Erweiterungs-Datenschutz
Welche Browserdaten die Erweiterung Tab Organizer liest, was sie auf Ihrem Gerät speichert, was der Browser synchronisieren kann und was Ihren Browser nicht verlässt.
Zu English wechselnTab Organizer arbeitet mit den Tabs, Fenstern und Tab-Gruppen in Ihrem Browser. Dazu muss die Erweiterung die Adressen und Titel Ihrer offenen Tabs lesen, und sie speichert Arbeitsdaten auf Ihrem Gerät.
Zuerst ist zu klären, welches Paket hier beschrieben wird, denn es gibt zwei davon. Vorrangiger Gegenstand dieser Erklärung ist das Paket, das der Chrome Web Store ausliefert — also das Paket auf Ihrem Gerät, wenn Sie aus dem Store installiert haben. Der Anbieter hat dieses Paket am 20. August 2026 beim Aktualisierungsdienst von Google selbst angefordert, entpackt und Manifest sowie beide gebündelten Skripte gelesen. Sofern eine Passage nichts anderes sagt, beschreiben die folgenden Abschnitte dieses Paket. Diese Website dokumentiert zusätzlich eine Ausgabe, die der Anbieter aus seinem eigenen Quellcode baut und die Google nicht ausliefert; wo eine Passage Verhalten beschreibt, das nur diese Ausgabe hat, sagt sie das mit diesen Worten. Der Abschnitt darüber, welches Paket hier beschrieben wird, nennt die Bestandsaufnahme, die Unterschiede und wie sich die beiden unterscheiden lassen.
Es gibt keine anbieterseitige und keine netzwerkbasierte Analyse oder Telemetrie: Keines der beiden Pakete enthält einen Analysedienst, Absturzberichte oder Werbecode, und in keinem lädt ein Codepfad eine Tab-Adresse, einen Tab-Titel oder einen gespeicherten Datensatz zu einer Schnittstelle des Anbieters hoch. Zwei Dinge sind damit nicht gesagt. Nicht gesagt ist, dass nichts gezählt würde: Das ausgelieferte Paket führt im Speicher Ihres eigenen Browsers einen Aktivierungszähler für Ihre Tabs, und die dokumentierte Ausgabe fügt ein ruhendes Nutzungszähler-Schema, einen Bereich dafür sowie einen Lese- und Exportpfad hinzu — eine festgelegte Form und eine Oberfläche, die der vom Anbieter geprüfte Build nicht schreibt. Und nicht gesagt ist, dass nichts, was von Ihren Tabs abgeleitet ist, ein Netzwerk erreichen könnte: Der Absatz zu den Favicons weiter unten ist die konkrete Ausnahme, und sie steht hier und nicht versteckt weiter hinten.
Im Netzwerk unterscheiden sich die beiden Pakete, und der Unterschied wird genannt statt gemittelt. Das ausgelieferte Paket enthält überhaupt keine Adresse des Anbieters. Es öffnet bei der Installation keine Seite dieser Website, es registriert keine Adresse, die Ihr Browser beim Entfernen öffnen soll, und es enthält keinen Client für irgendeinen Dienst des Anbieters. Die einzige externe Adresse, die seine gewöhnliche Oberfläche Ihnen anbietet, ist der freiwillige Spendenlink, und diesem Link folgt nichts, solange Sie ihn nicht anklicken. Zwei weitere externe Adressen stecken als example.com-Vorgabewerte im Paket und gehören zur ruhenden internen Test-Befehlsfläche, die der Abschnitt darüber beschreibt, welches Paket hier beschrieben wird; keine ausgelieferte Oberfläche bietet sie an, und im gewöhnlichen Gebrauch ruft sie nichts auf — im Code sind sie aber vorhanden, und diese Zusammenfassung sagt das, statt die Korrektur einem späteren Absatz zu überlassen. Die dokumentierte Ausgabe öffnet nach der Installation von selbst eine Seite dieser Website und registriert eine feste Adresse, die Ihr Browser nach dem Entfernen öffnet; der Abschnitt zu den Netzwerkverbindungen beschreibt diese Aufrufe und kennzeichnet sie als zu jener Ausgabe gehörend.
Etwas berührt in beiden Paketen das Netzwerk, ohne dass die Erweiterung darum bittet, und es wird leicht übersehen: die Symbole. Wo die Oberfläche Ihre Tabs auflistet, zeigt sie das jeweilige Favicon über dessen eigene Web-Adresse. Diese Liste anzuzeigen kann Ihren Browser also veranlassen, ein Symbol von der Website zu holen oder zu revalidieren, zu der der Tab gehört. Dieser Aufruf geht an denjenigen, der das Symbol unter dieser Adresse hostet — normalerweise an diese Website und normalerweise nicht an den Anbieter, aber nicht immer: Ist die Symboladresse selbst die des Anbieters, wie es bei einem Tab der Fall ist, den Sie auf der Website des Anbieters offen haben, empfängt der Host des Anbieters den Aufruf. Die Abschnitte zu Netzwerkverbindungen, Browser-Synchronisierung und exportierten Sitzungsdateien sagen genau, was Ihren Browser verlässt und an wen.
Eines gehört ebenfalls in eine Zusammenfassung und nicht in eine Fussnote. Schalten Sie für diese Erweiterung in Ihrem Browser «Im Inkognitomodus zulassen» ein, so nimmt keines der beiden Pakete private Fenster von dem aus, was es aufzeichnet. Der Abschnitt zu privaten und Inkognito-Fenstern sagt genau, was das bedeutet.
Der Anbieter ist eine natürliche Person mit Sitz in der Schweiz. Die hier veröffentlichte Kontaktmöglichkeit für alle datenschutzrechtlichen Anliegen ist die E-Mail-Adresse. Anwendbares schweizerisches Recht ist das Schweizerisches Bundesgesetz über den Datenschutz (DSG).
Der Anbieter hat seinen Sitz in der Schweiz und keine Niederlassung in der Europäischen Union. Die Datenschutz-Grundverordnung kann diese Bearbeitung deshalb nur über ihren Artikel 3 Absatz 2 Buchstabe a erreichen — nur dann, wenn die Erweiterung Personen angeboten wird, die sich in der Union befinden.
Die Erweiterung wird im Chrome Web Store ohne Länderbeschränkung veröffentlicht und kann überall in der Union installiert werden. Ihre Oberfläche ist in neunzehn Sprachen übersetzt, darunter Deutsch. Die Store-Beschreibung bewirbt, dass die Gruppierungsregeln regionale Websites erkennen, und nennt als Beispiele deutsche E-Mail-Dienste für Endkunden. Diese Website veröffentlicht jede Seite vollständig auch auf Deutsch, einschliesslich dieser Erklärung. Dass die Erweiterung kostenlos ist, spielt für Artikel 3 Absatz 2 Buchstabe a keine Rolle.
Angesichts dieser Tatsachen behandelt der Anbieter die Verordnung nicht als unanwendbar. Diese Erklärung ist so verfasst, dass sie auch die nach Artikel 13 erforderlichen Informationen gibt, unten wird eine Rechtsgrundlage nach Artikel 6 genannt, und die Rechte nach Artikeln 15 bis 22 werden für Nutzerinnen und Nutzer im Europäischen Wirtschaftsraum gewährt, innerhalb der bei Ihren Rechten beschriebenen praktischen Grenzen.
Artikel 27 verlangt von einem Verantwortlichen in dieser Lage die Benennung eines Vertreters in der Union, sofern nicht die Ausnahme nach Artikel 27 Absatz 2 greift. Zum Zeitpunkt dieser Erklärung ist kein Vertreter benannt. Sie erreichen den Anbieter direkt über die oben genannte E-Mail-Adresse, und die Aufsichtsbehörde Ihres Wohn- oder Arbeitsorts steht Ihnen weiterhin offen.
Es gibt zwei Builds von Tab Organizer. Eine Datenschutzerklärung, die stillschweigend jenes Paket beschreibt, das Sie nicht haben, wäre für Sie nutzlos. Dieser Abschnitt sagt deshalb, welches welches ist, und der übrige Teil dieser Erklärung beschreibt jenes, das Sie mit überwiegender Wahrscheinlichkeit einsetzen.
Das Paket, das der Store ausliefert, und was darin gelesen wurde. Der Anbieter hat die Erweiterung am 20. August 2026 beim Aktualisierungsdienst von Google für dessen Store-Eintrag angefordert, das Erhaltene entpackt und Manifest sowie beide gebündelten Skripte gelesen. Dieses Artefakt war 433 130 Bytes gross und hat den SHA-256-Fingerabdruck 78bd6bfb5fe5ca921dfed71f84dbd9f973940d82b8ce85e4c2e58a06f3a9494b. Der Fingerabdruck steht hier, weil er einen Build eindeutig bezeichnet — was die Versionsnummer, wie der letzte Absatz dieses Abschnitts erläutert, nicht tut. Was die Lektüre ergeben hat:
tabs, storage, windows, tabGroups, system.display, alarms — und nichts weiter. Keine Host-Berechtigung irgendeiner Art, keine Seitenbereichs-Berechtigung und keine Content-Skripte.example.com-Vorgabewerte im Code, und der nächste Punkt sagt, wozu sie gehören.__e2e_ beginnen. Sie sind eine Automatisierungsfläche für die eigenen End-to-End-Tests des Anbieters und wurden mit der Veröffentlichung mitgeliefert. Werden sie aufgerufen, können sie tun, was die Erweiterung kann: Tabs erstellen oder schliessen — auch Tabs an den oben genannten example.com-Vorgabeadressen —, Tabs und Gruppen zwischen Fenstern verschieben, die Synchronisierung einschalten, eine erfundene Bildschirmanordnung einsetzen und internen Zustand zurückgeben. Zwei Tatsachen begrenzen sie, und beide wurden in diesem Paket geprüft. Erreichbar sind sie nur auf dem internen Nachrichtenkanal der Erweiterung selbst: Das Manifest deklariert keinen externally_connectable-Eintrag, und das Paket enthält keinen Empfänger für Nachrichten von aussen; keine Website und keine andere Erweiterung kann sie also aufrufen. Und nichts in der ausgelieferten Oberfläche ruft sie auf — das Popup-Skript enthält keinen dieser Namen —, im gewöhnlichen Gebrauch liegen sie somit ungenutzt. In ein veröffentlichtes Paket gehören sie nicht; sie zu entfernen ist eine Änderung im Erweiterungs-Repository und nichts, was diese Website tun kann, und diese Erklärung legt sie offen, weil sie in dem Paket sind, das Sie haben.Die Ausgabe, die diese Website dokumentiert und die Google nicht ausliefert. Der Anbieter baut zusätzlich eine Ausgabe aus seinem eigenen Quellcode und bereitet sie für die Veröffentlichung vor. Sie ist nicht im Store, und diese Erklärung sagt nichts darüber, ob und wann sie es sein wird — sie wird hier beschrieben, weil diese Website sie dokumentiert, und nicht, weil sie Ihnen zugesagt wäre. Wo eine Passage unten diese Ausgabe beschreibt, ist sie gekennzeichnet, und gekennzeichnetes Verhalten ist Verhalten, das das Paket auf Ihrem Gerät nicht hat. Die vom Anbieter festgestellten Unterschiede sind: eine sidePanel-Berechtigung; eine Host-Berechtigung, https://votes.taborganizer.app/*, samt dem Client-Code der Community-Abstimmung, für den diese Berechtigung besteht; die nach der Installation geöffnete Seite dieser Website und die nach dem Entfernen geöffnete feste Adresse; Gruppierungsregeln, Gruppentaxonomie, Kontextprofile und die Einstellungen für übergrosse Gruppen zusätzlich im synchronisierten Satz; ein nach Adresse geführter Seiten-Aktivierungsindex, der das Schliessen des Tabs absichtlich überdauert; bis zu zehn Wiederherstellungs-Snapshots; und das ruhende lokale Nutzungszähler-Schema mit seinem Bereich und dessen Lese- und Exportpfad.
Was der Vergleich nicht umfasst. Die beiden Builds wurden auf die oben aufgeführten Dimensionen verglichen — Manifest und Berechtigungen, Oberflächen, Adressen und Netzwerkpfade, die in jeden Speicherbereich geschriebenen Schlüssel sowie Vorhandensein oder Fehlen der benannten Funktionen. Sie wurden nicht Zeile für Zeile verglichen; die Liste der Unterschiede ist also, was der Anbieter gefunden hat, und kein Beweis, dass es keinen weiteren gibt. Ändert ein späteres Lesen eines der beiden Builds eine Antwort von oben, wird diese Erklärung überarbeitet, und das Gültigkeitsdatum oben auf dieser Seite rückt mit.
Wie Sie erkennen, welches Sie haben. Nicht an der Versionsnummer: Beide Builds melden dieselbe, und chrome://extensions zeigt Ihnen nur diese — diese Erklärung tut also nicht so, als könnte jene Seite die beiden unterscheiden. Was sie dort unterscheidet, ist die Berechtigungsliste. Die Detailseite des ausgelieferten Pakets zeigt die sechs oben genannten Berechtigungen und überhaupt keinen Website-Zugriff; die dokumentierte Ausgabe fügt den Seitenbereich und einen Website-Zugriff für die Abstimmungsadresse hinzu. Der Fingerabdruck oben bezeichnet das ausgelieferte Artefakt für alle, die einen Download dagegen prüfen wollen. Und der Store-Eintrag zeigt, was der Store gerade anbietet, und das ist nicht zwingend das, was Sie installiert haben.
Das meiste, was die Erweiterung tut, geschieht in Ihrem eigenen Browser unter Ihrer Kontrolle, wie bei einem lokal installierten Programm. Soweit diese Vorgänge dem Anbieter zuzurechnen sind, ist der Anbieter Verantwortlicher — und dass ein Vorgang auf Ihrem Gerät läuft, macht ihn für sich allein nicht zum Vorgang einer anderen Person. Welche Vorgänge der Anbieter als seine eigenen behandelt und warum, steht Vorgang für Vorgang unter Rechtsgrundlagen.
Für den Browser selbst ist der Anbieter nicht Verantwortlicher. Ihr Browser-Hersteller entscheidet, wie der Browser, sein Konto und sein Synchronisierungsdienst funktionieren, und bearbeitet Daten nach seinen eigenen Datenschutzbestimmungen. Für diese Bearbeitung ist der Hersteller unabhängiger Verantwortlicher und nicht Auftragsbearbeiter des Anbieters: Er entscheidet in eigener Verantwortung, wo synchronisierte Daten gespeichert werden, wie lange sie aufbewahrt und auf welcher Grundlage sie übermittelt werden. Der Anbieter hat keinen Zugriff auf Ihr Browser-Konto, kann Ihre synchronisierten Daten nicht lesen und sie nicht für Sie löschen.
Bei der Browser-Synchronisierung treffen diese beiden Antworten aufeinander, und der Anbieter nimmt die Unabhängigkeit des Herstellers nicht zum Anlass, seinen eigenen Anteil daran abzustreiten. Dass einige Ihrer Einstellungen in den synchronisierten Speicherbereich des Browsers geschrieben werden statt in einen Speicher, der auf dem Gerät bleibt, ist eine Entscheidung des Anbieters, getroffen im Code der Erweiterung — und ebenso die Auswahl, welche Kategorien dorthin gehen: im ausgelieferten Paket die von Ihnen eingegebenen Gruppennamen, in der dokumentierten Ausgabe zusätzlich Gruppierungsregeln und Taxonomieeinträge, die von Ihnen besuchte Websites benennen können. Erst diese Entscheidung bringt die Daten überhaupt in den Synchronisierungskanal, und dafür steht der Anbieter ein: für die Wahl dieses Speicherbereichs, für die ausgewählten Kategorien, dafür, Ihnen zu sagen, welche das sind, dafür, im Abschnitt zur Synchronisierung zu nennen, wer sie erhält, wo dieser Empfänger sie nach eigener Angabe bearbeitet und auf welcher Übermittlungsgrundlage, und dafür, Ihnen zu sagen, wie Sie die Übermittlung unterbinden. Was mit den Daten geschieht, nachdem sie die Infrastruktur des Herstellers erreicht haben, ist dessen eigene, von ihm entschiedene Bearbeitung. Ob beide für die Synchronisierungsstufe gemeinsam Verantwortliche sind, bedürfte einer vertraglichen und tatsächlichen Prüfung, die der Anbieter nicht abgeschlossen hat; diese Erklärung behauptet daher in keine Richtung eine gemeinsame Verantwortlichkeit, sondern sagt, was der Anbieter entscheidet und verantwortet und was nicht.
Je nach genutzter Funktion liest und bearbeitet die Erweiterung:
Tab-Adressen und -Titel können für sich schon vieles offenlegen. Eine einzige Adresse kann zeigen, woran Sie arbeiten, was Sie lesen und mit wem Sie kommunizieren, und sie kann auf ein Gesundheitsthema, eine politische oder religiöse Überzeugung, eine gewerkschaftliche Betätigung oder Ihre sexuelle Orientierung deuten — jene Kategorien, die Artikel 9 Absatz 1 DSGVO als besondere Kategorien behandelt und Artikel 5 Buchstabe c DSG als besonders schützenswerte Personendaten bezeichnet.
Beide Pakete vergleichen dieses Material zudem mit einer Liste. Um für einen Tab eine Gruppe zu wählen, vergleicht die Erweiterung dessen Adresse und dessen Titel mit einem Satz von Domains und Schlüsselwörtern, der im Paket eingebaut ist. Das ist die eigene Klassifikation Ihres Surfverhaltens durch den Anbieter, und der Abschnitt zu den Rechtsgrundlagen arbeitet durch, was sie tut und was nicht, statt es Ihnen zum Raten zu überlassen. Was jener Abschnitt nicht tut: das Fehlen einer Kopie auf den Servern des Anbieters als Antwort auf Artikel 9 behandeln. Wohin dieses Material auf Ihrem Gerät geht, sagen die folgenden Abschnitte.
Das ausgelieferte Paket deklariert diese Berechtigungen und keine weiteren:
| Berechtigung | Wofür sie verwendet wird |
|---|---|
tabs | Tabs lesen, durchsuchen, aktivieren, verschieben, gruppieren und schliessen; Adressen und Titel für Gruppierung, Suche, Statistik und Sitzungen lesen |
storage | Einstellungen, Gruppendaten, Zähler und letzte Sitzungen auf dem Gerät speichern und die unten genannten Einstellungen über den Browser synchronisieren |
windows | Fenster lesen, fokussieren, erstellen, zusammenführen und positionieren, auch beim Wiederherstellen einer Sitzung |
tabGroups | Die nativen Tab-Gruppen des Browsers lesen, erstellen, umbenennen, umfärben und einklappen |
system.display | Bildschirmarbeitsflächen lesen, damit gespeicherte Fensteranordnungen auf dem richtigen Bildschirm wiederhergestellt werden |
alarms | Badge-Aktualisierungen und regelmässige Bereinigung veralteter Daten planen |
Keines der beiden Pakete deklariert Content-Skripte; keines führt also Code in den von Ihnen besuchten Seiten aus, und keines kann Seiteninhalte, Formulareingaben oder Passwörter lesen.
Die dokumentierte Ausgabe fügt zwei Einträge hinzu, und beide werden hier genannt statt in die Tabelle oben eingearbeitet. Sie deklariert sidePanel, damit die Oberfläche im Seitenbereich des Browsers angezeigt werden kann, wenn Sie diesen als Host wählen. Und sie deklariert eine Host-Berechtigung, https://votes.taborganizer.app/*, für die bei den Netzwerkverbindungen beschriebene Community-Abstimmung; in dem vom Anbieter geprüften Build ist diese Berechtigung ungenutzt, weil kein Codepfad darin diese Adresse kontaktiert. Das ausgelieferte Paket deklariert keine von beiden.
Die Erweiterung schreibt in den lokalen Erweiterungsspeicher Ihres Browsers. Im ausgelieferten Paket gehört dazu:
Das ausgelieferte Paket nutzt zudem den Sitzungsspeicherbereich des Browsers für einen kurzlebigen Datensatz: welche Tab-Gruppen die Erweiterung selbst erstellt hat, je Eintrag mit einer Verfallszeit. Ihr Browser leert diesen Bereich, wenn die Browsersitzung endet.
Nur in der dokumentierten Ausgabe. Google liefert das Folgende nicht aus, und das Paket auf Ihrem Gerät hat es nicht:
Ein Seiten-Aktivierungsindex. Statt eines Eintrags je Tab speichert diese Ausgabe die Adresse ohne Fragment — einschliesslich allfälliger Abfrageparameter — zusammen mit einem Aktivierungszähler, dem Zeitpunkt der letzten Aktivierung und dem Zeitpunkt des ersten Auftretens. Dieser Index überdauert das Schliessen eines Tabs absichtlich, damit Vorschläge stabil bleiben. Er wird geleert, wenn Sie eine Sitzung wiederherstellen, und bleibt sonst, bis die Erweiterung entfernt wird.
Ihre Gruppierungsregeln und Ihre Gruppentaxonomie, einschliesslich der von Ihnen geschriebenen Regelmuster. Ein Muster kann eine Domain, eine gehashte Domain, eine Adresse, ein Seitentitel, ein Platzhalterausdruck oder ein regulärer Ausdruck sein und kann damit selbst besuchte Websites beschreiben. In jener Ausgabe werden diese auch in den synchronisierten Speicher geschrieben.
Kontextprofile und welches davon aktiv ist, mit den von Ihnen gewählten Profilnamen. Jedes Profil hält eine eigene Kopie Ihrer Regeln und Ihrer Taxonomie.
Wiederherstellungs-Snapshots: bis zu zehn, und sie sind ein zweiter Satz vollständiger Aufnahmen und nicht Teil der fünf letzten Sitzungen. Ihr Zweck ist, dass eine Aktion, die Ihren Zustand ersetzt, ihn nicht ohne Rückweg verlieren kann: Zuerst wird ein Snapshot geschrieben, und nur wenn das gelingt, läuft die Aktion. Ausgelöst wird einer beim Wiederherstellen oder Laden einer Sitzung, beim Übernehmen eines synchronisierten Zustands, beim Auflösen einer Gruppe oder beim Aufheben aller Gruppierungen, bei der Bereinigung «alle ausser dem aktiven Tab schliessen» und beim Import migrierter Daten. Ein Snapshot enthält je Fenster die Adressen, Titel und Favicon-Adressen seiner Tabs, ob ein Tab angepinnt ist, die Tab-Gruppen mit Namen und Farben, die Adresse des aktiven Tabs, Position, Grösse, Zustand und Fokus des Fensters, den zugehörigen Bildschirm und Ihre Bildschirmanordnung — dazu den Zeitpunkt der Aufnahme, die zugehörige Aktion und deren eigene Parameter, eine erzeugte Kennung sowie die Zahl der enthaltenen Tabs und Fenster. Ein Snapshot wird nach einer Wiederherstellung nicht gelöscht: Der elfte verdrängt den ältesten, und der ganze Satz verschwindet, wenn die Erweiterung entfernt wird.
Ein ruhendes lokales Nutzungszähler-Schema, ein Bereich dafür und ein Lese- und Exportpfad. Diese Ausgabe enthält eine Funktion für Bewertungsanfragen, für die im lokalen Speicher ein Zähler-Datensatz festgelegt ist, samt der Oberfläche, die ihn anzeigen würde. Vorhanden sind in dem vom Anbieter geprüften Build das Schema, der Bereich sowie der Lese- und Exportpfad — und keine produktive Schreibstelle legt den Datensatz an oder schreibt ihn fort: Die Komponente, die die Zähler erhöhen würde, wird vom Start des Hintergrunds nie instanziiert, und die beiden Nachrichten, die die Oberfläche beim Öffnen des Popups und beim Anzeigen eines Synchronisierungsfehlers sendet, haben keinen registrierten Handler und bleiben daher wirkungslos. Der Lesepfad liefert Nullen, wenn der Schlüssel fehlt. Eine frische Installation jener Ausgabe legt in dem geprüften Build den Datensatz also nicht an und speichert diese Zählwerte nicht dauerhaft. Ein Schema, ein Bereich und ein Ersatz-Lesepfad sind kein Datensatz im lokalen Speicher, und diese Erklärung beschreibt sie nicht als einen solchen.
Es gibt keine einheitliche Löschfrist für all dies. Die Daten bleiben, solange Sie die Erweiterung nutzen, im Rahmen der oben genannten Grenzen, und werden entfernt, wenn die Erweiterung entfernt wird, wie der Abschnitt zum Löschen Ihrer Daten erläutert. Keiner dieser Datensätze wird zu einer Schnittstelle des Anbieters hochgeladen — mit einer offengelegten Ausnahme, die in die andere Richtung läuft: Eine in einer Sitzung gespeicherte Favicon-Adresse kann dargestellt werden, und das Darstellen veranlasst Ihren Browser, diese Adresse bei ihrem Host anzufragen, was in dem unter Netzwerkverbindungen beschriebenen Fall ein Host sein kann, den der Anbieter kontrolliert. Zutreffend ist deshalb: Die Erweiterung lädt ihre gespeicherten Datensätze und Ihre Tab-Adressen und -Titel nicht zum Anbieter hoch — nicht, dass nichts Gespeichertes je einen Aufruf erzeugen könnte.
Ob diese Erweiterung ein privates Fenster überhaupt sieht, entscheidet Ihr Browser — und Sie: Eine Erweiterung hat keinen Zugriff auf Inkognito-Fenster, solange Sie nicht unter chrome://extensions «Im Inkognitomodus zulassen» für sie einschalten. Dieser Schalter ist standardmässig aus. Solange er aus ist, betrifft Sie dieser Abschnitt nicht.
Schalten Sie ihn ein, so tun beide Pakete Folgendes — klar gesagt, weil es nicht das ist, was der Schalter vermuten lässt. Keines deklariert in seinem Manifest einen incognito-Wert, weshalb Chrome seinen Standard anwendet, spanning: Ein einziger Erweiterungsprozess bedient Ihre gewöhnlichen und Ihre privaten Fenster zusammen. Chrome markiert Tabs und Fenster einer privaten Sitzung mit einer incognito-Eigenschaft, und die Chrome-Dokumentation hält fest, dass chrome.storage.local und chrome.storage.sync zwischen dem gewöhnlichen und dem Inkognito-Kontext geteilt werden. Es gibt keinen gesonderten privaten Speicher, in den eine Erweiterung schreiben könnte.
Die Erweiterung prüft diese Eigenschaft nicht, bevor sie aufzeichnet. Die Ereignisse, die den Aktivierungsdatensatz anlegen und fortschreiben, werden ohne Unterscheidung zwischen einem privaten und einem gewöhnlichen Tab behandelt. Die Abfragen, die Ihre offenen Tabs und Fenster lesen — für eine Sitzungsaufnahme und in der dokumentierten Ausgabe für den Aktivierungsindex beim Start und für einen Wiederherstellungs-Snapshot —, sind nicht auf nicht-private Fenster beschränkt; die Fensterabfrage dieser Pfade fragt den Fenstertyp «normal» ab, und das ist ein Fenstertyp und nicht das Gegenteil von privat. Das ausgelieferte Paket kopiert die Privat-Kennzeichnung eines Fensters durchaus in die Beschreibung, die es für eine Aufnahme baut, nutzt sie aber nicht, um etwas auszulassen. Die Adresse eines privaten Tabs kann daher im gewöhnlichen lokalen Speicher liegen, solange dieser Tab besteht; eine Sitzungsaufnahme, die aufgenommen wurde, während ein solches Fenster offen war, kann dessen Tabs enthalten; und in der dokumentierten Ausgabe, in der der Aktivierungsindex nach Adresse geführt wird und das Schliessen des Tabs absichtlich überdauert, kann eine erstmals in einem privaten Fenster gesehene Adresse im gewöhnlichen lokalen Speicher verbleiben, nachdem dieses Fenster verschwunden ist.
Die Chrome-Leitlinie für Entwickelnde von Erweiterungen lautet, dass eine Erweiterung, die Browsing-Verlauf speichert, ihn nicht aus Inkognito-Fenstern speichern und die incognito-Eigenschaft prüfen soll. Keines der beiden Pakete setzt diese Prüfung um. Diese Erklärung sagt das, statt einen Filter zu beschreiben, der nicht vorhanden ist, und sie verspricht kein Verhalten, das sie Ihnen im Produkt nicht zeigen kann.
Was Sie tun können. «Im Inkognitomodus zulassen» ausgeschaltet zu lassen ist der Standard des Browsers und hält private Fenster ganz von der Erweiterung fern. War der Schalter an, so löscht das Entfernen der Erweiterung ihren lokalen Speicher vollständig, wie der Abschnitt zum Löschen Ihrer Daten beschreibt; es gibt kein gesondertes Bedienelement, das nur die aus einem privaten Fenster entstandenen Einträge entfernt, weil nichts sie als solche kennzeichnet.
Einige Einstellungen werden in chrome.storage.sync geschrieben statt in den lokalen Speicher. Wenn Sie in Ihrem Browser angemeldet sind und die Synchronisierung aktiv ist, überträgt der Browser-Hersteller diese Einstellungen über seine eigene Infrastruktur an Ihre anderen Browser-Installationen.
Im ausgelieferten Paket werden in den synchronisierten Speicher geschrieben:
In der dokumentierten Ausgabe ist dieser Satz grösser und umfasst zusätzlich Ihre Gruppentaxonomie mit Anzeigenamen und allfälligen zusätzlichen Domains, die Sie einer Gruppe zuweisen, Ihre Gruppierungsregeln, Ihre Kontextprofile und welches aktiv ist sowie die Einstellungen zum Aufteilen übergrosser Gruppen.
Was in beiden Fällen Aufmerksamkeit verdient, ist derselbe Punkt, und er wird deshalb für beide gemacht. Ein Gruppenname ist eine Zeichenfolge, die Sie eingeben, und eine Zeichenfolge, die Sie eingeben, kann so viel offenlegen wie alles andere, was Sie aufschreiben. Gruppierungsregeln und die zusätzlichen Domains einer Taxonomie können die Namen von Websites enthalten, die Sie besuchen. So oder so hat der Anbieter für diesen Kanal Daten ausgewählt, die Ihre Interessen benennen können, und sie sind damit Teil dessen, was der Synchronisierungsdienst des Browser-Herstellers transportiert. Ihre offenen Tabs, der Aktivierungsdatensatz, die Domain-zu-Gruppe-Zuordnungen und Ihre letzten Sitzungen werden in keinem der beiden Pakete in den synchronisierten Speicher geschrieben, und ebenso nicht die Wiederherstellungs-Snapshots und das Nutzungszähler-Schema der dokumentierten Ausgabe.
Wer was entscheidet und wer die Daten erhält. Diese Einstellungen in den synchronisierten Bereich zu schreiben, ist die Entscheidung des Anbieters, wie im Abschnitt zur Verantwortlichkeit gesagt, und die Liste oben ist die Offenlegung dessen, was diese Entscheidung übergibt. Weitertransportiert werden sie vom Dienst des Browsers selbst: Die offizielle Dokumentation von Chrome zur Storage-API hält fest, dass Einträge im Sync-Bereich über Chrome Sync synchronisiert werden und bei eingeschalteter Synchronisierung an jeden Chrome-Browser gelangen, in dem Sie angemeldet sind; die Google-Dokumentation zum angemeldeten Chrome beschreibt solche Daten als in Ihrem Google-Konto gespeichert.
Empfänger ist bei Google Chrome damit Google, das diese Kopie in eigener Verantwortung und nach seinen eigenen Bestimmungen bearbeitet. Weil die Bekanntgabe in diesen Kanal auf einer eigenen Entscheidung des Anbieters beruht, sagt der Anbieter, was diese Bekanntgabe bedeutet, statt Sie damit alleinzulassen. Das Folgende ist Googles eigenen veröffentlichten Dokumenten entnommen, abgerufen am 20. August 2026:
Nutzen Sie einen anderen Chromium-basierten Browser, ist Empfänger dessen Hersteller, und es gelten seine eigenen veröffentlichten Bestimmungen; Google ist hier genannt, weil Chrome der Browser ist, für den diese Erweiterung verteilt wird, und diese Erklärung wird überarbeitet, bevor ein weiterer Browser unterstützt wird. Der Anbieter hat keinen Zugriff auf die synchronisierte Kopie, kann sie nicht lesen und nicht für Sie löschen.
Was Sie tun können — und die beiden Bedienelemente tun nicht dasselbe. Die Synchronisierung der Erweiterung in Ihrem Browser auszuschalten oder den Browser ohne Anmeldung zu nutzen, ist das, was diese Daten auf Ihrem Gerät hält: Derselbe Speicherbereich verhält sich dann wie lokaler Speicher, und nichts gelangt in den Synchronisierungskanal. Wenn diese Einstellungen gar nicht erst reisen sollen, ist das das Bedienelement dafür, und es ist das einzige, das dies erreicht.
Eine eigene Synchronisierungs-Passphrase ist etwas anderes und verhindert nicht, dass die Daten reisen. Die Hilfeseite von Google zu dieser Funktion, abgerufen am 20. August 2026, sagt im Original: «With a passphrase, you can use Google's cloud to store your Chrome data without letting Google read it» — mit einer Passphrase können Sie Googles Cloud also nutzen, um Ihre Chrome-Daten zu speichern, ohne dass Google sie liest. Dieselbe Seite hält fest, dass beim Ändern der Passphrase die mit ihr verschlüsselten Daten von den Servern von Google gelöscht werden. Beide Sätze sagen dasselbe von zwei Seiten her: Mit gesetzter Passphrase werden die synchronisierten Daten weiterhin zur Infrastruktur von Google hochgeladen und dort gespeichert, und was die Passphrase bewirkt, ist die Verschlüsselung des Inhalts, sodass Google ihn nach eigener Angabe nicht lesen kann. Das ist eine Schutzmassnahme dagegen, dass der Empfänger den Inhalt liest, und kein Weg, den Inhalt von den Systemen des Empfängers fernzuhalten. Für die Frage, ob überhaupt eine Verarbeitung vorliegt, ändert es nichts: Artikel 4 Nummer 2 DSGVO zählt das Speichern und die «Offenlegung durch Übermittlung» zur Verarbeitung, unabhängig davon, ob der Empfänger den Schlüssel hat. Eine frühere Fassung dieser Erklärung stellte die Passphrase als eines von zwei Bedienelementen dar, mit denen die Einstellungen nicht reisen. Das war falsch, und die Korrektur ist dieser Absatz und keine stille Löschung.
Die Erweiterung bietet keinen eigenen Schalter je Kategorie, und auch das ist eine Gestaltungsentscheidung des Anbieters und keine Grenze des Browsers.
Beim Export einer Sitzung wird eine .tabsession-Datei an den von Ihnen gewählten Ort geschrieben. Sitzungsdateien sind nicht verschlüsselt und bestehen aus einfachem, lesbarem JSON. Eine Datei kann Adresse und Titel jedes enthaltenen Tabs, Favicon-Adressen, Gruppenangaben, Fenster- und Bildschirmgeometrie, den Aufnahmezeitpunkt und die Plattform enthalten.
Die Datei enthält ein Feld mit dem Namen checkmark. Es hält einen Wert, der berechnet wird, indem die Tab-Adressen der Sitzung zusammen mit einer in der Erweiterung fest eingebauten Zeichenfolge gehasht werden. Es ist ein ungenutztes, prüfsummenartiges Feld, das im Dateiformat mitgeführt wird, und es gibt Ihnen keinerlei Zusicherung: keine Vertraulichkeit, denn es ist keine Verschlüsselung und der übrige Dateiinhalt ist Klartext; keine Integrität, denn nichts berechnet es neu; und keine Authentizität und keine Herkunft, denn die fest eingebaute Zeichenfolge steckt in jeder Kopie der Erweiterung, sodass jede Person den Wert für jede beliebige Datei erzeugen oder ersetzen kann. Die Importprüfung akzeptiert in diesem Feld jede Zeichenfolge bis zu einer Längengrenze und vergleicht sie nie mit dem Dateiinhalt. Behandeln Sie sein Vorhandensein nicht als Angabe darüber, woher eine Datei kommt.
Wer die Datei lesen kann, kann Ihre Browsing-Struktur lesen. Sehen Sie sich eine Sitzungsdatei an, bevor Sie sie weitergeben, bewahren Sie sie so sorgfältig auf wie die Tabs, die sie enthält, und löschen Sie sie separat, wenn Sie sie nicht mehr brauchen. Die Erweiterung sendet exportierte Dateien nirgendwohin; nur Sie bewegen sie.
Eine Aufnahme umfasst die Fenster, die im Zeitpunkt der Aufnahme offen waren, und sie nimmt ein privates Fenster nicht aus: Haben Sie die Erweiterung im Inkognitomodus zugelassen, kann eine exportierte Datei private Tabs enthalten, wie der Abschnitt zu privaten und Inkognito-Fenstern erläutert.
Der Import läuft in die andere Richtung, und eine Datei, die Sie nicht selbst geschrieben haben, ist nicht vertrauenswürdige Eingabe. Das Favicon-Feld einer Sitzung ist eine Adresse, und nichts verlangt, dass sie zu den in der Datei aufgeführten Websites gehört; wird ein solches Symbol angezeigt, kontaktiert Ihr Browser den Server, den diese Adresse nennt — wie unter Netzwerkverbindungen beschrieben. Importieren Sie Sitzungsdateien nur aus einer Quelle, der Sie vertrauen, und lesen Sie eine unbekannte Datei, bevor Sie sie importieren.
Keines der beiden Pakete bündelt einen Analyse- oder Telemetriedienst, eine Werbebibliothek oder einen Absturzberichter; keines lädt entfernten Code; und keines öffnet für seine Arbeit eine Verbindung zu einer Schnittstelle des Anbieters. Es gibt keine anbieterseitige und keine netzwerkbasierte Analyse oder Telemetrie irgendeiner Art — nichts misst Ihre Nutzung der Erweiterung anderswo als im Speicher Ihres eigenen Browsers. Gemessen wird dort durchaus, und zutreffend ist die engere Aussage: Die Leistungszähler sind Ganzzahlen im Speicher für interne Budgetprüfungen, der unter «Was auf Ihrem Gerät gespeichert wird» beschriebene Aktivierungsdatensatz hält Zählwerte und Zeitstempel im lokalen Speicher, und die dokumentierte Ausgabe fügt das im selben Abschnitt beschriebene ruhende Nutzungszähler-Schema mit seinem Bereich und seinem Lese- und Exportpfad hinzu, das der geprüfte Build nicht schreibt. Keines davon wird übermittelt, und es gibt keinen Codepfad, der es übermitteln würde.
Was folgt, ist, was der Anbieter gefunden hat und deshalb offenlegt. Es ist eine Aufzählung der ihm bekannten Netzwerkpfade, kein Beweis, dass es keinen weiteren gibt: Eine solche absolute Aussage lässt sich nicht dadurch belegen, dass man Code nach Verbindungsaufrufen durchsucht — wie der Eintrag zu den Favicons unten zeigt.
Favicons, die die Oberfläche anzeigt. Die Erweiterung liefert die Symbole, die sie neben Ihren Tabs zeigt, nicht selbst mit. Sie nimmt die Symboladresse, die der Browser für einen Tab meldet — normalerweise eine Adresse der Website, auf die dieser Tab zeigt —, setzt sie in ein Bildelement, und Ihr Browser lädt sie von dort. Ihr Browser kann das aus seinem Cache bedienen; er kann das Symbol genauso gut über das Netzwerk holen oder revalidieren. Tut er das, geht der Aufruf an denjenigen, der dieses Symbol hostet, und dieser erhält, was jede Anfrage nach einem Bild mitbringt: die IP-Adresse Ihrer Verbindung, den Zeitpunkt, die angefragte Adresse sowie die Browser- und Betriebssystemangaben, die Ihr Browser sendet. Empfänger ist der Host, den diese Symboladresse nennt. Normalerweise ist das die Website, deren Symbol es ist, oder ein Dienst, der das Symbol für sie ausliefert, und normalerweise ist es nicht der Anbieter — aber «normalerweise» ist die Grenze dieser Aussage, «nie» sagt sie nicht. Die Adresse kommt vom Tab; ist der Tab auf der Website des Anbieters offen, ist die Adresse die des Anbieters selbst: https://www.taborganizer.app/favicon.ico wird vom Host des Anbieters ausgeliefert. Im ausgelieferten Paket tritt das ein, wenn Sie einen solchen Tab selbst offen haben; in der dokumentierten Ausgabe zusätzlich deshalb, weil jene Ausgabe nach der Installation eine Seite dieser Website und nach dem Entfernen eine weitere öffnet. So oder so ist das Darstellen des Symbols, solange ein solcher Tab aufgelistet ist, ein Aufruf, den der Host des Anbieters empfängt, mit denselben Metadaten wie jeder andere Host. Eine importierte Sitzungsdatei kann dasselbe absichtlich tun: Ihre Symboladresse ist beliebig und kann auf den Anbieter oder auf jeden anderen gerichtet werden. Zwei weitere Folgen sind zu benennen. Erstens kann ein solcher Aufruf dieser Website mitteilen, dass ihr Symbol in diesem Moment dargestellt wurde; bei einem offenen Tab ist das eine Angabe darüber, wie Sie Ihren Browser nutzen. Zweitens wird die Symboladresse in einer Sitzungsdatei gegen nichts geprüft: Das Dateiformat akzeptiert in diesem Feld jede Web-Adresse, sodass eine importierte Sitzung, die Sie nicht selbst erstellt haben, ein Symbol auf einen Server der Verfasserin oder des Verfassers richten kann. Behandeln Sie Sitzungsdateien anderer Personen als nicht vertrauenswürdig, wie im Abschnitt zu Sitzungsdateien gesagt. Keines der beiden Pakete deklariert eine eigene Content-Security-Policy, die einschränken würde, woher Bilder geladen werden dürfen; keines verhindert dies also, und begrenzt wird es durch den Cache Ihres Browsers und dadurch, welche Listen Sie öffnen.
Links, die Sie anklicken. Die Oberfläche des ausgelieferten Pakets enthält einen freiwilligen Unterstützungslink zu einer externen Spendenseite; die dokumentierte Ausgabe fügt Links zum Chrome-Web-Store-Eintrag und zur Dokumentation hinzu. Einem Link zu folgen ist Ihre Handlung; die Zielseite wendet dann ihre eigenen Datenschutzbestimmungen an und sieht dieselben gewöhnlichen Anfragemetadaten.
Die Erweiterung bearbeitet Browserdaten, um die von Ihnen aufgerufenen Funktionen bereitzustellen. Das schweizerische Recht verlangt nicht für jeden Vorgang eine Rechtsgrundlage, wie es die Datenschutz-Grundverordnung tut: Die Bearbeitung durch eine private Person ist zulässig, solange sie die Persönlichkeit der betroffenen Person nicht widerrechtlich verletzt (Artikel 30 Absatz 1 DSG); verletzt sie sie, verlangt Artikel 31 eine Rechtfertigung. Für die von Ihnen aufgerufenen Funktionen gelten der Zweck, zu dem Sie sie aufgerufen haben, und die Grundsätze von Artikel 6 DSG; für sie wird keine Einwilligung eingeholt, und auf keine wird sich gestützt. Zwei Fragen brauchen mehr als diesen Absatz — besonders schützenswerte Personendaten und die Bekanntgabe an den Synchronisierungsdienst Ihres Browsers — und beide werden unten beantwortet und nicht hier erledigt.
Soweit die Datenschutz-Grundverordnung anwendbar ist, ist die Rechtsgrundlage Artikel 6 Absatz 1 Buchstabe f und nicht Artikel 6 Absatz 1 Buchstabe b. Eine frühere Fassung dieser Erklärung stützte sich für die Kernfunktionen auf Artikel 6 Absatz 1 Buchstabe b und beschrieb ihn als «Bearbeitung zur Erbringung der von Ihnen gewünschten Funktionalität», während sich die schweizerische Prüfung unten auf gar keinen Vertrag stützte. Eine Grundlage, die es nur bei einem Vertrag gibt, lässt sich nicht damit verbinden, dass kein Vertrag benannt wird; tragfähig ist für den Anbieter die zweite Position, und Artikel 6 Absatz 1 Buchstabe b ist deshalb gestrichen.
Artikel 6 Absatz 1 Buchstabe b ist keine allgemeine Grundlage für gewünschte Funktionalität. Er greift nur, wenn die Verarbeitung objektiv erforderlich ist, um einen Vertrag zu erfüllen, dessen Partei Sie sind, oder um von Ihnen gewünschte Schritte vor einem Vertragsschluss vorzunehmen, und ein Verantwortlicher kann ihn nicht dadurch anwendbar machen, dass er eine Verarbeitung in seine Bedingungen schreibt. Der Anbieter hat keinen Vertrag zwischen Ihnen und ihm festgestellt, stützt sich auf keinen und stützt sich für keinen der hier beschriebenen Vorgänge auf eine objektive vertragliche Erforderlichkeit. Die Tatsachen, die er nennen kann, sind diese: Die Erweiterung ist kostenlos, es wird kein Konto eröffnet, es kann keine Bestellung aufgegeben werden, und es wird nichts gekauft. Zweierlei sagt dieser Satz bewusst nicht. Er sagt nicht, dass die Installation einer kostenlosen Erweiterung nie einen Vertrag begründen könnte — nach Artikel 1 des schweizerischen Obligationenrechts erfordert der Abschluss eines Vertrages die übereinstimmende gegenseitige Willensäusserung der Parteien, diese Äusserung kann ausdrücklich oder stillschweigend erfolgen, und die Bestimmung macht eine Zahlung nicht zur Voraussetzung. Ob im Einzelfall ein Vertrag zustande kam, ist damit eine Frage des Vertragsschlusses, und diese Erklärung entscheidet sie in keine Richtung. Und er übergeht nicht das Impressum dieser Website, das als Nutzungsbedingungen gefasst ist: Es bittet Sie, das Produkt nicht zu nutzen, wenn Sie die Bedingungen nicht annehmen, räumt ein Nutzungsrecht ein, benennt untersagte Nutzungen, erlaubt den Entzug dieses Rechts, wählt Recht und Gerichtsstand und sagt, dass für die weitere Nutzung nach einer Änderung die geänderten Bedingungen gelten. Diese Bestimmungen können Bindung beanspruchen. Ob sie Ihnen gegenüber wirksam einbezogen und von Ihnen angenommen wurden, stellt diese Erklärung nicht fest; sie bestreitet sie nicht und nimmt sie auch nicht als Beleg dafür, dass ein Vertrag geschlossen wurde. Sie sagt das Engere: Der Anbieter hat einen solchen Vertrag nicht festgestellt und baut auf keinem eine Rechtsgrundlage auf. Diese Erklärung konstruiert keinen Vertrag, um eine Rechtsgrundlage zu gewinnen, und sie behandelt die Installation auch nicht als Einwilligung. Die schweizerische Prüfung bleibt mit dieser Position im Einklang: Sie stützt sich nicht auf Artikel 31 Absatz 2 Buchstabe a DSG — aus genau dem Grund, aus dem sie sich nicht auf Artikel 6 Absatz 1 Buchstabe b DSGVO stützt.
Die allgemeine Ebene von Artikel 6 für die Funktionen der Erweiterung ist damit Artikel 6 Absatz 1 Buchstabe f — die berechtigten Interessen des Anbieters — und sie wird unten Vorgang für Vorgang zugeordnet, mit dem Interesse, dem der jeweilige Vorgang dient, mit der Begründung, warum er dafür erforderlich ist, und mit der Abwägung gegen Ihre Interessen und Grundrechte. Artikel 6 Absatz 1 Buchstabe a trägt derzeit nichts: In keinem der beiden Pakete wird eine Einwilligung erfragt oder eingeholt. Sollte die Community-Abstimmung je angeboten werden, läuft sie auf einer Einwilligung; sie wird deshalb ausgeschaltet sein, bis Sie sie einschalten, und durch Ausschalten widerrufbar.
Daten, die eine besondere Kategorie offenlegen können. Tab-Adressen und -Titel können Umstände offenlegen, die Artikel 9 Absatz 1 DSGVO als besondere Kategorien behandelt, wie der Abschnitt darüber sagt, was die Erweiterung liest. Der Anbieter antwortet darauf nicht mit Artikel 6 allein, und er stützt die Antwort nicht darauf, dass er keine Kopie Ihrer Tab-Daten hält. Eine frühere Fassung dieser Erklärung stützte sich darauf. Das war falsch, und die folgende Begründung tritt an die Stelle jener Argumentation.
Was das Gesetz verlangt, unmittelbar gelesen und nicht aus Kommentaren zusammengefasst. Artikel 9 Absatz 1 verbietet die Bearbeitung von Personendaten, aus denen rassische oder ethnische Herkunft, politische Meinungen, religiöse oder philosophische Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Bearbeitung von Gesundheitsdaten und von Daten zum Sexualleben oder zur sexuellen Orientierung, sofern nicht eine der Bedingungen von Artikel 9 Absatz 2 vorliegt. Artikel 4 Nummer 2 definiert die Verarbeitung so, dass sie das Erfassen, Speichern, Auslesen, Abfragen und die Verwendung einschliesst; ein Vorgang, der vollständig auf Ihrem eigenen Gerät abläuft, ist damit eine Verarbeitung. Artikel 4 Nummer 7 macht denjenigen zum Verantwortlichen, der über die Zwecke und die wesentlichen Mittel eines Vorgangs entscheidet. In Meta Platforms und andere (Rechtssache C‑252/21) hat der Gerichtshof der Europäischen Union entschieden, dass das Verbot immer dann gilt, wenn die Verarbeitung es erlaubt, Angaben aus einer dieser Kategorien offenzulegen — unabhängig davon, ob der Verantwortliche darauf abzielte, unabhängig davon, ob eine gezogene Schlussfolgerung zutreffend wäre, und unabhängig vom angegebenen Zweck der Verarbeitung (Randnummern 68 bis 70). Dem Gerichtshof lag als Sachverhalt eine Erhebung durch die Betreiberin eines sozialen Netzwerks auf deren eigenen Systemen vor, verknüpft mit von ihr geführten Konten (Randnummer 71); der von ihm formulierte Test ist auf diesen Sachverhalt aber nicht beschränkt. In Jehovan todistajat (Rechtssache C‑25/17) hat der Gerichtshof entschieden, dass eine Partei auch für eine Verarbeitung Verantwortliche sein kann, zu der sie überhaupt keinen Zugang hat: Eine Religionsgemeinschaft war gemeinsam Verantwortliche für die Daten, die ihre Mitglieder bei der Verkündigungstätigkeit erhoben, «ohne dass es erforderlich ist, dass die Gemeinschaft Zugang zu diesen Daten hat» (Randnummern 68, 69 und 75). Der Europäische Datenschutzausschuss sagt in seinen Leitlinien 07/2020 dasselbe — ein tatsächlicher Zugang des Verantwortlichen ist nicht erforderlich (Randnummer 45), und die Verantwortlichkeit kann an einen einzelnen Vorgang statt an eine ganze Kette anknüpfen (Randnummer 43), wobei Datenkategorien, Aufbewahrung und Empfänger als wesentliche Mittel zählen (Randnummern 42 bis 45). Besitz ist damit keine Voraussetzung von Artikel 9, und diese Erklärung behandelt ihn nicht als solche.
Um welche Vorgänge es geht und wer über sie entscheidet. Vier sind auseinanderzuhalten, weil sie nicht dieselbe Antwort haben.
politics unter Nachrichten, und die lokalisierten Listen mehrerer der übersetzten Sprachen führen ihre eigenen Entsprechungen davon, ebenfalls überwiegend unter Nachrichten — eine Seite, deren Adresse oder Titel eines dieser Wörter enthält, kann danach eingeordnet werden. Über diese Einträge hinaus sortiert die Klassifikation Ihre Tabs nicht nach Gesundheit, Überzeugung, Religion, gewerkschaftlicher Betätigung oder sexueller Orientierung, und die Website einer Klinik wird genauso behandelt wie die einer Zeitung. Was der Anbieter nicht behauptet: dass irgendetwas davon den Vorgang aus Artikel 9 Absatz 1 herausnimmt. Nach den Randnummern 68 bis 70 von C‑252/21 kommt es darauf an, ob die Verarbeitung es erlaubt, solche Angaben offenzulegen, und nicht darauf, ob der Anbieter das wollte — und das Lesen und Vergleichen einer Adresse, die eine Klinik benennt, kann es offensichtlich.Welches berechtigte Interesse welchen Vorgang trägt, und auf welcher Abwägung. Artikel 6 Absatz 1 Buchstabe f verlangt für jeden Vorgang drei Dinge und nicht eines für die Gruppe: ein Interesse, die Erforderlichkeit dieses Vorgangs für dieses Interesse und eine Abwägung, in der Ihre Interessen und Grundrechte nicht überwiegen. Sie stehen hier Vorgang für Vorgang, und wo die Abwägung unbequem ist, sagt diese Erklärung es, statt es zu mitteln.
Einer Bearbeitung, die sich auf Artikel 6 Absatz 1 Buchstabe f stützt, können Sie nach Artikel 21 Absatz 1 widersprechen; die oben genannte E-Mail-Adresse ist der Weg dafür. Eine Folge wird klar gesagt und nicht Ihrer Entdeckung überlassen: Weil diese Vorgänge in Ihrem eigenen Browser laufen, wird ein Widerspruch, dem der Anbieter folgt, über die im Abschnitt zum Löschen Ihrer Daten beschriebenen Bedienelemente vollzogen, die Ihre sind — der Anbieter kann nicht in Ihr Gerät greifen, um einen Vorgang dort zu beenden, und er sagt das statt anderes zu versprechen.
Welche Bedingung greift, und was fehlt. Für die Vorgänge 1, 2, 3 und 4 ist die allgemeine Grundlage Artikel 6 Absatz 1 Buchstabe f, oben zugeordnet und abgewogen. Jeder von ihnen braucht eine Grundlage nach Artikel 6, und keiner bleibt ohne eine: Artikel 9 tritt nicht an die Stelle dieser Ebene. Fällt ein Vorgang unter Artikel 9 Absatz 1, ist eine Bedingung nach Artikel 9 Absatz 2 zusätzlich zur Grundlage nach Artikel 6 erforderlich und nicht an deren Stelle — beide Anforderungen treten nebeneinander, und die eine zu erfüllen erübrigt die andere nicht. Zu dieser zusätzlichen Anforderung sagt der Anbieter klar, was er nicht hat: In keinem der beiden Pakete wird irgendwo eine ausdrückliche Einwilligung nach Artikel 9 Absatz 2 Buchstabe a erfragt, erteilt oder eingeholt. Eine Erweiterung aus einem Store zu installieren ist keine ausdrückliche, zweckbestimmte Einwilligung in die Bearbeitung besonderer Kategorien, und eine Einwilligung zu behaupten, die nie eingeholt wird, würde diese Erklärung unwahr machen statt rechtskonform. Auch Artikel 9 Absatz 2 Buchstabe e wird nicht in Anspruch genommen: Nach den Randnummern 74 bis 79 von C‑252/21 macht der Besuch einer Website den Besuch nicht offensichtlich öffentlich, und die Ausnahmen von Artikel 9 Absatz 2 sind eng auszulegen. Keine der übrigen Bedingungen — Arbeitsrecht und soziale Sicherheit, lebenswichtige Interessen, Mitglieder einer Einrichtung ohne Gewinnstreben, Rechtsansprüche, erhebliches öffentliches Interesse, Gesundheitsversorgung, öffentliche Gesundheit oder Archiv-, Forschungs- und Statistikzwecke — beschreibt das Ordnen der eigenen Browser-Tabs einer Person. Für einen dem Anbieter zuzurechnenden Vorgang, der unter Artikel 9 Absatz 1 fällt, hat der Anbieter daher keine Bedingung nach Artikel 9 Absatz 2 gefunden. Das ist die ehrliche Lage, und diese Erklärung sagt sie, statt anzudeuten, es könne nie eine Bedingung nötig sein. Was der Anbieter daneben stellt, sind die Tatsachen aus Vorgang 1: Die Bearbeitung läuft auf Ihrem Gerät, an Daten, die Ihr Browser ohnehin hält, auf Ihre Veranlassung und zu dem von Ihnen aufgerufenen Zweck; nichts wird ausserhalb Ihres Geräts aggregiert; es gibt keine Auswertung durch den Anbieter und keinen Datenbestand in seinen Händen; und die Bedienelemente aus dem Abschnitt zum Löschen Ihrer Daten liegen bei Ihnen. Diese Tatsachen sind für die Schwere der Exposition erheblich. Sie sind keine Bedingung nach Artikel 9 Absatz 2 und werden nicht als solche angeboten. Halten Sie einen bestimmten Vorgang für eine dem Anbieter zuzurechnende Bearbeitung nach Artikel 9, schreiben Sie an die oben genannte Adresse: Er wird einzeln geprüft, und die Antwort wird nicht sein, dass die Frage nicht entstehen kann.
Vorgang 3 trägt dieselbe Grundlage nach Artikel 6 wie die anderen drei — Artikel 6 Absatz 1 Buchstabe f, oben abgewogen, auf dem für ihn genannten Interesse, seiner Erforderlichkeit und seiner Abwägung — und es ist die zusätzliche Bedingung nach Artikel 9 Absatz 2, die auch dort fehlt. Die Lage ist schwächer statt stärker, weil eine Bekanntgabe an einen Dritten im Spiel ist. Was der Anbieter ohne Erfindung einer Tatsache tun kann und tut, ist, sie vollständig offenzulegen: welche Kategorien in den Kanal gehen, wer sie erhält, in welchen Staaten, auf welcher Übermittlungsgrundlage und mit welchem einen Bedienelement die Bekanntgabe unterbleibt — die Synchronisierung der Erweiterung ausschalten oder den Browser ohne Anmeldung nutzen. Dieses Bedienelement und seine Grenzen stehen im Abschnitt zur Browser-Synchronisierung, der auch sagt, was eine eigene Passphrase tut und was nicht: Nach Googles eigener Beschreibung verhindert sie, dass Google die synchronisierten Inhalte liest, und sie verhindert nicht, dass die Inhalte zur Infrastruktur von Google übermittelt und dort gespeichert werden; sie ist damit kein Weg, diese Bekanntgabe zu verhindern. Eine frühere Fassung dieser Erklärung zählte sie als einen solchen Weg, und dieser Fehler wird hier ebenso korrigiert wie dort. Die Erweiterung bietet keinen eigenen Schalter je Kategorie, und das ist eine Gestaltungsentscheidung des Anbieters.
Nach schweizerischem Recht. Artikel 5 Buchstabe c DSG zählt zu den besonders schützenswerten Personendaten Daten über religiöse, weltanschauliche, politische oder gewerkschaftliche Ansichten oder Tätigkeiten sowie Daten über die Gesundheit, die Intimsphäre oder die Zugehörigkeit zu einer Rasse oder Ethnie. Artikel 6 Absatz 7 Buchstabe a verlangt eine ausdrückliche Einwilligung, wo eine Einwilligung Grundlage der Bearbeitung solcher Daten ist; der Anbieter holt keinerlei Einwilligung ein und stützt sich daher auf keine. Artikel 30 Absatz 2 Buchstabe c behandelt die Bekanntgabe besonders schützenswerter Personendaten an Dritte als Persönlichkeitsverletzung, sofern sie nicht nach Artikel 31 gerechtfertigt ist, und die hier erhebliche Bekanntgabe ist Vorgang 3 — die Kategorien, die der Anbieter in den Synchronisierungskanal des Browsers schreibt und die einen Gruppennamen oder eine Regel enthalten können, die im Sinne von Artikel 5 Buchstabe c besonders schützenswert ist. Der Anbieter nennt daher seine Position zu Artikel 31, statt sie zu übergehen. Er stützt sich nicht auf Ihre Einwilligung, weil keine eingeholt wird. Er stützt sich nicht auf Artikel 31 Absatz 2 Buchstabe a, weil er keinen Vertrag zwischen Ihnen und ihm festgestellt hat und sich auf keinen stützt — dieselbe Position, die Artikel 6 Absatz 1 Buchstabe b DSGVO aus dieser Erklärung entfernt, und aus demselben Grund. Worauf er sich stützt, ist der allgemeine Grund in Artikel 31 Absatz 1, ein überwiegendes privates Interesse — und er benennt dieses Interesse und seine Grenzen, statt das Ergebnis zu behaupten: Zweck ist, die von Ihnen erstellten Gruppeneinstellungen zu Ihren anderen Browser-Installationen zu tragen, eine Funktion, die Sie in Ihrem Browser einschalten und dort wieder ausschalten können; geschrieben wird der kleinste Satz an Kategorien, den die Funktion braucht, im ausgelieferten Paket die Gruppennamen und deren Farben; nichts geht an jemand anderen als Ihren eigenen Browser-Hersteller, für Ihr eigenes Konto; und ein Bedienelement — die Synchronisierung der Erweiterung ausschalten oder den Browser ohne Anmeldung nutzen — lässt die Bekanntgabe von vornherein unterbleiben. Eine eigene Synchronisierungs-Passphrase tut das nicht, und diese Darstellung tut nicht so, als täte sie es: Mit Passphrase werden die Einstellungen weiterhin zur Infrastruktur von Google übermittelt und dort gespeichert, und was Google als Wirkung der Passphrase angibt, ist, dass Google sie nicht lesen kann. Ob dieses Interesse das Ihre überwiegt, entscheidet sich an diesen Tatsachen und nicht dadurch, dass diese Erklärung es behauptet; halten Sie es für nicht überwiegend, können Sie nach Artikel 32 Absatz 2 DSG verlangen, dass die Bekanntgabe unterbleibt — und das Bedienelement oben lässt Sie sie sofort selbst beenden. Für Ihre Tab-Adressen und -Titel gibt es keine Bekanntgabe an den Anbieter, die nach Artikel 31 zu rechtfertigen wäre, weil die Erweiterung keine vornimmt.
Die verlangte ausdrückliche Limited-Use-Erklärung. Die Limited-Use-Richtlinie des Chrome Web Store verlangt eine ausdrückliche Erklärung auf einer Website, die zur Erweiterung gehört, dass die Datennutzung des Entwicklers die Limited-Use-Beschränkungen einhält. Dies ist diese Erklärung, ohne Vorbehalt: Die Nutzung von Informationen, die der Anbieter über Google-APIs erhält, und die Nutzung aller Nutzerdaten, auf die die Erweiterung zugreifen kann, hält die Limited-Use-Anforderungen des Chrome Web Store ein. Konkret: Daten, auf die die Erweiterung zugreifen kann, werden ausschliesslich verwendet, um ihren offengelegten einzigen Zweck — Tabs, Fenster und Sitzungen zu organisieren — bereitzustellen und zu verbessern, samt der dazugehörigen betrieblichen Zwecke. Sie werden nicht verkauft und nicht vermietet; sie werden nicht an Datenhändler, Werbeplattformen oder andere Datenweiterverkäufer übermittelt; sie werden nicht für personalisierte Werbung verwendet; sie werden nicht zur Beurteilung der Kreditwürdigkeit oder für Kreditzwecke verwendet; und sie werden nicht zur Profilbildung für andere Zwecke genutzt.
Die verbleibende Beschränkung der Richtlinie betrifft das Lesen von Nutzerdaten durch Menschen, und sie wird hier mit den Tatsachen beantwortet und nicht mit einer Parole, denn die Tatsachen sind nicht einheitlich. Die Erweiterung lädt keine Tab-Adresse, keinen Tab-Titel, keine vollständige Sitzungsaufnahme und keinen gespeicherten Datensatz zum Anbieter hoch: Dieses Material wird nicht an den Anbieter übermittelt, es gibt bei ihm also keine Kopie davon, die dort jemand lesen könnte — das ergibt sich daraus, wie das Produkt gebaut ist, und ist kein Versprechen über Verhalten. Eine Einschränkung gehört zu diesem Satz und wird nicht weggelassen, und das ist die Favicon-Adresse: Eine Symboladresse ist ein gespeichertes Feld, und ihre Darstellung kann die Adresse übermitteln, wie der nächste Absatz darlegt. Was der Anbieter erhält, ist enger und wird offengelegt statt bestritten. In den unter Netzwerkverbindungen beschriebenen Fällen erreichen Anfragen den Host des Anbieters: das Darstellen einer gespeicherten Favicon-Adresse, die auf diese Website zeigt, und — nur in der auf dieser Website dokumentierten Ausgabe — die nach der Installation und die nach dem Entfernen geöffnete Seite. Jede dieser Anfragen trägt die gewöhnlichen Metadaten jeder Webanfrage: die IP-Adresse Ihrer Verbindung, die Zeit, den Pfad sowie die Browser- und Betriebssysteminformationen, die Ihr Browser sendet. Die Hosting-Auftragsbearbeiterin des Anbieters empfängt und protokolliert sie für den Anbieter, wie die Datenschutzerklärung Website unter Hosting darlegt. Das ist eine Bearbeitung, für die der Anbieter einsteht.
Die zutreffende Aussage muss den Favicon-Fall daher ausnehmen statt ihn zu überdecken. Ein dargestelltes Favicon kann die angefragte Favicon-Adresse und die dazugehörigen gewöhnlichen Anfragemetadaten übermitteln, und es übermittelt nicht den vollständigen Tab-, Sitzungs- oder Speicherdatensatz. Der angefragte Pfad und eine allfällige Abfragezeichenfolge sind selbst Teil des Favicon-Felds, das Ihr Browser für einen Tab gemeldet oder das eine Sitzungsdatei geliefert hat; ein Teil dieses gespeicherten Felds erreicht den Host also — und zeigt die Adresse auf diese Website, ist dieser Host der des Anbieters. Die Übermittlung ist in diesem Fall der Bildaufruf Ihres Browsers und kein Upload der Erweiterung, und diese Erklärung benutzt die Unterscheidung nicht, um den Vorgang zu bestreiten: Was der Host des Anbieters und seine Hosting-Auftragsbearbeiterin erhalten, steht im Absatz darüber. Was sie nicht erreicht, ist der Datensatz, in dem dieses Feld liegt — nicht die Adresse des Tabs, nicht sein Titel, nicht die vollständige Sitzungsaufnahme und nicht der gespeicherte Datensatz. Der Anbieter erhält also keine Kopie Ihres vollständigen Tab-, Sitzungs- oder Speicherdatensatzes. Das ist enger als das, was zwei frühere Fassungen dieser Erklärung sagten: Die erste bestritt jede Kopie überhaupt, die zweite jede Kopie von Tab-, Sitzungs- und Speicherdaten. Beide gingen weiter als der eigene Abschnitt dieser Erklärung zu den Netzwerkverbindungen, und beide werden hier berichtigt.
Die Richtlinie schlägt für diese Erklärung eine Formulierung vor: «The use of information received from Google APIs will adhere to the Chrome Web Store User Data Policy, including the Limited Use requirements.» Der Anbieter gibt die Limited-Use-Zusage im ersten Absatz dieses Abschnitts ab und sagt offen, warum er die weitere Hälfte des vorgeschlagenen Satzes nicht übernimmt. Diese Hälfte wäre eine Behauptung, die User Data Policy insgesamt einzuhalten, und diese Behauptung stellt der Anbieter nicht auf, solange seine eigene Angabe im Store-Dashboard unzutreffend ist. Die beiden Positionen sind getrennt und beide wahr: Die tatsächliche Datennutzung der Erweiterung hält die Limited-Use-Beschränkungen ein, und der Anbieter bescheinigt sich die Einhaltung der User Data Policy insgesamt nicht selbst. Der nächste Absatz sagt, warum.
Der Store-Eintrag trägt eine kurze Datennutzungserklärung, und zum Datum dieser Erklärung klingen diese Erklärung und der Eintragstext absoluter als die Tatsachen oben. Der Eintrag sagt, die Erweiterung laufe lokal, ohne Tracking und ohne Datenerhebung, und die Entwicklererklärung des Store gibt an, der Entwickler werde Ihre Daten nicht erheben oder nutzen. Diese Erklärung hier legt hingegen offen, dass die Erweiterung Ihre Tab-Adressen und -Titel liest, sie gegen eine eingebaute Liste klassifiziert, einen Aktivierungsdatensatz und bis zu fünf Sitzungsaufnahmen in Ihrem Browser führt, Gruppennamen und -farben in den Synchronisierungskanal des Browsers schreibt, private Fenster nicht ausnimmt, wenn Sie sie zugelassen haben, und einen Aufruf für eine gespeicherte Favicon-Adresse auslösen kann. Die User Data FAQ von Chrome sagt ausdrücklich, dass auch eine rein lokale Bearbeitung und die Nutzung von chrome.storage.sync offenzulegen sind und dass eine Abweichung zwischen dem Verhalten eines Produkts, seinen Angaben im Dashboard und seiner Datenschutzerklärung selbst ein Richtlinienproblem ist. Der Anbieter löst das nicht, indem er sich in dieser Erklärung die Einhaltung bescheinigt, solange die Abweichung besteht. Er nennt stattdessen die Lage: Diese Erklärung ist die zutreffende Beschreibung, die Kurzerklärung im Store gibt zu wenig an, und die Kurzerklärung beziehungsweise Entwicklererklärung im Store-Dashboard zu korrigieren, ist eine offene Aufgabe des Anbieters selbst. Wenn Sie im Store-Eintrag eine Aussage finden, die absoluter klingt als diese Erklärung, ist diese Erklärung die, auf die Sie sich stützen sollten.
Die Erweiterung hat kein Benutzerkonto, kein Login und keine Authentisierung gegenüber einem Dienst des Anbieters. Sie vergibt keine Installationskennung, keine Gerätekennung und keine Werbekennung. Sie verarbeitet keine Zahlungen; ein Kauf ist derzeit nicht möglich, und es ist kein Zahlungsdienst eingebettet. Es gibt keinen Werbecode und keinen Werbeempfänger.
Die Überschrift ist bewusst eingeschränkt, und die Aussage darunter ebenso. Es fehlt ein Tracking durch den Anbieter und über das Netzwerk: Keines der beiden Pakete enthält Analyse-, Telemetrie- oder Werbecode, und kein Codepfad meldet Ihre Nutzung der Erweiterung an eine Schnittstelle des Anbieters oder an einen Messdienst. Was diese Erklärung nicht sagt: dass kein Signal über Ihre Nutzung irgendjemanden erreichen könnte — zwei offengelegte Pfade widerlegen das. Der Synchronisierungsdienst des Browsers trägt die im Abschnitt zur Browser-Synchronisierung aufgeführten Einstellungen zu Ihrem Browser-Hersteller. Und ein Aufruf für eine gespeicherte Symboladresse kann dem Host dieser Adresse mitteilen, dass sein Symbol in diesem Moment dargestellt wurde, wie der Abschnitt zu den Netzwerkverbindungen erläutert. Keines von beiden ist eine Analyse des Anbieters; beides ist tatsächlich vorhanden, und eine absolute Aussage hier stünde im Widerspruch zu den eigenen Offenlegungen dieser Erklärung drei Abschnitte weiter oben. Vorhanden ist, was der Abschnitt darüber beschreibt, was auf Ihrem Gerät gespeichert wird — eine Aufzeichnung im eigenen Browser: der Aktivierungsdatensatz mit den Adressen Ihrer Tabs, bis zu fünf Sitzungsaufnahmen und in der dokumentierten Ausgabe der nach Adresse geführte Aktivierungsindex sowie das ruhende Nutzungszähler-Schema. Ein uneingeschränktes «kein Tracking» wäre für ein Produkt, das dies führt, nicht wahr, und diese Erklärung sagt es deshalb nicht.
Von den vier Kategorien oben — den lokal gespeicherten Daten, dem sitzungsgebundenen Datensatz, den synchronisierten Einstellungen und Ihren exportierten Sitzungsdateien — hält der Anbieter keinen vollständigen Datensatz; er kann sie deshalb nicht für Sie löschen. Eine Ausnahme gehört hierher und nicht ausser Sichtweite: Zeigt eine gespeicherte Favicon-Adresse auf diese Website, erreicht der Aufruf, den Ihr Browser für dieses Symbol macht, den Host des Anbieters, und seine Hosting-Auftragsbearbeiterin protokolliert den angefragten Favicon-Pfad samt den gewöhnlichen Anfragemetadaten für den Anbieter. Dieses Protokoll ist keine der vier Kategorien oben, und keines der Bedienelemente oben erreicht es; was darin aufbewahrt wird, durch wen und wie lange, legt die Datenschutzerklärung Website unter der Aufbewahrungsdauer dar.
Nach schweizerischem Recht können Sie, soweit die gesetzlichen Voraussetzungen erfüllt sind, Auskunft darüber verlangen, ob Personendaten über Sie bearbeitet werden, und die gesetzlich vorgesehenen Informationen erhalten (Artikel 25 DSG), die Berichtigung unrichtiger Daten verlangen (Artikel 32 Absatz 1 DSG), einer Bearbeitung widersprechen, die sich auf das überwiegende Interesse des Anbieters stützt, und eine Klage zum Schutz Ihrer Persönlichkeit erheben, in der Sie verlangen können, dass eine Bearbeitung oder eine Bekanntgabe verboten oder dass Daten gelöscht oder vernichtet werden (Artikel 32 Absatz 2 DSG).
Artikel 28 DSG gibt ein Recht auf Herausgabe der von Ihnen bekanntgegebenen Personendaten in einem gängigen elektronischen Format und auf Übertragung an einen anderen Verantwortlichen, wenn der Anbieter sie automatisiert und entweder mit Ihrer Einwilligung oder in unmittelbarem Zusammenhang mit einem Vertrag zwischen Ihnen und dem Anbieter bearbeitet. Diese Voraussetzungen entscheiden die Frage, und der Anbieter setzt keine kürzere Antwort an ihre Stelle. Insbesondere stellt der Umstand, dass Daten in Ihrem eigenen Browser statt auf einem Server liegen, eine Kategorie für sich allein nicht ausserhalb dieses Rechts: Soweit eine Bearbeitung dem Anbieter zuzurechnen ist, ist er dafür Verantwortlicher, wie der Abschnitt zur Verantwortlichkeit sagt, und die Verordnung rechnet Daten, die der Verantwortliche über Sie und Ihr Verhalten im Rahmen der Nutzung eines Diensts oder Geräts erhoben hat, zu den von Ihnen bekanntgegebenen Daten (Artikel 20 Absatz 1 Buchstabe b DSV), während Daten, die der Verantwortliche durch eigene Auswertung bereitgestellter oder beobachteter Daten erzeugt, davon nicht erfasst sind (Artikel 20 Absatz 2 DSV). Welche der beiden Voraussetzungen gewöhnlich in Frage steht, wird benannt und nicht Ihrer eigenen Herleitung überlassen: Für die Funktionen der Erweiterung wird keine Einwilligung eingeholt, und der Anbieter hat keinen Vertrag zwischen Ihnen und ihm festgestellt und stützt sich auf keinen — dieselbe Position, die Artikel 6 Absatz 1 Buchstabe b DSGVO aus dem Abschnitt zu den Rechtsgrundlagen entfernt. Auf dieser Grundlage ist die zweite gesetzliche Voraussetzung in der Regel nicht erfüllt, aus demselben Grund, den die Datenschutzerklärung Website für ihre Zugriffsprotokolle nennt. Der Anbieter entscheidet diese Voraussetzung nicht durch eine Erklärung gegen Sie: Ob zwischen Ihnen und ihm ein Vertrag besteht, ist eine Frage des Vertragsschlusses und nicht etwas, das dieser Absatz entscheidet; sagen Sie, dass einer besteht, wird das an seinen eigenen Umständen geprüft und nicht mit diesem Satz beantwortet. Festgehalten ist hier die Position des Anbieters zum gesetzlichen Test und keine grundsätzliche Ablehnung.
Zutreffend, und für die meisten Kategorien die praktische Antwort, ist Folgendes. Ihre Einstellungen, Gruppennamen und -farben, Sitzungen und der Aktivierungsdatensatz — und in der dokumentierten Ausgabe Ihre Regeln, Ihre Taxonomie, die Wiederherstellungs-Snapshots und allfällige Nutzungszähler — liegen im Speicher Ihres Browsers und in Ihrem Browser-Konto, und soweit sie nur im Browser oder im Browser-Konto bleiben, hält der Anbieter von ihnen keinen vollständigen Datensatz, den er herausgeben könnte. Das ist keine Behauptung, dass nie ein Teil davon den Anbieter erreicht, und die Ausnahme steht hier und nicht erst am Ende dieses Absatzes: Ein Aufruf für ein beim Anbieter gehostetes Favicon kann den angefragten Favicon-Pfad — selbst Teil eines gespeicherten Favicon-Felds — und die dazugehörigen gewöhnlichen Anfragemetadaten in ein Protokoll bringen, das die Hosting-Auftragsbearbeiterin des Anbieters für ihn hält. Für diese Kategorien, wie sie in Ihrem Browser liegen, sagt der Abschnitt zum Löschen, wie Sie sie erreichen, und die Exportfunktion gibt Ihnen Ihre Sitzungen bereits in einem gängigen elektronischen Format. Möchten Sie eine bestimmte Kategorie an Artikel 28 geprüft und nicht bloss beschrieben haben — den Aktivierungsdatensatz, eine Sitzungsaufnahme, einen Wiederherstellungs-Snapshot oder eine andere —, fragen Sie: Sie wird an diesen Voraussetzungen einzeln geprüft und nicht grundsätzlich abgelehnt. Die Aufrufe, die Ihr Browser an diese Website richtet, sind eine eigene Frage, und der Unterschied zwischen den beiden Paketen ist enger, als eine frühere Fassung dieses Absatzes sagte. Das über den Store ausgelieferte Paket richtet von sich aus keinen Aufruf für eine Installations- oder Entfernungsseite hierher: Es öffnet hier nach einer Neuinstallation keine Seite und nach dem Entfernen keine, und es enthält überhaupt keine Adresse auf dieser Website. Den unter Netzwerkverbindungen beschriebenen Aufruf für ein beim Anbieter gehostetes Favicon können beide Pakete auslösen, immer dann, wenn ein von Ihnen geöffneter Tab oder eine von Ihnen importierte Sitzung eine Favicon-Adresse auf diesem Host trägt; die dokumentierte Ausgabe fügt dem die Seite nach der Installation und die nach dem Entfernen hinzu. Geschieht ein solcher Aufruf, empfängt und protokolliert ihn die Hosting-Auftragsbearbeiterin des Anbieters für den Anbieter, und die Rechte an diesem Protokoll — Auskunft nach Artikel 25 DSG, Herausgabe und Übertragung nach Artikel 28 sowie die entsprechenden Rechte der Datenschutz-Grundverordnung — sind jene, die die Datenschutzerklärung Website für Anfragedaten darlegt, an den gesetzlichen Voraussetzungen und an der Prüfung im Einzelfall. Dieser Absatz verweist sie dorthin und beantwortet sie nicht damit, dass es solche Aufrufe nicht gäbe.
Soweit die Datenschutz-Grundverordnung anwendbar ist, gelten die Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch und Datenübertragbarkeit nach Artikeln 15 bis 21 sowie das Recht, eine Einwilligung nach Artikel 7 Absatz 3 zu widerrufen.
Schreiben Sie an die oben genannte E-Mail-Adresse. Beachten Sie die praktische Grenze, und beachten Sie, wofür sie gilt: Die Datensätze, die nur auf Ihrem Gerät oder in Ihrem Browser-Konto bestehen, erhält der Anbieter nicht, er führt kein Konto für Sie und kann Sie anhand von ihnen nicht identifizieren; für sie kann er daher nur erklären, wie Sie sie erreichen — die beim Löschen beschriebenen Bedienelemente sind Ihre, nicht die des Anbieters. Weiter reicht diese Grenze nicht. Für die oben beschriebenen Anfrageprotokolle gilt sie nicht: Ist ein Aufruf für ein beim Anbieter gehostetes Favicon ergangen, hält die Hosting-Auftragsbearbeiterin des Anbieters das Protokoll dieses Aufrufs für ihn, und die Rechte daran sind jene, die die Datenschutzerklärung Website für Anfragedaten darlegt.
Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte beaufsichtigt in der Schweiz private Verantwortliche. Sie können ihm eine Datenbearbeitung anzeigen, wenn Sie meinen, sie verstosse gegen Datenschutzvorschriften; er eröffnet eine Untersuchung, wenn genügend Anzeichen für einen Verstoss bestehen, und informiert Sie über die unternommenen Schritte und das Ergebnis, wenn Sie die Anzeige erstattet haben (Artikel 49 DSG). Das ist ein Aufsichtsverfahren im öffentlichen Interesse und kein Verfahren, das Ihnen einen Rechtsbehelf zuspricht; Ansprüche gegen den Anbieter machen Sie unmittelbar und, wenn das nicht genügt, vor den Zivilgerichten geltend.
Soweit die Datenschutz-Grundverordnung anwendbar ist, können Sie zusätzlich nach Artikel 77 Beschwerde bei der Aufsichtsbehörde Ihres Wohnorts, Ihres Arbeitsplatzes oder des Orts des vermuteten Verstosses einlegen, und Sie haben nach Artikel 79 ein Recht auf einen wirksamen gerichtlichen Rechtsbehelf. Beschwerden über den Browser oder seinen Synchronisierungsdienst gehören zu Ihrem Browser-Hersteller und der für ihn zuständigen Behörde.
Die Erweiterung ist ein Werkzeug zur Tab-Verwaltung für Menschen, die mit vielen Browser-Tabs arbeiten. Sie richtet sich nicht an Kinder, und der Anbieter bearbeitet nicht wissentlich Personendaten von Kindern.
Diese Erklärung wird aktualisiert, wenn sich Berechtigungen, Speicherung, Synchronisierung oder Netzwerkverhalten eines der beiden Pakete ändern, und wenn ein erneutes Lesen des ausgelieferten Pakets eine oben gegebene Antwort ändert. Die aktuelle Version und ihr Gültigkeitsdatum stehen oben auf dieser Seite.
checkmark. Keines der beiden Manifeste deklariert einen incognito-Schlüssel, weshalb für beide der Chrome-Standard spanning gilt. Und beide vergleichen Adresse und Titel eines Tabs mit derselben im Paket eingebauten Liste von Domains und Schlüsselwörtern, um eine Gruppe zu wählen.Was ein solcher Datensatz enthielte, wenn auf Ihrem Gerät bereits einer bestünde oder ein künftiger Build ihn schriebe, steht hier, damit sich hinter dem Wort «ruhend» nichts verbirgt: wie oft das Popup geöffnet wurde und wann letztmals, an welchen Kalendertagen die Erweiterung genutzt wurde und wie viele verschiedene Tage das sind, eine rollende Tages- und Sieben-Tage-Kennzahl aktiver Tage, wann die Erweiterung erstmals gesehen wurde und aus welchem Installationsgrund, wie viele Synchronisierungen erfolgreich waren und wann die letzte, wann die Synchronisierung erstmals aktiviert wurde, wann Ihnen letztmals ein Synchronisierungsfehler angezeigt wurde, sowie Zähler für gespeicherte Sitzungen und Duplikatbereinigungen. Die ruhende Schreibstelle würde Tagesschlüssel verwerfen, die älter als 90 Tage sind — aber nur, wenn recordPopupOpen() läuft, und im geprüften Build ruft nichts diese Stelle auf; es gibt dort also keine aktive Schreibstelle und damit überhaupt keinen laufenden Bereinigungspfad. Der Lese- und Exportpfad des Bereichs liest die vorgefundene Schlüsselliste und bereinigt sie nicht. Neunzig Tage sind demnach das, was dieser Code in einem Build durchsetzen würde, der die Schreibstelle tatsächlich aufruft, und keine Aufbewahrungsgrenze, die diese Erklärung für den geprüften Build angeben kann. Es wären Ganzzahlen und Zeitstempel; die Form enthält keine Adresse und keinen Seitentitel, und kein Codepfad übermittelt sie irgendwohin. Der Bereich heisst «Datenschutz & lokale Metriken», benennt den Datensatz, gibt an, dass er der zeitlichen Steuerung einer Bewertungsanfrage nach positivem Nutzungserlebnis dient, und bietet ihn Ihnen als JSON-Export an; im geprüften Build zeigt er Nullen. Ob ein von einem anderen Build geschriebener Datensatz eine Aktualisierung überdauern könnte, lässt sich aus diesem Build nicht feststellen, und der Anbieter behauptet dazu in keine Richtung etwas. Dasselbe gilt dafür, wie lange die Tagesschlüssel eines solchen Datensatzes dann blieben: Läuft keine Schreibstelle, bereinigt nichts sie; Fortbestand und Aufbewahrungsdauer sind damit nicht festgestellt. Festgestellt ist der Endpunkt — das Entfernen der Erweiterung löscht deren lokalen Speicher, wie der Abschnitt zum Löschen Ihrer Daten beschreibt. In jeder Lesart geht es um Zählwerte in Ihrem eigenen Browser und nicht um eine Übermittlung.
Seiten, welche die dokumentierte Ausgabe dieser Website öffnet — nicht im ausgelieferten Paket. Das ausgelieferte Paket enthält keine Adresse dieser Website und öffnet hier in keiner Richtung eine Seite. In der dokumentierten Ausgabe öffnet die Erweiterung nach einer Neuinstallation die Einstiegsanleitung in einem inaktiven Hintergrund-Tab, und nach dem Entfernen öffnet der Browser die Rückmeldeseite. Die beiden Adressen sind nicht gleich gebaut, und der Unterschied wird genannt statt gemittelt. Die Installationsadresse wird nach der Sprache gewählt: Die Erweiterung liest die Sprache der Browser-Oberfläche und fragt bei deutschen Einstellungen den deutschen Pfad an, sonst den englischen. Dieser Aufruf trägt damit die grobe Angabe, ob Ihr Browser auf Deutsch eingestellt ist oder nicht; der empfangende Host sieht sie im angefragten Pfad zusammen mit den Anfragemetadaten. Die Adresse beim Entfernen ist fest und ohne Sprachsegment — https://www.taborganizer.app/uninstall — und diese Website löst sie für alle auf die englische Seite auf; Deutsch erreichen Sie erst, wenn Sie dort einem Sprachlink folgen, der nichts speichert. Keine der beiden Adressen trägt Abfrageparameter oder ein Fragment, und keine trägt eine Version, eine Installationskennung, eine Tab-Anzahl oder sonstigen Zustand. Jeder Aufruf ist eine Anfrage an den Host des Anbieters, der erhält, was jeder Web-Aufruf mitbringt: Ihre IP-Adresse, Datum und Uhrzeit, den angefragten Pfad, die Methode und den zurückgegebenen Status, die übertragene Datenmenge, Browser- und Betriebssystemangaben aus der User-Agent-Zeichenkette sowie eine verweisende Adresse, sofern Ihr Browser eine sendet. Weil die Seite nach der Neuinstallation von selbst öffnet, ist dieser erste Aufruf ein Ereignis, das zeitlich mit der Installation korreliert. Die Datenschutzerklärung Website beschreibt, wie diese Aufrufe behandelt werden, von wem und wie lange.
Die Community-Abstimmung — nur in der dokumentierten Ausgabe, und dort als Code und nicht als erreichbare Funktion. Das ausgelieferte Paket enthält weder einen Abstimmungs-Client noch überhaupt einen Verweis auf diese Adresse. In der dokumentierten Ausgabe enthält die Erweiterung den Client-Code für eine Funktion, mit der Sie einer Website eine Kategorie zuweisen könnten. Ihre Nutzlast würde aus einem einwegigen SHA-256-Hash der registrierbaren Domain der Website und einem Kategorieschlüssel bestehen; Adressen, Hostnamen, Titel, Tab- oder Fensterkennungen und jede Nutzerkennung werden vor dem Senden abgewiesen. Keine Oberfläche bietet die Funktion an, und der Codepfad, der den Netzwerkaufruf ausführt, ist nur über die Brücke für automatisierte Tests erreichbar, die der Release-Build durch eine wirkungslose Fassung ersetzt. An votes.taborganizer.app wird daher nichts gesendet, und die dafür deklarierte Host-Berechtigung ist ungenutzt.
Bevor sich das ändert, wird diese Erklärung überarbeitet und nennt dann die vollständige Nutzlast; die Verbindungsmetadaten, die der empfangende Dienst zwangsläufig sieht, darunter die Quell-IP-Adresse, den Zeitpunkt und die in einem Anfrage-Header gesendete Version der Erweiterung; wer diesen Dienst betreibt und in welchem Land; die Rechtsgrundlage; die Aufbewahrungsdauer; und wie ein Eintrag gelöscht werden kann. Sie wird zudem klar sagen, dass ein Hash einer registrierbaren Domain ein Pseudonym und keine anonyme Angabe ist: Die Menge der registrierbaren Domains ist klein genug, um Kandidatennamen zu hashen und zu vergleichen, sodass ein solcher Wert auf die Website zurückgeführt werden kann, für die er steht.