Google wurde von der irischen Datenschutzkommission (DPC) mit einer Geldstrafe von 403 Millionen Euro für den Umgang mit Standortdaten der Nutzer belegt. Die Aufsichtsbehörde stellte mehrere Verstöße gegen die DSGVO fest, die die Art und Weise betreffen, wie Google Standortinformationen verarbeitet, erklärt und gespeichert hat, die über mehrere seiner Dienste gesammelt wurden.
Die Untersuchung umfasste Googles Praktiken zwischen dem 25. Mai 2018 und dem 4. Februar 2020. Sie untersuchte drei Funktionen, die Standortinformationen verarbeiten können: Web- und App-Aktivitäten, Standortverlauf und Standortgenauigkeit.
Die irische DPC begann ihre Untersuchung im Februar 2020 nach Beschwerden europäischer Verbraucherorganisationen. Da sich Googles europäischer Hauptsitz in Irland befindet, fungiert die irische Behörde als leitende Regulierungsbehörde des Unternehmens für viele grenzüberschreitende Datenschutzangelegenheiten in der Europäischen Union.
Die Aufsichtsbehörde identifizierte Probleme mit der Rechtmäßigkeit und Fairness von Googles Verarbeitung über Web & App Activity und Location History. Sie stellte außerdem fest, dass Google die Einhaltung der DSGVO-Anforderungen bezüglich personenbezogener Daten, die über Location Accuracy verarbeitet werden, nicht nachweisen konnte.
Transparenz war ein weiteres zentrales Thema. Laut DPC gab Google den Nutzern keine ausreichend klaren Informationen darüber, wie Standortdaten zwischen den drei Diensten behandelt werden. Die Regulierungsbehörden kamen außerdem zu dem Schluss, dass einige Informationen, die über Web & App Activity und Location History gesammelt wurden, länger als nötig gespeichert wurden.
Standortinformationen können besonders sensibel sein, da wiederholte Aufzeichnungen der Bewegungen einer Person häufig besuchte Orte, Routinen und Interessen offenbaren können. Der DPC sagte, Googles Praktiken könnten die Menschen unwissend gemacht haben, dass ihre Standortinformationen genutzt werden könnten, um Interessen zu erkennen oder die ihnen gezeigte Werbung zu beeinflussen.
Die drei Google-Funktionen, die von der Untersuchung abgedeckt sind, erfüllen unterschiedliche Zwecke. Web- und App-Aktivitäten können Aktivitäten in allen Google-Diensten speichern, während der Standortverlauf Orte und Routen eines Benutzers erfasst und diese über die Google Maps Timeline anzeigen kann. Standortgenauigkeit nutzt Signale aus mehreren Quellen, um die Positionierung auf Android-Geräten zu verbessern.
Google bestreitet die Bedeutung der Ergebnisse für seine aktuellen Dienste. Das Unternehmen sagt, der Fall beziehe sich auf historische Praktiken, die inzwischen geändert wurden, und verweist auf in den letzten Jahren eingeführte Maßnahmen wie automatische Löschoptionen, zusätzliche Datenschutzkontrollen und klarere Informationen zu Standortdaten.
Google plant, gegen die Entscheidung Berufung einzulegen, was bedeutet, dass der Streit vor Gericht weitergeführt werden könnte. Zusätzlich zu der Strafe von 403 Millionen Euro hat die DPC das Unternehmen angewiesen, die betroffenen Bearbeitungen innerhalb von sechs Monaten mit den DSGVO-Anforderungen zu konformen.
Die Aufsichtsbehörde hat die vollständige Entscheidung noch nicht veröffentlicht. Eine ausführlichere Erklärung der Ergebnisse und der spezifischen von Google geforderten Compliance-Maßnahmen wird erwartet, wenn die endgültige Entscheidung öffentlich veröffentlicht wird.