Die irische Data Protection Commission hat gegen Google administrative Geldbußen in Höhe von insgesamt 403 Millionen Euro (463 Millionen US-Dollar) verhängt. Die Behörde sieht mehrere Verstöße gegen die DSGVO bei der Verarbeitung von Standortdaten als erwiesen an.
Die Untersuchung begann im Februar 2020, nachdem bei der DPC mehrere Beschwerden von Verbraucherschutzorganisationen eingegangen waren. Im Fokus standen drei Funktionen, die während des geprüften Zeitraums vom 25. Mai 2018 bis zum 4. Februar 2020 aktiv waren und Google die Verarbeitung von Web- und App-Aktivitäten, des Standortverlaufs sowie von Daten zur Standortgenauigkeit erlaubten.
Die Behörde kam zu dem Ergebnis, dass Google über „Web & App Activity" und „Location History" Standortdaten verarbeitet hat, ohne die Vorgaben der DSGVO zu erfüllen. Bei der Funktion zur Standortgenauigkeit konnte der Konzern die Einhaltung der Grundsätze der Verordnung nicht nachweisen. Hinzu kommt nach Darstellung der DPC ein Verstoß gegen die Transparenzpflichten bei allen drei Funktionen sowie eine zu lange Speicherung der über Web- und App-Aktivitäten und den Standortverlauf erhobenen Standortdaten.
Stellvertretender Kommissar Graham Doyle erklärte, Betroffene hätten unter Umständen nicht gewusst, dass ihr Standort etwa genutzt werde, um sie mit Werbung zu beeinflussen oder auf ihre Interessen zu schließen — und hätten so die Kontrolle über ihre personenbezogenen Daten verlieren können. Die längere Speicherung der Standortdaten als erforderlich habe diesen Kontrollverlust noch verschärft.
Neben der Geldbuße verpflichtet die DPC Google dazu, die Verarbeitung von Nutzerdaten binnen sechs Monaten in einen rechtskonformen Zustand zu bringen. Die vollständige Entscheidung hat die Behörde bislang nicht veröffentlicht, kündigte dies aber für die Zukunft an.
Google erklärte gegenüber BleepingComputer, man habe Praktiken und Richtlinien inzwischen angepasst und einen Mechanismus zur einfachen Verwaltung von Standortdaten eingeführt. Ein Unternehmenssprecher sagte, der Fall drehe sich um historische Richtlinien, die seither überarbeitet worden seien; seit 2019 habe man die eigenen Verfahren deutlich weiterentwickelt und Werkzeuge eingeführt, die die Verwaltung von Standortdaten einfach machten.
Nach Angaben des Unternehmens können Nutzer inzwischen festlegen, nach welchem Zeitraum Daten in ihrem Konto automatisch gelöscht werden. Die Informationen der Google-Maps-Zeitachse werden demnach auf dem Gerät gespeichert und Einträge, die älter als drei Monate sind, automatisch entfernt. Zudem speichere Google in den Web- und App-Aktivitäten keinen präzisen Gerätestandort mehr, sondern lediglich ein geschätztes allgemeines Gebiet.