Google muss wegen Standort-Tracking 403 Millionen Euro zahlen

Die irische Datenschutzbehörde hat ein Bußgeld in Höhe von 403 Millionen Euro gegen Google verhängt. Nach Auffassung der Data Protection Commission (DPC) hat das Unternehmen bei der Erfassung von Standortdaten gegen die europäische Datenschutz-Grundverordnung (DSGVO) verstoßen.

Ausgangspunkt des Verfahrens waren Beschwerden europäischer Verbraucherschutzorganisationen vom November 2018. Organisationen aus acht Ländern hatten beanstandet, wie Google Standortinformationen von Nutzern erfasst und die dafür erforderliche Zustimmung eingeholt hat. Koordiniert wurde das Vorgehen vom europäischen Verbraucherverband BEUC.

Kritik an der Einwilligung

Grundlage der Beschwerden war eine Untersuchung des norwegischen Verbraucherrats Forbrukerrådet. Demnach seien Android-Nutzer durch die Gestaltung der Einstellungen, missverständliche Informationen und wiederholte Hinweise dazu bewegt worden, einer dauerhaften Erfassung ihres Standorts zuzustimmen.

Die Verbraucherschützer werten Standortdaten als besonders sensibel, da sie weitreichende Rückschlüsse auf den Alltag einer Person ermöglichen. Regelmäßig erfasste Aufenthaltsorte können beispielsweise Besuche bei Ärzten, Krankenhäusern oder religiösen Einrichtungen erkennen lassen.

Google has tracked hundreds of millions of European consumers for years to find out as much as it can about them. (Agustín Reyna, BEUC)

Google nahm nach den ersten Beschwerden weltweit Änderungen an seinen Einstellungen vor. Aus Sicht der Verbraucherschützer wurden die beanstandeten Probleme damit jedoch nicht vollständig behoben. BEUC und mehrere Mitgliedsorganisationen reichten deshalb 2022 erneut Beschwerde ein.

Sechs Monate für Anpassungen

Die Verbraucherschützer begrüßen die Entscheidung in einer gemeinsamen Erklärung, kritisieren jedoch die Dauer des Verfahrens. Zwischen den ersten Beschwerden und dem Bußgeld liegen fast acht Jahre.

Neben der Zahlung von 403 Millionen Euro muss Google seine Verarbeitung von Standortdaten anpassen. Die irische Datenschutzbehörde hat dem Unternehmen dafür sechs Monate Zeit gegeben.