Die Android-Entscheidung erfasst elf Betriebssystemfunktionen. Für fünf davon – die sogenannten eingeschränkten Funktionen – darf Google eine Zertifizierung verlangen, bevor eine App darauf zugreift. Paragraf 55 zielt dabei direkt auf Googles eigene Anwendungen: Ein zertifizierter Assistent darf Gmail abrufen und verfassen, Kalendertermine anlegen und verwalten, Inhalte aus Drive und Docs ziehen, Maps-Navigation starten, YouTube-Wiedergabe und Wiedergabeverlauf abfragen, SMS, MMS und RCS in Messages lesen und schreiben sowie Telefonanrufe auslösen.
Die übrigen sechs Funktionen brauchen keine Zertifizierung: Umgebungsdaten, dauerhafte Hotword-Erkennung, Aufruf per langem Druck, systemseitige On-Device-Modelle, eigene Modellimplementierungen und Hintergrundausführung. Paragraf 119 öffnet sie allen Dritten einschließlich nutzerinstallierter Apps und verbietet Google, Typ oder Anwendungsfall der zugreifenden App zu beschränken. Umgebungsdaten umfassen Mikrofoneingabe, Systemaudio, Kamera, Bildschirminhalte, Standort und Sensoren wie den Beschleunigungsmesser – kontinuierlich und im Hintergrund, unter denselben Zustimmungsabfragen, die Googles eigene KI-Dienste erhalten. Laut Fallzusammenfassung der Kommission greifen Googles Erstanbieterdienste heute mit reduzierten Zustimmungsprozessen und Datenschutzindikatoren auf die Sensoren zu, während Dritte je Nutzung eine Laufzeitzustimmung benötigen.
Die Hotword-Erkennung läuft über den stromsparenden DSP, übersteht also Sperrbildschirm und Energiesparmodus und darf bis zum Ende der Nutzeranfrage aufzeichnen – allerdings nur auf Geräten mit entsprechendem Chip. Mehrere gleichzeitig lauschende Assistenten verschieben sich auf Android 19 und den 1. August 2028. Zustimmung bleibt Voraussetzung, und Google darf weiterhin Prozessisolierung und Verschlüsselung fordern. Was es bei diesen sechs Funktionen nicht entscheiden darf, ist, wer fragen darf. Für ein Gatter kann es einen begründeten Antrag stellen; die Kommission kann die Funktion dann auf die Liste der eingeschränkten Funktionen verschieben.
Für die fünf gesperrten Funktionen muss Google ein Qualified AI Assistant Programme aufsetzen, in das dritte Trusted Certification Authorities Assistenten kostenlos zertifizieren. Google darf diese Zertifizierungen nicht mit Zusatzbedingungen versehen und nicht widerrufen – wohl aber die Zulassung einer TCA selbst. Prüfbar ist nur, ob ein Assistent vor sensiblen oder irreversiblen Aktionen die Nutzerabsicht bestätigt, unbeabsichtigte Datenweitergabe minimiert, Basissicherheit für Mobilapps erfüllt und gegen agentische Risiken gehärtet ist. Alles darüber hinaus braucht die Kommission, und dieselben Bedingungen gelten für Gemini. Paragraf 135 verpflichtet Google zudem, Nutzern pro Dienst und Gerät den Verzicht auf die Zertifizierungspflicht zu ermöglichen – nicht versteckt im Entwicklermodus. Entwurfsbedingungen sind zum 1. Februar 2027 fällig, endgültige Bedingungen und offene Bewerbungen zum 1. Mai 2027.
Die Anonymisierungsmethode für die Suchdaten ist veröffentlicht und läuft in drei Stufen: Entfernen direkter Identifikatoren wie Nutzernamen, IP-Adressen, präziser Zeitstempel und Eingabeformat; Unterdrücken von Datensätzen mit seltenen Begriffen wie vollen Namen, Passwörtern, Adressen oder Bankkonten sowie ungewöhnlich langen Anfragen; Generalisierung der Metadaten, bis jeder Nutzer in einer Gruppe von mindestens 1.000 mit gleichem Standort, Gerätetyp und Anfragesprache liegt, 95 Prozent in Gruppen ab 29.000. Empfänger brauchen 50.000 monatliche EU-Nutzer im Durchschnitt des Vorjahres, dürfen nicht sanktioniert und nicht von einem Land kontrolliert sein, das die EU als ernstes strukturelles Cybersicherheits- oder Datenschutzrisiko einstuft. Daten kommen mindestens sieben Tage verzögert und enden nach fünf Jahren je Begünstigten.
Kent Walker, Googles President of Global Affairs, erklärt, die Android-Entscheidung “gefährdet die Gerätesicherheit, indem sie externen Apps sensible und mächtige Geräteberechtigungen einräumt”; heute prüften Gerätehersteller Assistenten, diese Absicherung werde gestrichen. Zur Suchdaten-Hälfte hält er die Anonymisierung für unzureichend. Er verweist auf die EU-Cybersicherheitsagentur ENISA, die schrieb, “Sicherheitsgrundlagen zählen im KI-Zeitalter mehr als je zuvor” – jenes Papier behandelt jedoch die schrumpfende Spanne zwischen Fund und Ausnutzung von Schwachstellen und erwähnt Android, Interoperabilität oder App-Berechtigungen nicht.
Die Sorge ist nicht unbegründet: Über Benachrichtigungsinhalte kaperte SafeBreach per indirekter Prompt-Injection Geminis eigenen Android-Utilities-Agenten, ohne bösartige App auf dem Gerät. Google entschärfte das serverseitig im November 2025, bevor SafeBreach veröffentlichte. Eingaberisiken gehören nun zu den Punkten, gegen die ein Assistent gehärtet sein muss – den Test schreibt Google.
Die Entwurfsmaßnahmen vom 27. April kannten weder eingeschränkte Funktionen noch Zertifizierungsprogramm oder Zertifizierungsstellen; Entwurfsparagraf 134 hätte eine Prüfung nur durch neutrale Dritte und nur im Play Store erlaubt. Auch die Fristen verschoben sich: von 1. Januar 2027 auf 1. August 2027, bei parallelen Hotwords auf August 2028. Keinen Ermessensspielraum erhielt Google bei den Integritätsmaßnahmen: Sie müssen streng notwendig, durch aufzubewahrende objektive Belege begründet, von Dritten überprüfbar und identisch auf eigene Dienste angewandt sein. Google darf “Dritten kein höheres Integritätsniveau auferlegen, als es für sich selbst anwendet”, und muss der Kommission vier Wochen vorher Bescheid geben.