Irlands DPC verhängt 403 Millionen Euro Bußgeld gegen Google wegen Standortdaten

Die Entscheidung

Es ist das erste Bußgeld, das die DPC gegen Google verhängt hat, berichtete The Record. Die Behörde ordnete außerdem an, dass Google die von der Entscheidung erfasste Verarbeitung ändert.

Die DPC ist Googles federführende Datenschutzaufsicht in der Europäischen Union, weil der europäische Hauptsitz des Unternehmens in Dublin liegt. Ihre Entscheidungen gelten deshalb für die gesamte Union. Die Untersuchung umfasste den Zeitraum vom 25. Mai 2018, als die DSGVO in Kraft trat, bis zum 4. Februar 2020.

Was die DPC feststellte

Die drei Kommissare der DPC stellten bei den drei Funktionen vier Verstöße fest, berichtete BetaNews. Die Verarbeitung über Web- und App-Aktivität sowie den Standortverlauf verstoße gegen die Grundsätze der Rechtmäßigkeit und der Fairness. Die Standortgenauigkeit verstoße gegen den Grundsatz der Rechenschaftspflicht, weil Google nicht nachweisen konnte, dass die Verarbeitung rechtmäßig, fair und transparent war. Bei allen drei Funktionen fehlte es an Transparenz, und Google speicherte die Daten aus den ersten beiden Funktionen länger als nötig.

Graham Doyle, stellvertretender Kommissar der DPC, sagte, Standortdaten „können eine erhebliche Menge an Informationen über eine Person offenlegen, darunter Informationen, die von Natur aus privat sind“. Nutzer hätten möglicherweise nicht gewusst, dass ihr Standort genutzt werde, „um sie zum Beispiel mit Werbung zu beeinflussen oder ihre Interessen abzuleiten“, und könnten die Kontrolle über ihre personenbezogenen Daten verlieren. Die längere Speicherung als nötig „verschärfte diesen Verlust der Kontrolle“, sagte er.

Die drei Funktionen

Web- und App-Aktivität ist eine Kontoeinstellung, die Suchanfragen, Browserverlauf und Standortdaten speichern kann. Der Standortverlauf, heute als Google Maps Timeline angezeigt, zeichnet besuchte Orte und zurückgelegte Routen auf, auch wenn jemand ein Gerät bei sich trägt, aber keinen Google-Dienst nutzt. Die Standortgenauigkeit ist eine Android-Funktion, die GPS, WLAN, Mobilfunkmasten und Sensoren kombiniert und ohne Google-Konto funktioniert.

Die DPC eröffnete die Untersuchung im Februar 2020 nach Beschwerden mehrerer europäischer Verbraucherorganisationen, darunter BEUC, teilte die DPC mit. Bis zur Entscheidung vergingen mehr als sechs Jahre.

Googles Reaktion

Google erklärte in einer Stellungnahme: „In diesem Fall geht es um frühere Richtlinien, die inzwischen aktualisiert wurden.“ Die eigenen Praktiken hätten sich seit 2019 „deutlich weiterentwickelt“, und das Unternehmen habe Werkzeuge für die Verwaltung von Standortdaten eingeführt.

Google verwies auf automatische Löschfunktionen, mit denen Nutzer Daten in rollierenden Zeiträumen von drei, 18 oder 36 Monaten entfernen können. Die Daten der Google Maps Timeline liegen inzwischen auf dem Gerät, und Daten, die älter als drei Monate sind, werden automatisch gelöscht, berichtete BleepingComputer. Google gibt außerdem an, bei einer Suche nur eine geschätzte allgemeine Region zu speichern statt des genauen Gerätestandorts. Das Unternehmen habe einfachere Werkzeuge für die Anzeigenverwaltung hinzugefügt, mit denen Nutzer personalisierte Werbung vollständig abschalten können. Laut der eigenen Dokumentation ist die Timeline standardmäßig ausgeschaltet, allerdings warnt Google, dass das Abschalten nicht zwangsläufig verhindert, dass Standortdaten über andere Einstellungen gespeichert werden.

Größenordnung und nächste Schritte

Das Bußgeld von 403 Millionen Euro ist das vierthöchste, das die DPC verhängt hat. Es ist niedriger als die 1.200.000.000 Euro, die die DPC gegen Meta verhängte, und als ihre Bußgelder gegen TikTok. Das Bußgeld ist Teil von mehr als 4.000.000.000 Euro, die die DPC seit ihrer Rolle als federführende DSGVO-Behörde im Jahr 2018 insgesamt verhängt hat. Der Dollarwert wurde mit etwa 461.000.000 bis 463.000.000 US-Dollar angegeben.

Drei weitere gesetzliche Untersuchungen gegen Google laufen noch und stehen kurz vor dem Abschluss, teilte die DPC mit. Die Behörde hat zugesagt, die vollständige Entscheidung zu veröffentlichen.