Google erhält 403 Millionen Euro Geldstrafe wegen Verstößen bei Standortdaten

Irlands Datenschutzbehörde hat gegen Google wegen DSGVO-Verstößen im Zusammenhang mit den Standortinformationen von Nutzern eine Geldstrafe von 403 Millionen Euro verhängt. Die Behörde stellte Probleme bei der Transparenz, Datenspeicherung und der Rechtsgrundlage für die Verarbeitung von Google-Standortdaten fest.

DPC untersucht drei Google-Funktionen

Irlands Data Protection Commission leitete ihre Untersuchung im Februar 2020 ein. Die Untersuchung folgte auf mehrere Beschwerden von Verbraucherschutzorganisationen.

Die Aufsichtsbehörde untersuchte drei Google-Funktionen, die zwischen dem 25. Mai 2018 und dem 4. Februar 2020 in Betrieb waren.

Web- & App-Aktivitäten ermöglichten Google, Aktivitäten über seine Dienste hinweg zu verarbeiten. Diese Informationen konnten den Browserverlauf, Suchanfragen und Standortdaten umfassen.

Währenddessen verfolgte der Standortverlauf Nutzer, die kompatible Mobilgeräte bei sich trugen. Der Dienst konnte besuchte Orte, Aktivitäten und Reiserouten identifizieren.

Er zeigte die Informationen außerdem über eine private Maps-Zeitachse an. Die Nachverfolgung konnte fortgesetzt werden, selbst wenn Nutzer keinen Google-Dienst aktiv verwendeten.

Schließlich half die Standortgenauigkeit Android-Geräten dabei, ihre Position genauer zu bestimmen als mit GPS allein. Die Funktion arbeitete unabhängig davon, ob eine Person ein Google-Konto hatte.

Aufsichtsbehörde stellt mehrere DSGVO-Verstöße fest

Die DPC stellte fest, dass Googles Umgang mit Daten über Web- & App-Aktivitäten und den Standortverlauf die Anforderungen der DSGVO nicht erfüllte.

Google konnte außerdem nicht nachweisen, dass die Verarbeitung personenbezogener Daten über die Standortgenauigkeit den Grundsätzen der DSGVO entsprach.

Darüber hinaus stellte die Aufsichtsbehörde bei allen drei Funktionen Transparenzmängel fest. Daher haben Nutzer möglicherweise nicht verstanden, wie Google ihre Standortinformationen sammelte und verwendete.

Die DPC erklärte, dass einige Personen möglicherweise nicht wussten, dass Google ihren Standort nutzte, um Werbung zu beeinflussen oder Rückschlüsse auf ihre Interessen zu ziehen.

Darüber hinaus speicherte Google Daten aus Web- & App-Aktivitäten und dem Standortverlauf länger als notwendig. Nach Angaben der Aufsichtsbehörde verringerte diese Praxis die Kontrolle der Nutzer über ihre personenbezogenen Daten zusätzlich.

Google muss seine Datenpraktiken ändern

Die DPC verhängte Verwaltungsgeldbußen in Höhe von insgesamt 403 Millionen Euro, was etwa 463 Millionen US-Dollar entspricht.

Sie ordnete außerdem an, dass Google seine Datenverarbeitungspraktiken innerhalb von sechs Monaten mit den Vorschriften in Einklang bringen muss. Die Behörde hat ihre vollständige Entscheidung jedoch noch nicht veröffentlicht.

Die Aufsichtsbehörde plant, die vollständigen Ergebnisse zu einem späteren Zeitpunkt zu veröffentlichen.

Google sagt, dass die Richtlinien geändert wurden

Google erklärte, dass sich die Untersuchung auf frühere Richtlinien konzentrierte, die das Unternehmen inzwischen aktualisiert hat.

Nach Angaben des Technologieunternehmens begann es 2019 damit, seine Praktiken im Umgang mit Standortdaten erheblich zu ändern. Außerdem führte es Tools ein, die Nutzern mehr Kontrolle über ihre Informationen geben.

Nutzer können beispielsweise inzwischen festlegen, wann Google Daten automatisch aus ihren Konten löschen soll.

Google speichert Informationen aus der Maps-Zeitachse außerdem direkt auf den Geräten der Nutzer. Darüber hinaus löscht der Dienst automatisch Zeitachsendaten, die älter als drei Monate sind.

Das Unternehmen erklärt, dass Web- & App-Aktivitäten nicht den genauen Standort eines Geräts speichern. Stattdessen speichert die Funktion einen geschätzten allgemeinen Bereich.

Trotz dieser Änderungen verlangt die Entscheidung der DPC von Google, die festgestellten Verstöße zu beheben und die Einhaltung der DSGVO nachzuweisen.

Die Geldstrafe von 403 Millionen Euro verdeutlicht die regulatorischen Risiken im Zusammenhang mit Google-Standortdaten und anderen sensiblen personenbezogenen Informationen.