Google-Bewertungen und DSGVO: Wann ein Datenschutzverstoß bei Google Bewertungen vorliegt

Online-Rezensionen beeinflussen, für welches Restaurant, welche Arztpraxis oder welchen Handwerksbetrieb sich Verbraucher entscheiden. Die Meinungsfreiheit schützt auch deutliche Kritik. Eine Bewertung darf jedoch nicht bedenkenlos Namen, Fotos oder andere Angaben über Beschäftigte und Kunden verbreiten. Ein Datenschutzverstoß bei Google Bewertungen kommt insbesondere in Betracht, wenn eine Person identifizierbar gemacht wird, ohne dass dies für die Schilderung des Erlebnisses erforderlich ist. Umgekehrt müssen Unternehmen aufpassen: Auch ihre öffentliche Antwort auf eine Rezension kann gegen die Datenschutz-Grundverordnung verstoßen.

Warum die DSGVO bei Google-Rezensionen gilt

Personenbezogene Daten sind nach Art. 4 Nr. 1 DSGVO alle Informationen, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen. Dazu zählen nicht nur Vor- und Nachname. Auch ein Foto, eine private Telefonnummer, eine E-Mail-Adresse, eine konkrete Funktion oder die Verbindung mehrerer Einzelheiten kann die Identifizierung ermöglichen. Werden solche Angaben in einer Rezension veröffentlicht, gespeichert und über Google abrufbar gemacht, liegt eine Verarbeitung vor.

Ob ein Datenschutzverstoß bei Google Bewertungen gegeben ist, richtet sich allerdings nicht allein danach, ob personenbezogene Daten vorkommen. Jede Verarbeitung benötigt eine Rechtsgrundlage nach Art. 6 DSGVO. Eine Einwilligung ist nur eine mögliche Grundlage. Daneben kann sich der Verfasser auf ein berechtigtes Interesse und auf seine Meinungs- und Informationsfreiheit berufen. Deshalb führt die fehlende Einwilligung nicht automatisch zur Löschung. Entscheidend bleiben Zweck, Erforderlichkeit und Verhältnismäßigkeit der Veröffentlichung.

Namensnennung zwischen Kritik und Persönlichkeitsrecht

Die Aussage, eine namentlich bezeichnete Mitarbeiterin sei unfreundlich gewesen, betrifft sowohl deren informationelle Selbstbestimmung als auch die Meinungsfreiheit des Kunden. Ein Datenschutzverstoß bei Google Bewertungen lässt sich daher nur nach einer Abwägung des konkreten Einzelfalls beurteilen. Dabei kommt es darauf an, ob die Kritik einen tatsächlichen Kundenkontakt betrifft, lediglich den beruflichen Wirkungskreis berührt und sachlich formuliert ist. Ebenso relevant ist der Umfang der Namensangabe und die Frage, ob die Person auch außerhalb des Betriebs ohne Weiteres identifiziert werden kann.

Das LG Essen hat mit Urteil vom 29. Oktober 2020, Az. 4 O 9/20, die Nennung des Nachnamens einer Mitarbeiterin in einer Rezension nicht als unzulässig angesehen. Die Bewertung bezog sich auf deren Kundenfreundlichkeit, griff nur die berufliche Sozialsphäre auf und enthielt weder Schmähkritik noch private Einzelheiten. Das Gericht betonte: „Nicht jede Namensangabe begründet eine Datenschutzverletzung und einen ungerechtfertigten Eingriff in die Persönlichkeitsrechte des Betroffenen.“ Ein Datenschutzverstoß bei Google Bewertungen folgt somit nicht schon aus der Identifizierbarkeit als solcher.

Die Grenze kann anders verlaufen, wenn der vollständige Name ohne erkennbaren Nutzen genannt wird, die Rezension private Kontaktdaten enthält oder ein Foto veröffentlicht. Besonders sensibel sind Gesundheitsdaten, familiäre Umstände, interne Personalinformationen und Angaben über das Privatleben. Je weniger diese Informationen zur Bewertung der konkreten Leistung beitragen, desto schwerer lässt sich ihre Veröffentlichung rechtfertigen. Ein Datenschutzverstoß bei Google Bewertungen liegt dann deutlich näher.

Das Recht auf Löschung nach Art. 17 DSGVO

Wurden personenbezogene Daten unrechtmäßig verarbeitet, kann Art. 17 Abs. 1 lit. d DSGVO einen Anspruch auf unverzügliche Löschung geben. Das häufig als „Recht auf Vergessenwerden“ bezeichnete Recht gilt jedoch nicht grenzenlos. Nach Art. 17 Abs. 3 lit. a DSGVO entfällt der Anspruch, soweit die Verarbeitung zur Ausübung der freien Meinungsäußerung und Information erforderlich ist.

Für einen Datenschutzverstoß bei Google Bewertungen muss deshalb nachvollziehbar erklärt werden, welche Information eine Person identifiziert, warum ihre Veröffentlichung nicht erforderlich ist und welche konkreten Interessen beeinträchtigt werden. Eine Meldung mit dem bloßen Satz, die Rezension verstoße gegen Datenschutzrecht, greift häufig zu kurz. Erfolgversprechender ist eine präzise Beanstandung der einzelnen Passage unter Einbeziehung des Kontexts.

Enthält der Beitrag zugleich unwahre Tatsachenbehauptungen, Beleidigungen oder Kritik ohne echten Geschäftskontakt, kommen weitere rechtliche Ansatzpunkte hinzu. Datenschutzrecht, allgemeines Persönlichkeitsrecht und die Prüfpflichten der Plattform können nebeneinander Bedeutung gewinnen. Ein Datenschutzverstoß bei Google Bewertungen ist daher nicht immer der einzige oder stärkste Löschungsgrund. Die rechtliche Begründung sollte auf den tatsächlichen Inhalt zugeschnitten werden.

Vorsicht bei öffentlichen Antworten des Unternehmens

Nicht nur Rezensenten können Datenschutzrechte verletzen. Auch ein Unternehmen verarbeitet Daten, wenn es in seiner Antwort den Klarnamen eines Kunden offenlegt oder Informationen aus einem Auftrag, einer Behandlung oder einer Beschwerde veröffentlicht. Bewertet ein Kunde unter einem Pseudonym, darf das Unternehmen dessen Identität nicht zur Verteidigung öffentlich aufdecken. Ein Datenschutzverstoß bei Google Bewertungen kann damit auch durch die Reaktion des bewerteten Betriebs entstehen.

Ein österreichischer Fall verdeutlicht das Risiko. Ein Unternehmer nannte in seinen Antworten auf eine kritische Rezension den vollständigen Namen der Kundin. Die österreichische Datenschutzbehörde verhängte eine Geldbuße von 400 Euro; das Bundesverwaltungsgericht bestätigte die Entscheidung. Weder ein allgemeiner Hinweis in der Datenschutzerklärung noch das Interesse an der eigenen Rufverteidigung rechtfertigte die Offenlegung. Eine inhaltliche Antwort wäre ohne Namensnennung möglich gewesen.

Unternehmen sollten deshalb sachlich bleiben und den Vorgang so anonym wie möglich beschreiben. Angaben zu Bestellungen, Terminen, Diagnosen, Zahlungsproblemen oder früherer Korrespondenz gehören grundsätzlich nicht in eine öffentlich sichtbare Replik. Selbst wenn die Rezension als unfair empfunden wird, schafft eine impulsive Antwort unter Umständen einen eigenen Datenschutzverstoß bei Google Bewertungen und verschärft die Auseinandersetzung zusätzlich.

Google-Bewertungen auf der eigenen Website einbinden

Eine weitere Datenschutzfrage entsteht, wenn Unternehmen Rezensionen über ein Widget auf ihrer Website anzeigen. Lädt das eingesetzte Modul Inhalte oder Skripte unmittelbar von Google, kann schon beim Seitenaufruf die IP-Adresse des Besuchers an einen externen Anbieter übertragen werden. Je nach technischer Gestaltung können außerdem Endgeräteinformationen abgerufen oder Cookies gesetzt werden. Dann sind neben der DSGVO auch die Einwilligungsanforderungen des § 25 TDDDG zu prüfen.

Dieser technische Vorgang ist von einem Datenschutzverstoß bei Google Bewertungen wegen des Inhalts einer Rezension zu unterscheiden. Websitebetreiber sollten feststellen, welche Verbindungen das Widget aufbaut, wohin Daten fließen und ob vor der Aktivierung eine Einwilligung erforderlich ist. Datenschutzfreundlicher können Lösungen sein, die Rezensionen serverseitig abrufen, lokal darstellen und keine unmittelbare Verbindung vom Browser des Besuchers zu Google herstellen. Entscheidend ist die tatsächliche Technik, nicht allein das Werbeversprechen eines Anbieters.

Auch der Inhalt bleibt relevant. Wer fremde Rezensionen auf der eigenen Website erneut veröffentlicht, sollte Namen und Profilbilder nicht ungeprüft übernehmen. Die Darstellung zu eigenen Werbezwecken ist eine zusätzliche Verarbeitung und benötigt eine tragfähige Rechtsgrundlage. So kann ein Datenschutzverstoß bei Google Bewertungen auf der Website des Unternehmens fortwirken oder durch die erneute Nutzung erst entstehen.

So sollte eine Meldung an Google vorbereitet werden

Vor einer Beanstandung sollte die Bewertung vollständig gesichert werden. Dazu gehören der Wortlaut, das Bewertungsprofil, die URL und das Veröffentlichungsdatum. Anschließend ist zu trennen: Welche Aussagen sind Meinungen, welche sind überprüfbare Tatsachen und welche personenbezogenen Angaben sind für die Schilderung entbehrlich? Beim behaupteten Datenschutzverstoß bei Google Bewertungen sollte auch erläutert werden, ob die betroffene Person lediglich beruflich oder sogar in ihrer Privat- oder Intimsphäre berührt wird.

Standardisierte Meldungen werden dem erforderlichen Einzelfallvortrag oft nicht gerecht. Eine juristisch nachvollziehbare Beschwerde benennt die betroffene Passage, die konkrete Person, die fehlende Erforderlichkeit und die einschlägigen Ansprüche. Je nach Fall kann statt der vollständigen Rezension auch nur die Entfernung eines Namens, Bildes oder privaten Details verlangt werden. Reagiert Google nicht angemessen, kommen weitere außergerichtliche oder gerichtliche Schritte in Betracht.

Fazit: Datenschutz ist kein automatischer Löschknopf

Google-Rezensionen stehen weder außerhalb der DSGVO noch führt jede Personenbezeichnung zwingend zu einem Anspruch auf Entfernung. Ein Datenschutzverstoß bei Google Bewertungen setzt eine sorgfältige Prüfung der Daten, des Sachbezugs und der widerstreitenden Rechte voraus. Je privater, umfangreicher und entbehrlicher die veröffentlichten Informationen sind, desto stärker wiegt der Schutz der betroffenen Person.

Unternehmen sollten zugleich ihre eigenen Antworten und Bewertungswidgets datenschutzkonform gestalten. Wer persönliche Angaben gezielt beanstandet, die Meinungsfreiheit berücksichtigt und technische Datenflüsse kontrolliert, verbessert die Chancen auf eine tragfähige Lösung. Bei komplexen oder besonders rufschädigenden Rezensionen empfiehlt sich eine frühzeitige anwaltliche Prüfung, damit Datenschutz-, Persönlichkeits- und Plattformrecht sinnvoll zusammengeführt werden.