Die irische Data Protection Commission (DPC) hat gegen Google Ireland Geldbußen in Höhe von insgesamt 403 Millionen Euro verhängt.
Ursächlich ist die unzulässige Verarbeitung von Standortdaten im Zusammenhang mit den Funktionen „Web & App Activitiy“, „Location History“ und „Location Accuracy“. Die DPC stellt insbesondere hinsichtlich der Rechtmäßigkeit und der Transparenz der Verarbeitung sowie der Rechenschaftspflicht und der Aufbewahrung von Standortdaten Verstöße gegen die Datenschutzgrundverordnung (DSGVO) fest.
Untersuchung von drei Google-Funktionen
Die Untersuchung wurde im Februar 2020 von Amts wegen durch die DPC eingeleitet. Ursächlich waren mehrere Beschwerden von europäischen Verbraucherorganisationen zu der Verarbeitung von Standortdaten durch Google. Im Fokus waren die drei Funktionen „Web & App Activitiy“, „Location History“ und „Location Accuracy“.
Durch die Funktion „Web & App Activity“ kann Google Ireland bei aktivierter Einstellung die Verarbeitung von Informationen über die Nutzung von Diensten, Websites und Apps vornehmen. Dabei konnte Google auch Such-, Browser- und Standortdaten verarbeiten.
„Location History“ ermöglicht die Verarbeitung von Standortinformationen kompatibler Mobilgeräte. Nach einem Opt-In durch den Nutzer konnten zurückgelegte Wege, Orte und Aktivitäten des Nutzers aus der Funktion abgeleitet werden.
Mithilfe der „Location Accuracy“ können darüber hinaus genaue Standortbestimmungen auch ohne Nutzung eines aktiven Google-Kontos auf Android-Geräten eingesehen werden.
Verstöße gegen Datenschutzgrundsätze
Die DPC stellte für die Funktionen „Web & App Activity“ und „Location History“ Verstöße gegen die Anforderungen an eine rechtmäßige und faire Verarbeitung von Standortdaten fest. In allen drei Funktionen verletzte Google Ireland darüber hinaus die Transparenzpflichten.
Im Falle der genauen Standortbestimmung mithilfe von „Location Accuracy“ beanstandete die Behörde insbesondere, dass Google nicht nachweisen konnte, die Anforderungen an Rechtmäßigkeit, Fairness und Transparenz eingehalten zu haben. Die Entscheidung verdeutlicht folglich auch, dass Google Ireland seiner Rechenschaftspflicht nicht ausreichend Folge leisten konnte.
Außerdem wurden Standortdaten im Rahmen von „Web & App Activity“ und „Location History“ zu lange gespeichert. Der DPC zufolge führte diese übermäßig lange Speicherung der Daten zu einem Kontrollverlust betroffener Nutzer über ihre eigenen personenbezogenen Daten. Dieser Kontrollverlust war für die DPC im Verfahren gegen Google besonders relevant.
Besondere Aussagekraft von Standortdaten
Die DPC betont die besondere Aussagekraft von Standortdaten, da aus ihnen allein oder auch in Verbindung mit weiteren Informationen Rückschlüsse auf den Aufenthaltsort einer Person bezogen werden kann.
Standortdaten können zum einen den Nutzen digitaler Dienste erheblich steigern. Sie ermöglichen zum anderen jedoch einen tiefen Einblick in private Lebensbereiche. Aufgrund der festgestellten Defizite bei der Verarbeitung durch Google konnten die Nutzer der GPD zufolge nicht ausreichend erkennen, dass ihre Standortdaten zur Interessenerkennung und Beeinflussung von Werbung verarbeitet wurden.
Fazit
Die Entscheidung der irischen Datenschutzaufsicht und das Bußgeld gegen Google Ireland verdeutlicht die erhebliche Bedeutung der Verarbeitung von Standortdaten. Unternehmen müssen dabei nicht nur eine rechtmäßige und transparente Verarbeitung sicherstellen, sondern auch die Einhaltung der Datenschutzgrundsätze transparent nachweisen. Speicherfristen sind außerdem zwingend ausreichend zu begrenzen.
Die DPC verpflichtet Google zu einer DSGVO-konformen Ausgestaltung der beanstandeten Verarbeitungsvorgänge innerhalb der nächsten sechs Monate. Für die rechtliche Begründung und die konkrete Bemessung der Geldbußen ist die Veröffentlichung des vollständigen Beschlusses der DPC abzuwarten.
Bereit, die Verantwortung an einen externen Datenschutzbeauftragten zu übergeben?
Kontaktieren Sie uns noch heute, um zu erfahren, wie wir Ihr Unternehmen in Fragen des Datenschutzes und der Datenschutz-Compliance unterstützen können.
