Irlands Datenschutzkommission verhängt Geldstrafe von 403 Millionen Euro gegen Google wegen trac

Die irische Datenschutzkommission (DPC) hat Google wegen der Art und Weise, wie das Unternehmen mit Standortdaten von Android- und Google-Kontonutzern umgegangen ist, mit einer Geldstrafe von 403 Millionen Euro (463 Millionen US-Dollar) belegt. Die Kommission stellte fest, dass dem Technologiekonzern jegliche Rechtsgrundlage für die Verarbeitung der Informationen fehlte und dass den Nutzern nicht genügend Klarheit darüber gegeben wurde, womit sie einverstanden waren.

Die DPC stellte fest, dass Google Standortdaten bei drei Produkten – Web- und App-Aktivitäten, Standortverlauf und Standortgenauigkeit – nicht rechtmäßig, fair und transparent verarbeitet hat. Die ersten beiden Produkte können Browser- und Suchaktivitäten sowie die vom Gerät eines Nutzers zuvor besuchten Orte trac, während die Standortgenauigkeit lediglich eine Android-Betriebssystemeinstellung ist.

Die irische Aufsichtsbehörde wies zudem auf die weitreichenden Datenschutzrisiken hin, die mit der traceinhergehen. Der stellvertretende Datenschutzbeauftragte Graham Doyle erklärte, Standortdaten könnten Online-Dienste zwar nützlicher machen, aber auch höchst private und sensible Informationen über eine Person offenlegen.

Laut dem Guardian erklärte der Datenschutzbeauftragte, dass die Nutzer möglicherweise nicht wussten, dass ihre Aufenthaltsorte für gezielte Werbung verwendet wurden und dass Rückschlüsse auf ihre Interessen gezogen werden konnten. Die Speicherung der Daten über das notwendige Maß hinaus, fügte er hinzu, schränke die Kontrolle der Nutzer über ihre Daten weiter ein.

Die Untersuchung der irischen Aufsichtsbehörde begann mit dem Inkrafttreten der Datenschutz-Grundverordnung am 25. Mai 2018 und dauerte fast zwei Jahre bis zum 4. Februar 2020.

Eine Beschwerde, die ihren Ursprung in Norwegen hat

Der Fall begann mit Beschwerden von sieben europäischen Verbraucherorganisationen, die Google vorwarfen, Nutzer in ihrem gesamten Alltag zu trac. Ihre Bedenken stützten sich auf eine Studie der norwegischen Verbraucherschutzbehörde Forbrukerrådet aus dem Jahr 2018, die argumentierte, dass Google „verschiedene Tricks“ anwende, um den Standortverlauf sowie die Web- und App-Aktivitäten aktiviert zu halten.

Die Studie zeigte auch auf, wie und warum tracweit mehr als nur die besuchten Orte offenlegen kann. Besuche von Gotteshäusern können religiöse Überzeugungen offenbaren, die Teilnahme an Demonstrationen politische Ansichten, Krankenhausbesuche Hinweise auf den Gesundheitszustand und die besuchten Orte die sexuelle Orientierung.

Finn Myrstad, Leiter der Abteilung für digitale Politik beim norwegischen Verbraucherrat, bezeichnete das Urteil als Meilenstein. Laut dem Guardian sagte die Menschen müssten verstehen können, worauf sie sich einlassen, ohne irregeführt oder zu Entscheidungen gedrängt zu werden, die sie sonst nicht treffen würden.

Die Europäische Verbraucherorganisation BEUC bezeichnete die Geolokalisierung ebenfalls als eine der invasivsten Formen der Verbraucherüberwachung.

Sechs Jahre nach Beginn der Ermittlungen

Während BEUC-Generaldirektor Agustín Reyna die Entscheidung begrüßte, kritisierte er die lange Dauer bis zu ihrer Zustandekommen. Er bezeichnete die Verzögerung als „unverhältnismäßig zur Schwere des Verstoßes“ und warnte, dass „eine verspätete Durchsetzung genauso schädlich sein kann wie gar keine Durchsetzung“

Zur Einordnung: Die DPC hat ihre Untersuchung vor sechs Jahren aufgenommen.

Google verwies seinerseits auf Änderungen, die das Unternehmen nach eigenen Angaben seit dem Untersuchungszeitraum vorgenommen hat. Ein Sprecher erklärte, der Fall betreffe ältere Richtlinien, die inzwischen aktualisiert worden seien. Er fügte hinzu, dass das Unternehmen seine Vorgehensweise seit 2019 deutlich geändert und Tools eingeführt habe, um die Verwaltung von Standortdaten zu vereinfachen.

Die DPC hat Google eine Frist von sechs Monaten gesetzt, um seine Verarbeitungspraktiken mit der DSGVO in Einklang zu bringen.

Warum Irland eine Vorreiterrolle einnimmt

Googles Europazentrale befindet sich in Dublin, wodurch die irische Datenschutzbehörde (DPC) die federführende Regulierungsbehörde für die 27 Mitgliedstaaten der EU ist. Die DPC übernimmt dieselbe Rolle für die meisten großen US-amerikanischen Technologieunternehmen mit europäischen Niederlassungen in Irland.

Die Strafe von 403 Millionen Euro ist die vierthöchste, die die irische Regulierungsbehörde jemals verhängt hat. Laut dem Guardian belegte die DPC Meta zuvor mit 1,2 Milliarden Euro, TikTok mit 530 Millionen Euro und dem zu Meta gehörenden Instagram mit 405 Millionen Euro.

Die jüngste Entscheidung ist möglicherweise nicht die letzte Maßnahme der Regulierungsbehörde gegen Google in diesem Jahr, da drei weitere Untersuchungen gegen das Unternehmen bereits in einem fortgeschrittenen Stadium sind.