Verwendung von Google-Auth, OpenID, Facebook-Login etc. pp.

[leicht-debil]

Hallo Community....

ich habe mich heute mal mit dem "Login für Websites" von Google beschäftigt (https://developers.google.com/identity/sign-in/web/sign-in)
Bislang habe ich immer einen großen Bogen um derartige Funktionen gemacht (z.B. auch Facebook-Login), da ich nicht wollte, dass meine User genötigt werden die "Global-Players" nutzen zu müssen.
Nun ist aber doch so - und da machen wir uns nichts vor - dass den meisten Usern die eigenen Daten scheinbar nicht mehr so wichtig sind. :-) Frei nach dem Motto: Mir doch egal, ob die neue Furz-App meine SD-Karte löschen, meine Kontakte auslesen und meinen Standort bestimmen möchte...

Lange Rede - kurzer Sinn:
Der Login mit Google ist ja denkbar einfach. Dennoch checke ich einige Dinge aus rein rechtlicher Sicht nicht.
Wenn sich ein User via Google auf meiner Webseite einloggt, erhalte ich ja diverse Daten von Google+ (z.B. Name, Email-Adresse, etc.). Wenn nun ein User z.B. auf meiner Seite etwas schreibt, hochläd oder sonstige Funktionen nutzt, dann würde ich das natürlich gerne in Datenbanken speichern. Kurz: Ich habe dann irgendwann in meiner Datenbank einen Eintrag "Manfred Foo" aus "Bar" mit der Adresse "mf@example.com" hat am 03.02.2016 dieses Foto hochgeladen.
Was ist aber, wenn dieser User seinen Account bei Google löscht?

Wisst Ihr, was ich meine?

 

[virtus]

Das Problem ist konzeptioneller Natur.
Du musst nicht alle Daten von Google importieren. Es ist auch möglich, diese stets live von Google abzufragen.
Dabei solltest du bedenken, welche Daten du speichern möchtest, weil sie für den Betrieb deines Services wirklich notwendig sind, welche du speichern möchtest, weil du dich nicht auf google verlassen willst und du solltest natürlich auch bedenken, von welchen Daten deine Nutzer erwarten, dass du sie speicherst.

Wenn du die Email-Adresse speicherst kannst du dem Nutzer bei Bedarf auch ein Passwort mitteilen, so dass er sich via Google und ohne Google anmelden kann.
Sobald der Google-Account gelöscht wird, kann der Nutzer sich darüber nicht mehr anmelden, aber er kann sich noch "manuell" anmelden.

 

[leicht-debil]

Wenn du die Email-Adresse speicherst kannst du dem Nutzer bei Bedarf auch ein Passwort mitteilen, so dass er sich via Google und ohne Google anmelden kann.
Sobald der Google-Account gelöscht wird, kann der Nutzer sich darüber nicht mehr anmelden, aber er kann sich noch "manuell" anmelden.

Das ist eine gute Idee, aber bereits hier setzen ja meine Bedenken an. Ist es denn rechtlich ok, dass ich die Email-Adresse des Users a) von Google speichere und dann b) auch noch nutze, um an diese Adresse Informationen (z.B. Passwörter und/oder Infos) verschickte?

 

[dexter]

Ist es denn rechtlich ok, dass ich die Email-Adresse des Users a) von Google speichere und dann b) auch noch nutze, um an diese Adresse Informationen (z.B. Passwörter und/oder Infos) verschickte?

Natürlich nicht.
Da sind gleich 2 Kriminelle beteiligt:
1. Google, denen Datenschutz am Arsch vorbeigeht
2. Du, der Du ohne Einwilligung Mails verschickst. 90% allen Spams funktionieren so.

Problem bei der Geschichte: es gibt weder solvente Kläger, noch ausreichend blickige Richter..

 

[virtus]

Du sollst das nicht unaufgefordert machen!

Natürlich solltest du mitteilen, dass mit einer Anmeldung auch über die Google-Auth, die Emailadresse auf deinem Server gespeichert wird.
Du musst dann auch erst mal kein Passwort für den Kunden eintragen. Du kannst ihm aber in seiner Accountverwaltung anbieten, dass er den Login in einen rein bei dir gehosteten Account umwandelt, indem er ein Passwort setzt. Bzw. indem er sich über die Passwort-Vergessen-Funktion ein Passwort an seine Emailadresse schicken lässt.
Das kannst du dann auch zusätzlich in die FAQ packen.

@dexter: Es ist nicht unübich, dass ein Unternehmen Kundendaten zum Betrieb seines Services erfasst.
Wenn du das nicht möchtest, musst du auf die Dienstleistung des Unternehmens verzichten. Auch ist eine Erfassung nicht zwangsweise illegal.
Google teilt dir mit, welche Daten es bei einem externen Login an jemanden weiter gibt und du musst entscheiden, ob du das möchtest oder den Loginvorgang abbrichst.