Die Einstellung „Web- und App-Aktivitäten“ erlaubt Google, bei Aktivierung Daten über die Nutzung seiner Websites und Apps zu verarbeiten – darunter auch Standortangaben. Der Standortverlauf, für den Nutzer aktiv zustimmen müssen, zeichnet die Wege angemeldeter Mobilgeräte auf, selbst wenn gerade kein Google-Dienst verwendet wird.
Für beide Funktionen stellte die DPC fest, dass Google gegen die DSGVO-Vorgaben zur Rechtmäßigkeit und Fairness der Verarbeitung sowie gegen die Transparenzpflichten verstoßen hat. Zudem habe das Unternehmen Standortdaten länger aufbewahrt als erforderlich.
Enger gefasst fielen die Feststellungen zur Standortgenauigkeit aus – einer Android-Funktion, die den Gerätestandort präziser bestimmt als GPS allein und Android-Nutzern mit wie ohne Google-Konto zur Verfügung steht. Hier sah die Behörde Verstöße gegen die Transparenzpflichten und gegen den Grundsatz der Rechenschaftspflicht: Google konnte nicht belegen, dass diese Verarbeitung rechtmäßig, fair und transparent erfolgte.
DPC-Vizekommissar Graham Doyle erklärte, aufgrund dieser Versäumnisse hätten Betroffene möglicherweise nicht gewusst, dass ihr Standort genutzt wurde – etwa um sie mit Werbung zu beeinflussen oder um auf ihre Interessen zu schließen. Sie hätten zudem die Kontrolle über ihre personenbezogenen Daten verlieren können; die lange Speicherdauer habe das zusätzlich verschärft.
Google erklärte in einer von der Associated Press wiedergegebenen Stellungnahme, der Fall drehe sich um „historische Richtlinien, die seit damals aktualisiert wurden“. Seit 2019 habe das Unternehmen seine Praktiken erheblich geändert.
Tatsächlich kündigte Google im Mai 2019 – noch innerhalb des von der DPC geprüften Zeitraums – automatische Löschoptionen für Standortverlauf und Web- und App-Aktivitäten an: Daten können nach drei oder 18 Monaten automatisch gelöscht werden. Im Juni 2020 machte Google die automatische Löschung nach 18 Monaten zur Voreinstellung für Web- und App-Aktivitäten bei neuen Konten sowie für alle, die den Standortverlauf erstmals aktivieren.
Im Dezember 2023 kündigte Google an, dass die Google-Maps-Funktion Timeline, die den Standortverlauf auf einer Karte darstellt, ihre Daten auf den Geräten der Nutzer belässt. Die automatische Löschung sollte bei erstmaliger Aktivierung des Standortverlaufs standardmäßig nach drei Monaten greifen. Ob diese Änderungen ausreichen, um der Anordnung zu genügen, hat die DPC öffentlich nicht mitgeteilt.
Die Untersuchung geht auf Beschwerden zurück, die Mitgliedsorganisationen des europäischen Verbraucherverbands BEUC im November 2018 bei nationalen Datenschutzbehörden eingereicht hatten. Der von der DPC geprüfte Zeitraum endet am 4. Februar 2020 – dem Tag, an dem die Behörde die Untersuchung ankündigte.
BEUC-Generaldirektor Agustín Reyna begrüßte die Entscheidung laut NewsIreland.EU, kritisierte aber die Verfahrensdauer: „Späte Durchsetzung kann genauso schädlich sein wie gar keine Durchsetzung“, sagte er.