Google in Irland wegen früherer Standortdaten-Praktiken mit 403 Millionen Euro belegt

Die irische Datenschutzkommission hat am 21. September ein Bußgeld von 403 Millionen Euro gegen Google wegen früherer Praktiken im Umgang mit Standortdaten angekündigt. Zugleich ordnete die Behörde an, dass das Unternehmen seine Verarbeitung innerhalb von sechs Monaten in Einklang mit den Vorgaben bringen muss. Die Entscheidung betrifft Daten, die zwischen 2018 und 2020 über Web- & App-Aktivitäten, den Standortverlauf und Einstellungen zur Standortgenauigkeit erhoben wurden.

Was die irische Entscheidung umfasst

Die Feststellung der Aufsicht ist eine regulatorische Entscheidung, kein unabhängiger technischer Benchmark. Sie benennt Mängel bei Rechtmäßigkeit, Fairness, Transparenz und Speicherung nach Datenschutzregeln, die auf Standortdaten angewendet werden. Praktisch geht es in dem Fall darum, ob Googles Umgang mit Standortinformationen im geprüften Zeitraum die erforderlichen Standards für Erklärung, Begründung und Begrenzung dieser Verarbeitung erfüllte.

Der Zuschnitt ist wichtig, weil die Entscheidung nicht als Feststellung zu jedem aktuellen Google-Produkt oder zu jeder Form der Standortnutzung dargestellt wird. Sie ist an bestimmte Einstellungen und ein definiertes historisches Zeitfenster gebunden. Web- & App-Aktivitäten, Standortverlauf und Einstellungen zur Standortgenauigkeit sind unterschiedliche Steuerungsmöglichkeiten, können aber alle damit zusammenhängen, wie ein Dienst Signale darüber speichert oder nutzt, wo sich eine Person befindet oder befunden hat.

Die Sorge der Aufsicht stützt sich zudem auf die Sensibilität präziser Standortdaten. Präzise Standortinformationen können private Informationen offenlegen, einschließlich Muster, die auf Interessen, Routinen oder sensible Orte hindeuten können. Sie können auch genutzt werden, um Interessen abzuleiten oder Werbung zu beeinflussen. Das bedeutet nicht, dass jedes Standortsignal gleich sensibel ist. Es erklärt aber, warum Speicherung, Transparenz und Rechtsgrundlage in diesem Fall zentrale Fragen sind.

Was Google nach eigenen Angaben geändert hat

Google erklärt, die Entscheidung betreffe frühere Praktiken, die seit 2019 geändert worden seien. Das Unternehmen verweist auf Optionen zum automatischen Löschen, die Speicherung der Maps-Zeitachse auf dem Gerät und eine stärkere Nutzung ungefährer Gebiete. Das sind Unternehmensangaben zu Produkt- und Richtlinienänderungen. Sie sind von der Feststellung der Aufsicht zum früheren Zeitraum zu unterscheiden.

Optionen zum automatischen Löschen betreffen nach Googles Darstellung die Speicherung, indem standortbezogene Informationen nach einem festgelegten Zeitraum entfernt und nicht unbegrenzt aufbewahrt werden. Der Bezug zur irischen Entscheidung ist offensichtlich: Die Speicherung war einer der Bereiche, in denen die Aufsicht Mängel feststellte. Die Existenz einer solchen Option beweist für sich genommen jedoch nicht, dass die frühere Verarbeitung rechtmäßig, fair oder transparent war.

Die Speicherung der Maps-Zeitachse auf dem Gerät verändert, wo bestimmte Informationen aus dem Standortverlauf vorgehalten werden. Wenn Zeitachsen-Daten auf einem Gerät bleiben, kann dies die Menge der Standortverlaufsdaten verringern, die in zentralen Systemen gespeichert wird, abhängig davon, wie ein Dienst konfiguriert ist. Die Entscheidung der Aufsicht betrifft jedoch die Praktiken zwischen 2018 und 2020, nicht eine unabhängige Prüfung, wie jede aktuelle Umsetzung funktioniert.

Google verweist außerdem auf eine stärkere Nutzung ungefährer Gebiete. Die Unterscheidung zwischen präzisem und ungefährem Standort ist wichtig, weil präzise Standortdaten spezifischere Rückschlüsse auf das Leben einer Person ermöglichen können. Ungefähre Gebiete können die Detailtiefe verringern, doch die praktische Datenschutzwirkung hängt von Kontext, Zweck und Speicherdauer ab. Die Entscheidung ist damit keine technische Bewertungstabelle, die alte und neue Systeme miteinander vergleicht.

Was die Zahlen zeigen und was nicht

Die Summe von 403 Millionen Euro zeigt den Umfang der von Irlands Datenschutzkommission verhängten Verwaltungsstrafe. Sie wird als viertgrößtes Bußgeld berichtet, das die irische Aufsicht verhängt hat. Diese Einordnung misst die Schwere der Durchsetzung innerhalb der bisherigen Bilanz der Behörde. Sie misst nicht, wie viele Nutzer betroffen waren, wie viele Daten erhoben wurden oder wie profitabel eine Verarbeitung gewesen sein könnte.

Die Anordnung zur Herstellung der Konformität binnen sechs Monaten ist von der Geldbuße getrennt. Sie setzt Google eine Frist, um die relevante Verarbeitung mit den Anforderungen der Aufsicht in Einklang zu bringen. Operativ ist die Anordnung bedeutsam, weil sie den Fall über eine finanzielle Sanktion hinaus in Richtung erforderlicher Änderungen oder Bestätigungen der Konformität bewegt. Da mehrere Einstellungen betroffen sind, geht es nicht nur um eine einzelne Bezeichnung oder einen einzelnen Schalter.

Der Vergleich mit den Vereinigten Staaten liefert Kontext, aber keine Gleichsetzung. 2022 erzielte Google mit vierzig US-Bundesstaaten einen Vergleich über 391,5 Millionen US-Dollar wegen Standortverfolgung. Sowohl dieser Vergleich als auch das irische Bußgeld betreffen standortbezogene Praktiken. Sie stammen jedoch aus unterschiedlichen Rechtssystemen und Verfahren. Der eine Fall sollte daher nicht als direkter Maßstab für den anderen behandelt werden.

Ebenso belegen die Beträge nicht den heutigen Zustand der Google-Systeme. Die irische Entscheidung bewertet historische Praktiken von 2018 bis 2020, während Google erklärt, seine Praktiken seit 2019 geändert zu haben. Das Bußgeld zeigt, dass die Aufsicht frühere Mängel als schwerwiegend genug ansah, um eine hohe Strafe und eine Konformitätsanordnung zu verhängen. Es begründet für sich genommen aber keine unabhängige technische Messung aktueller Standortkontrollen.

Praktische Auswirkungen

Für Google ist die unmittelbare Folge regulatorischer Art: Das Unternehmen sieht sich einem Bußgeld von 403 Millionen Euro und einer sechsmonatigen Vorgabe zur Einhaltung der Anforderungen gegenüber. Die praktische Aufgabe besteht darin, die relevante Verarbeitung von Standortdaten an Erwartungen zu Rechtmäßigkeit, Fairness, Transparenz und Speicherung auszurichten. Weil die Entscheidung mehrere Einstellungen betrifft, ist Konformität keine Frage nur eines einzelnen Labels oder einer einzelnen Umschaltoption.

Für Nutzer unterstreicht der Fall, warum Standorteinstellungen schwer zu bewerten sein können. Web- & App-Aktivitäten, Standortverlauf und Einstellungen zur Standortgenauigkeit können getrennt klingen, doch jede dieser Funktionen kann zu einem Bild von Bewegung, Ort oder Nähe beitragen. Die Entscheidung bekräftigt, dass klare Erklärungen und Speichergrenzen keine nebensächlichen Details sind. Sie sind zentral dafür, wie Menschen verstehen, was mit ihren Daten geschieht.

Für Werbetreibende und datengetriebene Dienste ist die Entscheidung eine weitere Erinnerung daran, dass aus Standortdaten abgeleitete Interessen regulatorische Aufmerksamkeit auf sich ziehen. Die Frage ist nicht nur, ob Standortdaten die Relevanz verbessern können. Entscheidend ist, ob Erhebung, Nutzung und Speicherung die Anforderungen des Datenschutzrechts erfüllen, insbesondere wenn präzise Standortdaten private Informationen offenlegen können.

Die weiter reichende Bedeutung liegt darin, dass historisches Produktdesign späterer Durchsetzung ausgesetzt bleibt. Googles Position ist, dass die relevanten Praktiken geändert wurden, während die Entscheidung der Aufsicht eine Strafe für den früheren Zeitraum und eine in die Zukunft gerichtete Frist zur Konformität verhängt. Das Ergebnis liegt damit an der Schnittstelle früherer Datenpraktiken, aktueller Kontrollen und des fortdauernden regulatorischen Fokus auf Standortdaten als sensibles Signal.