Wegen Standort-Tracking: Google muss 403 Millionen Euro Strafe zahlen

Die irische Datenschutzbehörde hat gegen Google eine Geldbuße von 403 Millionen Euro verhängt, Grund dafür ist die jahrelange rechtswidrige Verarbeitung personenbezogener Aktivitäten und Standortdaten. Damit stellt die DPC nach rund acht Jahren Untersuchung bei drei Google-Funktionen Verstöße gegen die DSGVO fest.

Illegale Erfassung von Aktivitäten und Standortdaten

Die irische Datenschutzbehörde Data Protection Commission (DPC) hat gegen Google Ireland Limited wegen der rechtswidrigen Verarbeitung personenbezogener Standortdaten eine Geldbuße von insgesamt 403 Millionen Euro verhängt. Im Mittelpunkt der nun veröffentlichten Entscheidung stehen die drei Google-Funktionen Web- und App-Aktivitäten, Standortverlauf und Standortgenauigkeit. Nach Auffassung der DPC konnte Google nicht nachweisen, dass die Verarbeitung der darüber erhobenen personenbezogenen Daten auf einer rechtmäßigen und nachvollziehbaren Grundlage erfolgte. Für den Zeitraum vom 25. Mai 2018 bis zum 4. Februar 2020 stellte die Behörde deshalb Verstöße gegen die in der DSGVO verankerten Grundsätze der Rechtmäßigkeit, Fairness und Transparenz sowie gegen die Rechenschaftspflichten und Vorgaben zur Datenspeicherung fest.

Ausgangspunkt der im Februar 2020 eingeleiteten Untersuchungen waren Beschwerden von acht europäischen Verbraucherschutzorganisationen, darunter der Europäische Verbraucherverband BEUC und die norwegische Verbraucherschutzorganisation Forbrukerrådet. Sie hatten Googles Umgang mit Standortdaten beanstandet, nachdem bereits nachgewiesen worden war, dass der Konzern Verbraucher durch eine manipulative Gestaltung seiner Dienste dazu bewegte, einer dauerhaften Standortüberwachung zuzustimmen. Zuvor hatte die Nachrichtenagentur Associated Press (AP) aufgedeckt, dass Google Standortinformationen selbst dann speicherte, wenn der Standortverlauf ausdrücklich deaktiviert worden war.

Nutzer haben das Sammeln von Daten nicht erkennen können

Nach Einschätzung der DPC war für die Betroffenen möglicherweise nicht erkennbar, dass Google ihre Standortinformationen unter anderem zur gezielten Beeinflussung durch Werbung und zur Ableitung persönlicher Interessen verwende. Die übermäßig lange Speicherung der erhobenen Daten habe den damit verbundenen Kontrollverlust zusätzlich verschärft. Die Behörde sieht in den festgestellten Datenschutzverstößen deshalb weit mehr als lediglich formelle Versäumnisse.

Die Funktion Web- und App-Aktivitäten steht ausschließlich Inhabern eines Google-Kontos als Kontoeinstellung zur Verfügung. Bei aktivierter Funktion verarbeitet Google Informationen über die Aktivitäten der Kontoinhaber innerhalb seiner Dienste, darunter die Nutzung von Websites und Anwendungen. Neben dem Browser- und Suchverlauf können dabei auch Standortdaten zu den erfassten personenbezogenen Informationen gehören.

Google ist nun verpflichtet, seine Datenverarbeitung innerhalb von sechs Monaten an die gesetzlichen Vorgaben anzupassen. Der vollständige Wortlaut der Entscheidung soll zu einem späteren Zeitpunkt veröffentlicht werden.

DPC erneut in der Kritik

Mit der Entscheidung endet ein rund achtjähriges Verfahren, dessen Dauer der Europäische Verbraucherverband BEUC scharf kritisiert. Angesichts der Schwere und des Umfangs der festgestellten Datenschutzverstöße sei es nicht angemessen, dass die zuständige Behörde erst nach derart langer Zeit eingeschritten sei. „Ein verspätetes Einschreiten kann ebenso schädlich sein wie überhaupt kein Einschreiten. Die Grundrechte der Verbraucher müssen schneller und wirksamer gewahrt werden“, erklärt BEUC-Chef Agustín Reyna in einer Pressemitteilung. Nach seiner Einschätzung hat Google über Jahre hinweg Hunderte Millionen europäischer Verbraucher verfolgt, um möglichst umfassende Informationen über deren Verhalten und persönliche Interessen zu gewinnen.

Auch in seiner Stellungnahme hebt der BEUC hervor, dass Google über Jahre hinweg Hunderte Millionen europäischer Verbraucher verfolgt habe, um detaillierte Erkenntnisse über deren Verhalten und persönliche Interessen zu gewinnen. Besondere Bedeutung kommt dabei der Sensibilität von Standortdaten zu. Aus ihnen könnte sich beispielsweise ableiten lassen, welche Schule die Kinder einer Person besuchen oder wie häufig jemand ein Krankenhaus beziehungsweise eine religiöse Einrichtung aufsucht. Die erhobenen Informationen ermöglichten damit weitreichende Rückschlüsse auf das Privatleben der Betroffenen. Ihre systematische Erfassung und Verarbeitung stelle deshalb einen erheblichen Eingriff in die Privatsphäre dar, verletze das Grundrecht auf Datenschutz und verstoße gegen die DSGVO.

Bereits in der Vergangenheit wurden immer wieder kritische Töne über die schleppende Arbeit der irischen Datenschutzbehörde laut.

Abhängigkeit von Großkonzernen

Der Fall Google verdeutlicht nicht nur die Schwierigkeiten bei der zeitnahen Durchsetzung bestehender Datenschutzvorschriften, sondern wirft zugleich die grundsätzliche Frage auf, welchen Stellenwert der Schutz personenbezogener Daten in der künftigen europäischen Digital- und KI-Politik einnehmen soll. Dass ausgerechnet die irische DPC für das Verfahren zuständig ist, liegt am europäischen Hauptsitz von Google in Irland. Wie zahlreiche andere internationale Technologiekonzerne hat sich das Unternehmen dort niedergelassen, nachdem das Land große Unternehmen über Jahre hinweg unter anderem mit niedrigen Unternehmenssteuern und teilweise rechtswidrigen staatlichen Beihilfen angezogen hatte. Die damit einhergehende wirtschaftliche Abhängigkeit von wenigen internationalen Konzernen ist erheblich, nahezu die Hälfte der irischen Körperschaftsteuereinnahmen soll auf lediglich drei Unternehmen entfallen. Als mutmaßliche Hauptzahler gelten Apple, Microsoft und der US-amerikanische Pharmakonzern Eli Lilly.

In der Vergangenheit kam es bereits zu außergewöhnlichen Eingriffen in Entscheidungen der irischen Datenschutzbehörde. So hob der Europäische Datenschutzausschuss (EDPB) vor einigen Jahren eine Entscheidung der DPC zur Datenverarbeitung durch Meta auf und setzte eine strengere Bewertung der Rechtsgrundlagen für die Verarbeitung personenbezogener Daten durch.