Irlands Datenschutzbehörde beendet nach sechs Jahren Untersuchung zu Googles Standortverfolgung – der Konzern zahlt 403 Millionen Euro.
Nach einer sechsjährigen Untersuchung hat die irische Datenschutzkommission (DPC) Google zu einer Geldstrafe von 403 Millionen Euro verurteilt. Die Behörde wirft dem Technologiekonzern vor, Standortdaten von Nutzerinnen und Nutzern unzulässig verfolgt und gespeichert zu haben.
WERBUNG
WERBUNG
Die DPC ist in der EU die Hauptaufsichtsbehörde für Google. Sie leitete das Verfahren im Februar 2020 ein, nachdem mehrere europäische Verbraucherverbände, darunter die Dachorganisation BEUC, Beschwerde eingelegt hatten.
Die Ermittler nahmen drei Funktionen von Google unter die Lupe: „Web & App Activity“, „Location History“ und „Location Accuracy“. Untersucht wurde der Zeitraum vom 25. Mai 2018, dem Inkrafttreten der Datenschutz-Grundverordnung (DSGVO), bis zum 4. Februar 2020.
„Kontrollverlust“ über persönliche Daten
Die DPC kommt zu dem Schluss, dass Google die DSGVO in mehreren Punkten verletzt hat.
Die Aufsichtsbehörde stellt fest, dass Google über „Web & App Activity“ und „Location History“ Standortdaten nicht rechtmäßig und nicht fair verarbeitet hat. Beim Dienst „Location Accuracy“ konnte das Unternehmen zudem nicht nachweisen, dass die Verarbeitung den Grundsätzen der Rechtmäßigkeit, Fairness und Transparenz entspricht.
Außerdem habe Google bei allen drei Diensten seine Transparenzpflichten verletzt und Standortdaten länger gespeichert, als es notwendig sei.
Der stellvertretende Kommissar Graham Doyle betonte, Standortdaten könnten sehr intime Informationen über eine Person offenlegen – sogar dann, wenn sie nur indirekt mit anderen bei Google gespeicherten Daten verknüpft werden.
„Infolge dieser Versäumnisse von Google konnten viele Menschen gar nicht wissen, dass ihre Standortdaten genutzt werden, um sie etwa mit Werbung zu beeinflussen oder ihre Interessen abzuleiten“, sagte Doyle. „Sie verlieren damit die Kontrolle über ihre persönlichen Daten.“
„Dass Google die Standortdaten länger aufbewahrt hat, als nötig, hat diesen Kontrollverlust noch verschärft“, fügte er hinzu.
Sechs Monate Frist für Umsetzung
Zusätzlich zur Geldbuße verpflichtet die DPC Google, seine Datenverarbeitung binnen sechs Monaten vollständig an die DSGVO anzupassen.
Die Entscheidung trafen die Datenschutzkommissare Des Hogan, Dale Sunderland und Niamh Sweeney. Zuvor hatte die DPC mit anderen Aufsichtsbehörden in der EU zusammengearbeitet.
Die Behörde kündigte an, die vollständige Entscheidung zu einem späteren Zeitpunkt zu veröffentlichen.
Die Strafe reiht sich ein in eine wachsende Liste von Sanktionen, die Brüssel und nationale Regulierer in den vergangenen Jahren gegen Google verhängt haben – wegen Wettbewerbsverstößen, Werbung und Datenschutz.
Sie kommt in einer Phase, in der die Kontrolle über den Umgang der Tech-Konzerne mit Nutzerdaten in der EU deutlich zunimmt. Immer mehr Aufsichtsbehörden greifen zu hohen Geldbußen, auch wenn die zugrunde liegenden Ermittlungen bereits vor Jahren begonnen haben.