Irland verhängt 403 Millionen Euro Geldstrafe gegen Google wegen Standortdaten

Was die Aufsichtsbehörde entschieden hat

Die Strafe von rund 463.000.000 Dollar ist die vierthöchste, die die Datenschutzkommission (DPC) je verhängt hat, und ihre erste große Geldstrafe gegen Google, berichtete POLITICO. Sie ist Teil von mehr als 4.000.000.000 Euro an Bußgeldern, die die DPC seit Inkrafttreten der DSGVO im Jahr 2018 verhängt hat. In dieser Summe steckt auch eine Strafe von 1.200.000.000 Euro gegen Meta, fast dreimal so hoch wie die gegen Google.

Neben dem Geld ordnete die DPC an, dass Google seine Verarbeitung von Standortdaten binnen sechs Monaten rechtmäßig machen muss, berichtete Reuters. Eingezogen werden kann die Strafe erst, wenn ein irisches Gericht sie bestätigt. Google kann innerhalb von 28 Tagen nach der förmlichen Zustellung beim High Court Berufung einlegen, teilte die DPC mit. Google erklärte, der Fall betreffe frühere Richtlinien, die inzwischen aktualisiert worden seien. Ein Sprecher sagte Reuters, das Unternehmen wolle Berufung einlegen, um "mehr rechtliche Klarheit zu einigen konkreten Punkten" zu bekommen.

Die Feststellungen betreffen Verhalten, das im Februar 2020 endete.

Warum es um Werbeausrichtung geht

Die DPC stellte Verstöße gegen die DSGVO-Regeln zur rechtmäßigen und fairen Verarbeitung sowie zur Transparenz fest, und zwar bei Web & App Activity und beim Standortverlauf. Außerdem hielt Google Standortdaten über diese beiden Funktionen länger als nötig. Der stellvertretende DPC-Kommissar Graham Doyle sagte, Nutzer hätten nicht wissen können, dass ihr Standort verwendet werde, etwa um sie mit Werbung zu beeinflussen oder um ihre Interessen abzuleiten. So hätten sie die Kontrolle über ihre persönlichen Daten verlieren können.

Bei Location Accuracy, einer Android-Funktion, die mit und ohne Google-Konto verfügbar ist, fielen die Feststellungen enger aus. Google verletzte dort Transparenz- und Rechenschaftspflichten, weil es nicht belegen konnte, dass die Verarbeitung rechtmäßig, fair und transparent war.

Welche Verarbeitung die Anordnung zur Compliance abdeckt, hat die DPC öffentlich nicht gesagt. Die vollständige Entscheidung soll später veröffentlicht werden.

Was Google nach eigener Darstellung schon geändert hat

Im Mai 2019, mitten im untersuchten Zeitraum, kündigte Google automatische Löschfunktionen für den Standortverlauf und Web & App Activity an. Nutzer konnten diese Daten nach 3 oder 18 Monaten löschen lassen. Im Juni 2020 machte Google die automatische Löschung nach 18 Monaten zur Voreinstellung für Web & App Activity bei neuen Konten und für alle, die den Standortverlauf erstmals einschalteten.

Im Dezember 2023 teilte Google mit, dass Timeline, die Ansicht des Standortverlaufs in Maps, die Daten auf den Geräten der Nutzer behalten werde. Wer den Standortverlauf erstmals nutzt, sollte eine automatische Löschung nach 3 Monaten als Voreinstellung bekommen. Google erklärte, das Unternehmen habe seine Praxis ab 2019 deutlich weiterentwickelt und Werkzeuge zur Verwaltung von Standortdaten eingeführt. Ob diese Änderungen der Anordnung genügen, hat die DPC öffentlich nicht gesagt.

Sechseinhalb Jahre von der Untersuchung bis zur Entscheidung

Die DPC eröffnete die Untersuchung im Februar 2020 nach Beschwerden europäischer Verbraucherorganisationen, darunter BEUC. Die Mitgliedsorganisationen von BEUC hatten im November 2018 bei den nationalen Behörden Beschwerde eingelegt. Der untersuchte Zeitraum reichte vom 25. Mai 2018, dem Inkrafttreten der DSGVO, bis zum 4. Februar 2020, dem Tag, an dem die DPC die Untersuchung bekannt gab.

Die Entscheidung kam mehr als 6,5 Jahre nach Eröffnung der Untersuchung. BEUC-Generaldirektor Agustín Reyna begrüßte sie, kritisierte aber die Verzögerung: "Verspätete Durchsetzung kann so schädlich sein wie gar keine Durchsetzung", sagte er.

Wie es weitergeht

Die DPC hat drei weitere förmliche Verfahren gegen Google offen. Sie betreffen das KI-Modell PaLM2, das personalisierte Werbesystem und den Prozess der Kontoregistrierung. Alle drei stehen nach Angaben der Behörde kurz vor dem Abschluss.