Gerätezugriff und gespeicherte Daten getrennt betrachten
Eine entzogene Berechtigung verhindert weitere entsprechende Zugriffe einer App, löscht aber keine bereits übertragenen Informationen. Umgekehrt nimmt das Löschen eines Kontoverlaufs einer Anwendung nicht automatisch die Standortberechtigung. Für eine wirksame Prüfung müssen daher die Zugriffsrechte auf dem Handy und die gespeicherten Informationen beim jeweiligen Dienst getrennt betrachtet werden. Beide Bereiche beantworten unterschiedliche Fragen.
Die Einstellungen liegen je nach Android-Version und Hersteller unter Datenschutz, Sicherheit und Datenschutz, Google oder in der jeweiligen App. Die Suche innerhalb der Systemeinstellungen hilft bei Begriffen wie Berechtigungen, Werbung oder Diagnose. Google-Kontoeinstellungen betreffen das ausgewählte Konto und können auch für weitere dort angemeldete Geräte gelten. Bei mehreren Konten sollte erkennbar sein, welches gerade bearbeitet wird.
Ein Datenschutzschalter ist außerdem nur so umfassend wie seine Beschreibung. Manche Optionen betreffen ausschließlich einen bestimmten Dienst, andere die Nutzung von Informationen für einen bestimmten Zweck. Eine ausgeschaltete Personalisierung bedeutet deshalb nicht automatisch, dass keine Betriebsdaten mehr anfallen. Hilfreich ist die Unterscheidung zwischen Erfassung, Speicherung, Verwendung und Löschung: Eine Einstellung kann nur einen dieser Schritte verändern.
Werbe-ID und personalisierte Werbung unterscheiden
Die Werbe-ID ist eine zurücksetzbare beziehungsweise löschbare Kennung für Werbezwecke auf entsprechend ausgestatteten Android-Geräten. Die verfügbaren Optionen hängen von Systemversion und Google-Diensten ab. Das Zurücksetzen ersetzt die Kennung durch eine neue. Das Löschen entzieht unterstützten Apps den regulären Zugriff auf eine nutzbare Werbe-ID. Keine dieser Aktionen löscht automatisch alle bereits bei Werbeanbietern gespeicherten Informationen.
Eine fehlende Werbe-ID verhindert außerdem nicht jede Wiedererkennung. Ein angemeldetes Konto, eine eigene Kennung der App oder andere zulässige Zuordnungen können unabhängig davon bestehen. Die verbreitete Empfehlung, regelmäßig nur die Werbe-ID zurückzusetzen, greift deshalb zu kurz. Sie verändert einen bestimmten Identifikator und ist weder eine vollständige Löschung des Werbeprofils noch ein Ersatz für sparsame App-Rechte.
Die personalisierte Werbung des Google-Kontos lässt sich gesondert in den dafür vorgesehenen Kontoeinstellungen verwalten. Sie betrifft die Auswahl von Anzeigen anhand der dort berücksichtigten Informationen. Werbung kann weiterhin erscheinen und sich beispielsweise am aktuellen Inhalt orientieren. Einstellungen anderer Anbieter und Werbenetzwerke werden dadurch nicht automatisch mitgeändert. Auch ein Browser kann eigene Cookies und Einwilligungen besitzen.
Je nach Gerät sind zusätzlich Optionen zum Datenschutz bei Werbung vorhanden, etwa für Werbethemen oder von Apps vorgeschlagene Werbung. Diese Funktionen sind von der klassischen Werbe-ID zu unterscheiden. Ihre Verfügbarkeit und Bezeichnung können abweichen. Für die Entscheidung zählt die Erläuterung der jeweiligen Funktion; ein fehlender Menüpunkt sollte nicht mit einem bereits ausgeschalteten Konto-Werbeprofil gleichgesetzt werden.
Aktivitäten im Google-Konto kontrollieren
Die Aktivitätseinstellungen im Google-Konto steuern die Speicherung bestimmter Nutzungsinformationen. Dazu können Suchanfragen, Aktivitäten in Google-Diensten und eigene Verlaufseinstellungen einzelner Produkte gehören. Welche Bereiche angezeigt werden, kann sich je nach Konto und Dienst unterscheiden. Eine Prüfung beginnt deshalb bei den aktuell aufgeführten Kategorien und ihren Zusatzoptionen, nicht bei einer angenommenen universellen Schalterliste.
Bei Web- & App-Aktivitäten können zusätzliche Optionen den Umfang beeinflussen. Auch ein gesonderter Verlauf, etwa für Videonutzung, kann eigene Regeln besitzen. Das Ausschalten einer Kategorie beendet die entsprechende weitere Speicherung im beschriebenen Umfang. Bereits gespeicherte Einträge verschwinden dadurch nicht zwangsläufig. Dafür sind die angebotenen Löschfunktionen und gegebenenfalls die automatische Löschung getrennt zu prüfen.
Eine automatische Löschung ist eine Aufbewahrungsregel, keine Sperre der Erfassung. Neue Aktivitäten können zunächst gespeichert und erst später entfernt werden. Manuelles Löschen wiederum ändert nicht unbedingt die Einstellung für künftige Aktivitäten. Vor dem Bestätigen lohnt deshalb ein Blick auf Zeitraum, ausgewählte Dienste und das aktive Konto. Sonst wird möglicherweise nur ein Ausschnitt entfernt, während andere Kategorien weiterlaufen.
Der Inkognitomodus eines Browsers ersetzt diese Kontoeinstellungen nicht. Er begrenzt vor allem lokale Spuren der jeweiligen Browsersitzung. Bei einer Anmeldung an einem Dienst kann dieser die Nutzung weiterhin dem Konto zuordnen. Auch ohne Anmeldung bleiben serverseitige Vorgänge möglich. Ob der Browser später einen Verlauf anzeigt, beantwortet daher nicht die Frage, welche Daten der angesprochene Dienst verarbeitet hat.
Standortberechtigung und Zeitachse getrennt verwalten
Die Standortberechtigung einer App entscheidet, ob und in welchem Umfang sie Standortinformationen über Android beziehen darf. Je nach Version sind ungefähre Angaben, Zugriff während der Nutzung und weitere Abstufungen verfügbar. Eine Wetter-App benötigt nicht zwangsläufig dieselbe Genauigkeit und Hintergrundfreigabe wie eine laufende Navigation. Die passende Einstellung ergibt sich aus der gewünschten Funktion.
Der früher als Standortverlauf bekannte Bereich der Google Maps-Zeitachse ist davon getrennt. Er dient der Aufzeichnung besuchter Orte und Wege. Die Zeitachse wird auf unterstützten Geräten auf dem Gerät gespeichert; eine optionale Sicherung ist eine zusätzliche Einstellung. Vorhandene Daten und ihre Verwaltung sollten deshalb in Maps auf dem betreffenden Gerät geprüft werden. Konto, App-Stand und verfügbare Funktionen können Unterschiede verursachen.
Das Abschalten der Zeitachse unterbindet nicht jede Verarbeitung von Ortsinformationen. Ein Kartenaufruf, eine Suchanfrage mit Ortsbezug oder die ungefähre Lokalisierung über eine Internetadresse können andere Zusammenhänge betreffen. Auch bereits gespeicherte Zeitachseneinträge sind getrennt zu löschen. Werden mehrere Geräte verwendet, sollten deren lokale Bestände und gegebenenfalls vorhandene Sicherungen berücksichtigt werden. Die Standortfreigabe an andere Personen bildet wiederum eine eigene Funktion.
Diagnosedaten und sichtbare Sensorzugriffe prüfen
Google bietet auf entsprechend ausgestatteten Geräten eine Einstellung für Nutzungs- und Diagnosedaten. Sie betrifft Informationen zur Verwendung und Funktion des Geräts, etwa technische Fehler. Hersteller können zusätzlich eigene Diagnoseprogramme anbieten, Apps eigene Absturzberichte. Die Deaktivierung einer dieser Optionen schaltet die anderen nicht automatisch aus und verhindert nicht den für eine verwendete Funktion nötigen Datenaustausch.
Bei Kamera und Mikrofon zeigen neuere Android-Versionen während des App-Zugriffs einen sichtbaren Indikator an. Über die Anzeige beziehungsweise die zugehörigen Systembereiche lässt sich die verwendende App prüfen; Darstellung und Bedienung unterscheiden sich je nach Oberfläche. Das Datenschutz-Dashboard kann vergangene Berechtigungszugriffe darstellen. Es protokolliert jedoch nicht vollständig, welche Inhalte eine App anschließend übertragen oder gespeichert hat.
Ein unerwarteter Sensorzugriff ist Anlass, die betreffende App und ihre Funktion zu prüfen. Bei einem Gespräch ist Mikrofonnutzung plausibel, nach dessen Ende kann eine genauere Kontrolle nötig sein. Unterstützte Geräte bieten außerdem übergreifende Kamera- und Mikrofonschalter. Diese ersetzen keine Prüfung bereits vorhandener Aufnahmen oder hochgeladener Dateien. Nach dem Entzug einer Berechtigung lässt sich die benötigte Funktion erneut testen und nur der tatsächlich erforderliche Zugriff wieder erlauben.