Die irische Datenschutzbehörde hat gegen Google ein Bußgeld in Höhe von 403 Millionen Euro verhängt. Grund ist der Umgang des Konzerns mit Standortdaten, bei dem die Behörde mehrere Verstöße gegen die Datenschutz-Grundverordnung (DSGVO) sieht. Die Entscheidung zeigt, welches wirtschaftliche Gewicht Bewegungsprofile inzwischen haben – und wie hoch die Anforderungen an ihre rechtmäßige Verarbeitung sind.
Der Fall
Im Zentrum steht die Frage, wie Google Standortdaten von Nutzerinnen und Nutzern erhebt, speichert und weiterverwendet. Solche Daten verraten weit mehr als nur einen einzelnen Aufenthaltsort: Aus ihnen lassen sich zurückgelegte Wege, regelmäßige Aufenthaltsmuster und daraus abgeleitete Interessen rekonstruieren – etwa Arbeitsplatz, Wohnort, Arztbesuche oder Freizeitverhalten.
Zuständig war die irische Datenschutzkommission (Data Protection Commission, DPC). Das ist kein Zufall: Viele große US-Technologiekonzerne haben ihre europäische Hauptniederlassung in Irland. Nach dem sogenannten One-Stop-Shop-Prinzip der DSGVO führt dann grundsätzlich die Aufsichtsbehörde des Hauptniederlassungsstaats das Verfahren – mit Wirkung für den gesamten Europäischen Wirtschaftsraum.
Über die konkreten technischen Abläufe, die geprüften Zeiträume und die genaue Zahl der betroffenen Personen ist auf Basis der bisherigen Berichterstattung nichts Belastbares bekannt. Weitere Details dürften erst mit der Veröffentlichung der behördlichen Entscheidung im Volltext vorliegen.
Die Entscheidung der Datenschutzbehörde
Nach einem Bericht von LTO hat die irische Datenschutzbehörde ein Bußgeld von 403 Millionen Euro festgesetzt, weil Google beim Umgang mit Standortdaten aus ihrer Sicht mehrfach gegen die DSGVO verstoßen hat. Die Behörde geht damit nicht von einem einzelnen Versäumnis aus, sondern von mehreren rechtlichen Beanstandungen.
Wichtig für die Einordnung: Eine Aufsichtsbehörde ist kein Gericht. Sie trifft eine Verwaltungsentscheidung, die von den betroffenen Unternehmen regelmäßig gerichtlich angegriffen wird. Ob und mit welchem Ergebnis das hier geschieht, ist derzeit offen. Bußgeldbescheide der irischen DPC haben in der Vergangenheit häufig jahrelange Rechtsmittelverfahren nach sich gezogen, in denen die Höhe der Sanktion oder einzelne Feststellungen erneut überprüft wurden.
Welche Vorschriften die Behörde im Einzelnen als verletzt ansieht und wie sie den Betrag berechnet hat, lässt sich ohne die vollständige Entscheidung nicht seriös sagen. In vergleichbaren Verfahren stehen typischerweise die Rechtsgrundlage der Verarbeitung, die Transparenz gegenüber den Nutzern sowie die Gestaltung der Einstellungsmöglichkeiten im Mittelpunkt der Prüfung.
Rechtlicher Hintergrund
Standortdaten sind personenbezogene Daten im Sinne von Art. 4 Nr. 1 DSGVO, sobald sie sich einer bestimmbaren Person zuordnen lassen. Ihre Verarbeitung ist nur zulässig, wenn eine Rechtsgrundlage nach Art. 6 DSGVO vorliegt – in der Praxis meist eine wirksame Einwilligung oder ein überwiegendes berechtigtes Interesse. Eine Einwilligung muss nach Art. 7 DSGVO freiwillig, informiert, für den konkreten Zweck erteilt und jederzeit widerrufbar sein.
Hinzu kommen die Grundsätze des Art. 5 DSGVO: Verarbeitung nach Recht und Treu und Glauben, Transparenz, Zweckbindung, Datenminimierung und Speicherbegrenzung. Wer Daten für einen Zweck erhebt, darf sie nicht ohne weiteres für einen anderen nutzen. Über Art. 12 bis 14 DSGVO müssen Anbieter zudem verständlich informieren, wer welche Daten zu welchen Zwecken verarbeitet.
Der Bußgeldrahmen ergibt sich aus Art. 83 DSGVO: Bei schweren Verstößen sind bis zu 20 Millionen Euro oder bis zu vier Prozent des weltweiten Jahresumsatzes möglich – je nachdem, welcher Betrag höher ist. Für den Zugriff auf Informationen, die auf Endgeräten gespeichert sind, gelten in Deutschland ergänzend die Regeln des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG), das grundsätzlich eine Einwilligung verlangt.
Was bedeutet das für Betroffene?
Für Nutzerinnen und Nutzer bedeutet das Verfahren zunächst: Der aufsichtsbehördliche Druck auf Anbieter wächst, Standortfunktionen transparenter und sparsamer auszugestalten. Unabhängig davon stehen Betroffenen eigene Rechte zu, die sie selbst geltend machen können.
Praktisch sinnvoll ist ein Dreischritt. Erstens: Einstellungen prüfen. In den Konto- und Geräteeinstellungen lassen sich Standortverlauf und ortsbezogene Aktivitäten meist deaktivieren, begrenzen oder mit automatischer Löschung versehen. Zweitens: Auskunft verlangen. Nach Art. 15 DSGVO können Sie erfahren, welche Daten über Sie gespeichert sind, woher sie stammen und an wen sie weitergegeben wurden; Anbieter müssen grundsätzlich innerhalb eines Monats antworten. Drittens: Löschung oder Widerruf. Art. 17 DSGVO gibt einen Löschungsanspruch, eine erteilte Einwilligung können Sie jederzeit ohne Angabe von Gründen widerrufen.
Wer sich unzutreffend behandelt fühlt, kann sich nach Art. 77 DSGVO kostenfrei bei der zuständigen Aufsichtsbehörde beschweren – in Deutschland bei der Landesdatenschutzbehörde des eigenen Wohnsitzes. Daneben besteht ein möglicher Anspruch auf immateriellen Schadensersatz nach Art. 82 DSGVO. Die Rechtsprechung verlangt dafür allerdings einen konkreten Nachteil; bloßer Ärger über einen Verstoß genügt nicht in jedem Fall. Sichern Sie daher Screenshots von Einstellungen und Hinweistexten, bewahren Sie den Schriftverkehr auf und notieren Sie Daten. Achten Sie auf die Verjährung: Ansprüche verjähren regelmäßig in drei Jahren nach § 195 BGB, beginnend nach § 199 BGB mit dem Ende des Jahres, in dem Sie Kenntnis erlangt haben.
Für Unternehmen, die selbst Standortdaten verarbeiten – etwa in Flottenmanagement, Logistik oder Apps –, lohnt eine Überprüfung von Einwilligungsprozessen, Löschfristen und Verarbeitungsverzeichnis. Bei risikoreichen Verarbeitungen ist zudem eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO Pflicht.
Bei komplexen Auskunfts- oder Schadensersatzfragen, ablehnenden Antworten eines Anbieters oder behördlichen Verfahren ist anwaltliche Unterstützung sinnvoll: Anwalt für Datenschutzrecht finden.
Quellen: Bericht bei LTO. Ein amtlicher Urteils-Volltext lag bei Veröffentlichung noch nicht vor.
