Worum geht es?
Die irische Datenschutzbehörde Data Protection Commission (DPC) hat nach einem Bericht von Legal Tribune Online gegen Google ein Bußgeld von insgesamt 403 Millionen Euro verhängt. Anlass sind Verstöße gegen die Datenschutz-Grundverordnung (DSGVO) bei der Verarbeitung von Standortdaten. Zusätzlich soll Google die betreffende Datenverarbeitung innerhalb von sechs Monaten an die gesetzlichen Vorgaben anpassen.
Die Untersuchung bezog sich auf den Zeitraum vom 25. Mai 2018 bis Anfang Februar 2020. Im Mittelpunkt standen drei Funktionen: Web- und App-Aktivitäten, der Standortverlauf sowie die Standortgenauigkeit auf Android-Geräten. Dabei ging es um Informationen, die beispielsweise Aufenthaltsorte und zurückgelegte Strecken erkennen lassen.
Nach der vorliegenden Meldung leitete die DPC das Verfahren im Februar 2020 ein, nachdem mehrere europäische Verbraucherschutzorganisationen Beschwerden eingereicht hatten. Die Zuständigkeit der irischen Behörde erklärt der Bericht mit dem europäischen Sitz von Google Ireland in Dublin und ihrer Funktion als federführende Datenschutzaufsicht.
Der vollständige Behördenbeschluss liegt den Quelldaten nicht bei. Ob Google Rechtsmittel eingelegt hat und ob die Entscheidung bereits bestandskräftig ist, lässt sich daraus nicht entnehmen.
Die rechtliche Einordnung
Die Beanstandungen betreffen mehrere grundlegende Anforderungen der DSGVO. Nach Darstellung der Quelle sah die DPC Defizite bei der Rechtmäßigkeit, der fairen Verarbeitung und der Transparenz. Außerdem seien Standortinformationen zum Teil länger aufbewahrt worden, als es erforderlich gewesen sei.
Diese Anforderungen betreffen unterschiedliche Fragen: Auf welcher rechtlichen Grundlage darf ein Unternehmen Daten verarbeiten? Können Nutzer erkennen, was mit ihren Informationen geschieht? Und wie lange ist deren Speicherung für den jeweiligen Zweck notwendig? Eine technisch verfügbare Funktion beantwortet diese rechtlichen Fragen noch nicht.
Standortdaten sind besonders aussagekräftig. Aus wiederkehrenden Aufenthaltsorten und Bewegungen können sich Rückschlüsse auf Gewohnheiten und persönliche Interessen ergeben. Das bedeutet allerdings nicht, dass jede Standortangabe automatisch einer besonderen Datenkategorie der DSGVO zuzuordnen ist. Entscheidend bleiben die konkreten Informationen und der Zusammenhang ihrer Verarbeitung.
Die DPC beanstandete laut Bericht insbesondere, dass Nutzern möglicherweise nicht ausreichend deutlich gewesen sei, wie Standortinformationen zur Ableitung von Interessen oder für personalisierte Werbung verwendet werden konnten. Eine überlange Speicherung könne den damit verbundenen Verlust an Kontrolle zusätzlich verschärfen.
Welche einzelnen Vorschriften die Behörde im Detail herangezogen hat und wie sich die Bußgeldsumme zusammensetzt, geht aus dem Material nicht hervor. Eine weitergehende Bewertung der konkreten rechtlichen Begründung ist deshalb nicht möglich.
Was bedeutet das für Betroffene?
Für Nutzer zeigt der Fall, dass Standortverarbeitung nicht nur eine Frage der Ortungsfunktion des Smartphones ist. Der Bericht nennt mehrere Google-Funktionen, deren Einstellungen und Zwecke auseinanderzuhalten sind. Wer nachvollziehen möchte, welche Standortinformationen verarbeitet werden, sollte daher nicht allein auf eine einzelne Einstellung schauen.
Google verweist nach Angaben der Quelle auf Änderungen seit 2019. Dazu gehören Möglichkeiten zur automatischen Löschung nach bestimmten Zeiträumen, die Speicherung von Standortverläufen auf dem Gerät sowie Optionen zur Deaktivierung personalisierter Werbung und zur Nutzung ungefährer Standortangaben. Diese Darstellung stammt vom Unternehmen; eine umfassende behördliche Bestätigung der heutigen Verfahren enthält das vorliegende Material nicht.
Unabhängig vom Bußgeld sieht die DSGVO unter ihren jeweiligen Voraussetzungen Rechte auf Auskunft und Löschung vor. Eine Auskunft kann helfen, Umfang und Zwecke der Verarbeitung eigener Daten besser zu verstehen. Ein Anspruch auf Löschung besteht jedoch nicht ausnahmslos.
Aus einer Geldbuße folgt außerdem nicht automatisch ein Zahlungsanspruch einzelner Nutzer. Ob individuelle Ansprüche bestehen, erfordert eine gesonderte Prüfung. Die Quelldaten erlauben hierzu keine Aussage für konkrete Betroffene.
Einordnung der Redaktion
Der rechtliche Kern des Falls liegt nicht allein in der Höhe der Sanktion. Entscheidend sind nachvollziehbare Verarbeitungszwecke, transparente Informationen und eine auf das Erforderliche begrenzte Speicherung. Gerade bei Standortdaten können unklare Zusammenhänge zwischen verschiedenen Funktionen die Übersicht für Nutzer erschweren.
Spätere technische Verbesserungen ersetzen nicht die Prüfung früherer Verarbeitungsvorgänge. Umgekehrt lässt eine Beanstandung vergangener Praktiken keine pauschale Aussage über sämtliche heutigen Einstellungen zu. Für eine abschließende Bewertung fehlen insbesondere der vollständige Bescheid und Angaben zu möglichen Rechtsmitteln. Diese Grenzen sind bei der Einordnung der Meldung zu berücksichtigen.
Weitere Meldungen zu Datenschutz & IT-Recht
- Bundesgerichtshof legt Gerichtshof der Europäischen Union Fragen zur sogenannten "Haushaltsausnahme" nach der Datenschutz-Grundverordnung vor
Dürfen private Chatnachrichten ohne Weiteres weitergeleitet werden? Und welche Datenschutzregeln gelten für eine Kamera in der eigenen Wohnküche? Mit diesen Fragen befassen sich zwei Verfahren, die der Bundesgerichtshof (BGH) nach der vorliegenden Pressemitteilung dem Gerichtshof der Europäischen Union (EuGH) vorgelegt hat. Die Beschlüsse vom 17.