Google soll €403m zahlen – Auflagen geheim

Irlands Datenschutzbehörde Data Protection Commission (DPC) hat Google am 21. September mit einer Geldbuße von 403 Mio. EUR belegt. Anlass war der Umgang mit personenbezogenen Daten durch drei Standortfunktionen im Europäischen Wirtschaftsraum (Irish DPC, Euronews). Die Summe steht fest, die Begründung jedoch nicht: Die DPC hat weder ihre vollständige Entscheidung noch die Berechnung der Geldbuße, die konkreten Rechtsverstöße oder die angeordnete Abhilfe veröffentlicht. Fast acht Jahre nach den Beschwerden von Verbraucherschützern kann die Öffentlichkeit deshalb weiterhin nicht beurteilen, ob Strafe und Auflagen zu den Verstößen passen.

Was die DPC mitgeteilt hat – und was nicht

Die Untersuchung bezog sich auf den Zeitraum von Mai 2018 bis Februar 2020 und auf drei Google-Funktionen: Web & App Activity, Location History und Android's Location Accuracy. Entscheidend war ihr Zusammenspiel: Wer Location History abschaltete, konnte weiterhin standortbezogene Informationen über Web & App Activity speichern lassen. Der norwegische Verbraucherrat dokumentierte diese Lücke in einem Bericht von 2018. Die aufsichtsrechtliche Frage lautete daher, ob Nutzer die kombinierte Wirkung mehrerer Einstellungen verstehen konnten, die regelten, wo sie sich aufhielten, wann sie dort waren und wie häufig solche Daten erfasst wurden.

Die Feststellungen fielen je nach Funktion unterschiedlich aus. Bei Web & App Activity und Location History stellte die DPC Verstöße gegen Rechtmäßigkeit, Fairness und Transparenz fest. Ihre Mitteilung nennt diese gesetzlichen Beanstandungen, legt aber weder offen, auf welche Rechtsgrundlage sich Google berief, noch warum diese nicht genügte (Irish DPC). Bei Location Accuracy kam die Behörde zu dem Ergebnis, Google habe die Einhaltung der Vorschriften nicht nachweisen können – ein Verstoß gegen die Rechenschaftspflicht. Erst die bislang unveröffentlichte Entscheidung dürfte zeigen, wie die DPC die konkrete Verarbeitung bewertete. Nur bei den ersten beiden Funktionen sah sie eine übermäßige Speicherung von Daten.

In der Berichterstattung verschwammen diese Unterschiede vielfach zur Aussage, Google habe Nutzer für Werbezwecke verfolgt. Die Feststellungen reichen weiter. Unklar ist weiterhin, wie die Geldbuße von 403 Mio. EUR auf die einzelnen Verstöße verteilt wurde und welchen Anteil die jeweilige Funktion daran hatte. Die DPC teilte mit, die vollständige Entscheidung werde „zu gegebener Zeit“ veröffentlicht (Irish DPC).

Acht Jahre von der Beschwerde bis zur Geldbuße

Verbraucherorganisationen aus acht Ländern reichten im November 2018 über BEUC, den europäischen Dachverband der Verbraucherverbände, koordinierte Beschwerden ein (BEUC, Forbrukerrådet). Die DPC leitete im Februar 2020 ein eigenes Verfahren ein und verkündete das Ergebnis im September 2026. Der niederländische Consumentenbond begrüßte den Ausgang, betonte jedoch, dass die Verbraucher fast acht Jahre warten mussten (Consumentenbond). BEUC kritisierte, eine Durchsetzung, die erst nach einer Änderung der betroffenen Produkte erfolge, verliere einen erheblichen Teil ihrer vorbeugenden Wirkung (BEUC).

Das im Datenschutzrecht vorgesehene One-Stop-Shop-Verfahren, bei dem eine nationale Behörde für grenzüberschreitend tätige Unternehmen federführend ist, konzentrierte die Kontrolle dieses Falls in Dublin. Dort befindet sich Googles maßgebliche europäische Niederlassung (DSGVO, EUR-Lex). Andere Datenschutzbehörden konnten Stellung nehmen oder Einwände erheben, die Untersuchung führte jedoch die DPC. Sie dankte ihren Partnerbehörden für „Zusammenarbeit und Unterstützung“, nannte sie aber nicht und legte auch nicht offen, ob eine von ihnen Einwände erhoben hatte. Im Register des Europäischen Datenschutzausschusses für verbindliche Streitbeilegungsentscheidungen findet sich kein entsprechender Eintrag.

Googles Verteidigung und die fehlende Anordnung

Google argumentiert, die Entscheidung betreffe frühere Verfahren, die das Unternehmen inzwischen geändert habe. 2019 führte Google automatische Löschfristen ein, 2020 setzte es für neue Nutzer datenschutzfreundlichere Voreinstellungen; später verlagerte der Konzern die Daten der Maps Timeline zunehmend auf die Endgeräte der Nutzer (BleepingComputer). Diese Neugestaltungen könnten den weiteren Änderungsbedarf verringern. Sie machen die Verarbeitung in den Jahren 2018 bis 2020 jedoch nicht nachträglich rechtmäßig. Auch die Darstellung des Unternehmens ist kein unabhängiger Nachweis dafür, dass die Vorgaben eingehalten werden.

Wichtiger als die Geldbuße könnte die auf sechs Monate befristete Anordnung zur Herstellung der Konformität sein. Die DPC hat aber nicht veröffentlicht, was Google konkret ändern muss: ob historische Daten zu löschen sind, wie die Einhaltung geprüft werden soll oder wann die Frist beginnt. Die Geldbuße muss zudem zunächst von einem irischen Gericht bestätigt werden; Google kann Rechtsmittel einlegen (EUobserver).

Das One-Stop-Shop-Verfahren verleiht der Entscheidung eine Reichweite, die über Irland hinausgeht: Eine einzige Anordnung kann Googles Standortverarbeitung im gesamten EWR regeln. Die fast achtjährige Verzögerung hat es jedoch nicht verhindert. Solange die DPC ihre Begründung und die konkreten Auflagen nicht veröffentlicht, stehen zwar die Verstöße fest; ob Strafe und Abhilfe ihnen angemessen sind, lässt sich von außen aber nicht beurteilen. Erst die fehlende Anordnung wird zeigen, ob Google Daten löschen, seine Einstellungen neu gestalten oder lediglich bereits umgesetzte Reformen dokumentieren muss.