, in diesem Zusammenhang könne man sich indes nicht mehr auf diese Rechtsgrundlage stützen. Welche zu wählen ist, bleibt offen. Bis auf Weiteren sollte ggf. auch hier eine Einwilligungserklärung eingeholt werden. Bezüglich der Datennutzung für die Erstellung von Nutzerprofilen zur Auslieferung personalisierter Werbung wird der EDSA hingegen wieder klar, indem er die Einholung einer Einwilligung gem. Art. 6 Abs. 1 lit. a DSGVO von den Nutzern fordert. Hinsichtlich der Nutzung von Sprachdateien zur Identifizierung des Nutzers werden biometrische Merkmale genutzt, so dass es sich um eine Verarbeitung besonderer Kategorien personenbezogener Daten i.S.d. Art. 4 Nr. 14 DSGVO handele und eine Rechtsgrundlage gem. Art. 9 DSGVO i.V.m. Art. 6 DSGVO vorliegen müsse, wobei der EDSA wiederum eine Einwilligung als erforderlich erachtet.
• Im Zusammenhang mit der Anmeldung zu der Alexa App müssen die Nutzungsbedingungen akzeptiert werden und es werden bereits Einwilligungserklärungen zur Datennutzung bei den Nutzern eingeholt. Was fehlt, sind die Einwilligungen Dritter inklusive Kinder.

Informationspflichten gem. Art. 13, 14 DSGVO:

• Der EDSA empfiehlt, in Sprachassistenten die Möglichkeit zu integrieren, die Datenschutzinformationen gem. Art. 13, 14 DSGVO sprachbasiert abrufen zu können, um an dieser Stelle den Datenschutzanforderungen gerecht zu werden.
• Alexa gibt bereits die Möglichkeit, sich sprachbasiert über den Datenschutz zu informieren, wie oben beschrieben. Das ist sicherlich ein erster Schritt in die richtige Richtung, auch wenn immer noch die Frage bleibt, wie z.B. Gäste bzw. beide Sorgeberechtigte involvierter Kinder  informiert werden können.

Verknüpfung mit anderen Diensten:

• Nach Ansicht des EDSA sollte für jede additive Dienstleistung, also für jeden „Skill“ eines Drittanbieters, eine separate Registrierung vorgesehen werden, um die (fehlende) Transparenz über den Einsatz eines weiteren Anbieters bzw. das Tool zu erhöhen.
• Dass diese Probleme auch hinsichtlich der Nutzung von „Alexa Skills“ real sind, zeigen obige Ausführungen. Hier ist eine Verbesserung der Services aus datenschutzrechtlicher Hinsicht auf jeden Fall geboten.

Einhaltung des Transparenzgrundsatzes:

• Weiter wird es von dem EDSA für erforderlich gehalten, dass der eingesetzte Sprachassistent entweder durch visuelles oder durch akustisches Signal anzeigt, ob er aktiv ist und abhört oder nicht.
• In diesem Punkt dürften die Voraussetzungen bei Alexa zumindest im Hinblick auf den vertraglichen Nutzer erfüllt sein, das eingesetzte blaue Licht ist ein deutliches Zeichen für die Aufzeichnung – allerdings nur bei einem Blick auf die Box bzw. bei Kenntnis des Einsatzes der Technologie ersichtlich. Bezüglich der Betroffenheit von Gästen bzw. Kindern sind jedoch weiterhin Risiken festzustellen.

Einhaltung des Prinzips der Datenminimierung:

• Auch konkrete Hinweise zur Umsetzung des Grundsatzes der Datenminimierung sind in den Leitlinien enthalten. So ist der EDSA der Ansicht, zur Aktivierung der Sprachaufzeichnung sei ein Codewort zu nutzen, die Identifizierung der Nutzerstimme hingegen könne vor dem Hintergrund dieses Grundsatzes nicht ausreichen. Nicht mit diesem Grundsatz vereinbar sei die Vorgehensweise, die Einstellung vorzuhalten, dass die Daten für einen unbegrenzten Zeitraum gespeichert werden, bis der Nutzer ihre Löschung aktiv verlangt.
• Vor diesem Hintergrund scheint die Nutzung eines Alexa-Codewortes ausreichend zu sein, wenn gleich wie oben dargestellt trotzdem natürlich Risiken bestehen hinsichtlich eines irrtümlich verstandenen Befehls durch Alexa, infolgedessen durch die dann startende Aufzeichnung dieser Grundsatz keineswegs mehr eingehalten wird.
• Weiter muss aus diesen EDSA-Ausführungen geschlossen werden, dass Amazon auf die Möglichkeit, die Aufzeichnungen zu speichern, bis sie der Nutzer selbst löscht, wie in der Standardeinstellung vorhanden, zugunsten des Datenschutzes verzichtet werden sollte. Jedenfalls sollte der Nutzer an dieser Stelle unbedingt die Einstellung wie oben beschrieben ändern.

Nutzung personenbezogener Daten von Kindern:

• Der EDSA sieht auch das Problem der ggf. fehlenden (konkludenten) Einwilligung in die Datenverarbeitung beider Sorgeberechtigten hinsichtlich der personenbezogenen Daten ihrer Kinder. Er weist auf dieses vorherige Einwilligungserfordernis ausdrücklich hin und fordert die Entwicklung von Methoden ein, um das Vorliegen der Voraussetzungen zu garantieren.
• Dieses datenschutzrechtliche Problem existiert genauso bei der Alexa-Nutzung. Neue – sicherlich auch digitale – Lösungsansätze müssen hierzu unbedingt gefunden werden.

Eignet sich Alexa für den Büroalltag?

Sprachassistenten halten derweilen immer mehr Einzug in Büros. „Alexa for Business“ ist keine Zukunftsmusik, sondern bereits ein Produkt am Markt.

Services zur Erleichterung des Büroalltags

Auch hier kann der Sprachassistent seinen Nutzern das Leben immens erleichtern: Von der Organisation von Geschäftsreisen, über Wissensfragen zur Funktionsweise interner Geschäftsvorgänge bis hin zur Buchung von Konferenzräumen oder dem Aufbau von Telefonkonferenzen, überall hilft Alexa zuverlässig und schnell. Neue Skills können hier von den Kundenunternehmen selbständig ohne Programmierkenntnisse erstellt werden, die sich dann natürlich passgenau in den eigenen Geschäftsablauf integrieren lassen.

Problem Sicherung von Geschäftsgeheimnissen

Die Brisanz lässt sich nach den obigen Ausführungen erahnen, soweit es um vertrauliche Gesprächsinhalte oder gar Geschäftsgeheimnisse geht, die – verbal formuliert – zumindest nach Nennung des Codewortes genauso aufgezeichnet bzw. in der Cloud gespeichert oder sogar von Menschen ausgewertet werden wie allgemeine Informationen im Privaten. Das allgemeine Risiko für Datenschutzvorfälle liegt dabei auf der Hand.

Problem Einwilligung im Arbeitsverhältnis

Zudem stellt sich auch hier das Problem der von den Betroffenen einzuholenden Einwilligung. Im Arbeitsverhältnis ist eine solche nur in Ausnahmefällen überhaupt möglich – ein weiteres Risiko aus Anwendersicht, ggf. mit der Folge von Bußgeldern für die Verantwortlichen.

Wichtig: Datensicherheit

Entscheidet man sich als Unternehmer für die Anwendung von „Alexa Business“, so kommt dem Thema des angemessenen Schutzniveaus für die Gesamtheit der verarbeiteten Daten besondere Relevanz zu. Es bedarf dann nicht nur der ordnungsgemäßen, fachmännischen Implementierung, der Sicherung durch Maßnahmen wie Virenscanner und Firewalls, sondern auch im ersten Schritt der sorgfältigen Auswahl des jeweiligen Anbieters. Eine qualitativ hochwertige Begleitung der Einführung solcher Lösungen ist jedenfalls unabdingbar, nicht nur durch den Datenschutzbeauftragten, sondern – soweit vorhanden – auch durch den Informationssicherheitsbeauftragten.

Entscheidung für den Datenschutz treffen

Die statistische Wahrscheinlichkeit ist hoch, dass Sie sich zumindest eines Tages für die Nutzung von Alexa oder einem ähnlichen Sprachassistenten entscheiden werden – benutzten 2020 doch bereits 45 Prozent der Deutschen diese Tools, während es im Jahr zuvor noch 32 Prozent waren, dies nach den Ergebnissen der Postbankstudie 2020.

Anstatt „Zurück zur Steinzeit“ ist es in der Folge ein wichtigerer Aufruf, sich über die Funktionen der Tools wie Alexa Wissen anzueignen und sich selbst die Frage zu stellen: Wo soll meine Privatsphäre weiter Vorrang haben und wo fordere ich in der Konsequenz für meine Daten den größtmöglichen Datenschutz ein? Wie wichtig ist mir welcher Service? Und wo bin ich bereit, meine Datenautonomie, soweit sie mir noch obliegt, aufzugeben, um mehr Vorteile zu genießen?

Ergebnis dieser Überlegungen ist dann ggf. ein verantwortungsvoller Umgang mit der Verbreitung der Gesamtheit der eigenen personenbezogenen Daten, sowie ein Bewusstsein auch für das Recht auf aktiven Datenschutz für Dritte (Mitarbeiter, Gäste, Kinder).