Irische Datenschutzkommission verhängt Bußgeld gegen Google Ireland Limited
Die irische Datenschutzkommission, Data Protection Commission (DPC), hat eine abschließende Entscheidung gegen Google Ireland Limited veröffentlicht. Gegenstand war eine von der DPC eingeleitete Untersuchung zur Verarbeitung von Standortdaten im Zusammenhang mit bestimmten Diensten und Produkten. Nach Angaben des Europäischen Datenschutzausschusses wurde die endgültige Entscheidung am 21. September 2026 getroffen.
Die DPC verhängte gegen Google Ireland Limited Geldbußen in einer Gesamthöhe von 403.000.000 Euro. Zudem wurde das Unternehmen angewiesen, die beanstandeten Verarbeitungsvorgänge innerhalb von sechs Monaten mit den Anforderungen der Datenschutz-Grundverordnung in Einklang zu bringen.
Hintergrund der Untersuchung
Federführung der irischen Aufsichtsbehörde
Adressat der Entscheidung ist Google Ireland Limited. Als europäischer Hauptsitz des Alphabet-Konzerns fällt das Unternehmen nach den veröffentlichten Angaben in die Zuständigkeit der irischen Datenschutzkommission als federführender Aufsichtsbehörde.
Die Untersuchung wurde von der DPC im Februar 2020 aus eigener Initiative eingeleitet. Anlass waren zuvor eingegangene Beschwerden mehrerer europäischer Verbraucherorganisationen, darunter BEUC, im Zusammenhang mit der Verarbeitung von Standortdaten durch Google.
Die ursprünglichen Beschwerden wurden im November 2018 von Verbraucherorganisationen aus mehreren europäischen Staaten eingereicht, darunter Norwegen, die Niederlande, Griechenland, Tschechien, Slowenien, Polen und Schweden. Deutsche, österreichische oder schweizerische Organisationen gehörten nach den hierzu veröffentlichten Angaben nicht zu den Beschwerdeführern.
Bezug zu Untersuchungen des norwegischen Verbraucherrats
Die Beschwerden stützten sich nach den vorliegenden Berichten unter anderem auf Untersuchungen des norwegischen Verbraucherrats Forbrukerrådet. Danach soll Google durch die Ausgestaltung von Nutzeroberflächen bewirkt haben, dass die Funktionen Standortverlauf sowie Web- und App-Aktivitäten aktiviert blieben. Diese Darstellung geht auf die genannten Verbraucherorganisationen und die hierzu veröffentlichten Berichte zurück.
Die DPC prüfte die Vorgänge nicht allgemein, sondern bezogen auf bestimmte Funktionen und einen bestimmten Zeitraum. Erfasst war die Verarbeitung von Standortdaten zwischen dem 25. Mai 2018, dem Anwendungsbeginn der DSGVO, und dem 4. Februar 2020.
Gegenstand der Entscheidung
Drei Funktionen im Fokus
Die Untersuchung bezog sich nach der Mitteilung des Europäischen Datenschutzausschusses auf drei konkrete Funktionen:
- „Web & App Activity“,
- „Location History“,
- „Location Accuracy“.
Nach weiteren Berichten betraf die Prüfung unter anderem Standorteinstellungen in Diensten wie der Google-Suche und Google Maps sowie die Funktion zur Standortgenauigkeit auf Android-Geräten.
Damit standen Verarbeitungsvorgänge im Mittelpunkt, die für die Nutzung digitaler Dienste und mobiler Endgeräte erhebliche praktische Bedeutung haben können. Die Entscheidung betrifft jedoch ausschließlich die in der Untersuchung genannten Funktionen und den dort bezeichneten Zeitraum.
Maßgebliche Vorschriften der DSGVO
Die DPC stützte ihre Entscheidung auf Vorschriften der Datenschutz-Grundverordnung. In der Veröffentlichung des Europäischen Datenschutzausschusses werden insbesondere folgende Normen genannt:
- Art. 5 DSGVO zu den Grundsätzen für die Verarbeitung personenbezogener Daten,
- Art. 6 DSGVO zur Rechtmäßigkeit der Verarbeitung,
- Art. 12 DSGVO zu transparenter Information, Kommunikation und Modalitäten für die Ausübung der Rechte betroffener Personen,
- Art. 13 DSGVO zu Informationspflichten bei Erhebung personenbezogener Daten bei der betroffenen Person.
Die Entscheidung umfasst sowohl eine Geldbuße als auch eine Anordnung zur Herstellung eines datenschutzkonformen Zustands.
Feststellungen der Datenschutzkommission
Rechtmäßigkeit und Fairness der Verarbeitung
Nach der veröffentlichten Zusammenfassung stellte die DPC Verstöße gegen die DSGVO im Zusammenhang mit der Rechtmäßigkeit und Fairness der Verarbeitung von Standortdaten fest. Diese Feststellungen beziehen sich auf die Funktionen „Web & App Activity“ und „Location History“.
Die Entscheidung betrifft damit nicht sämtliche denkbaren Standortdatenverarbeitungen von Google, sondern die konkret geprüften Funktionen und den festgelegten Untersuchungszeitraum. Diese Begrenzung ist für die rechtliche Einordnung maßgeblich.
Rechenschaftspflichten bei „Location Accuracy“
Daneben beanstandete die DPC die Erfüllung von Rechenschaftspflichten nach der DSGVO in Bezug auf „Location Accuracy“. Nach der veröffentlichten Entscheidung konnte Google hinsichtlich dieser Funktion nicht nachweisen, dass die Grundsätze der Rechtmäßigkeit, Fairness und Transparenz bei der Verarbeitung personenbezogener Daten eingehalten wurden.
Die Feststellung betrifft somit die Nachweispflicht in Bezug auf die Verarbeitung personenbezogener Daten bei „Location Accuracy“. Sie ist von den weiteren Feststellungen zu den Funktionen „Web & App Activity“ und „Location History“ zu unterscheiden.
Transparenzpflichten bei allen drei Funktionen
Die DPC stellte zudem Verstöße gegen Transparenzpflichten fest. Diese Feststellungen bezogen sich auf alle drei genannten Funktionen: „Web & App Activity“, „Location History“ und „Location Accuracy“.
Art. 12 DSGVO und Art. 13 DSGVO verlangen, dass Informationen für betroffene Personen in einer transparenten, verständlichen und leicht zugänglichen Form bereitgestellt werden. Die Entscheidung der DPC knüpft nach der veröffentlichten Zusammenfassung an die Frage an, ob Google diese Anforderungen bei den geprüften Funktionen erfüllt hatte.
Speicherung von Standortdaten
Ein weiterer Teil der Entscheidung betrifft die Speicherung von Standortdaten. Nach der Mitteilung des Europäischen Datenschutzausschusses beanstandete die DPC die Aufbewahrung von Standortdaten bei „Web & App Activity“ und „Location History“.
Der stellvertretende Kommissar Graham Doyle erklärte nach Berichten irischer Medien, betroffene Personen hätten möglicherweise nicht gewusst, dass ihre Standortdaten etwa zur Beeinflussung von Werbung und zur Ableitung von Interessen genutzt wurden. Die zu lange Speicherung habe nach dieser Begründung den Verlust an Kontrolle über die betreffenden Daten verschärft.
Höhe des Bußgelds und weitere Verfahrensaspekte
Einordnung der Geldbuße
Die verhängten Geldbußen belaufen sich insgesamt auf 403.000.000 Euro. Umgerechnet wurde der Betrag in Berichten mit rund 463 Millionen US-Dollar beziehungsweise etwa 380 Millionen Schweizer Franken angegeben.
Nach irischen Medienberichten handelt es sich um das vierthöchste Bußgeld, das die irische Datenschutzkommission bislang verhängt hat. Die Entscheidung wurde nach diesen Berichten von den drei Commissioners Dr. Des Hogan, Dale Sunderland und Niamh Sweeney getroffen; die Mitteilung des Europäischen Datenschutzausschusses nennt die Commissioners nicht namentlich.
Umsetzungsfrist von sechs Monaten
Neben der Geldbuße ordnete die DPC an, dass Google die Verarbeitung innerhalb von sechs Monaten in Einklang mit der DSGVO bringen muss. Die Anordnung bezieht sich auf die beanstandeten Verarbeitungsvorgänge aus der Entscheidung.
Ob Google Rechtsmittel gegen die Entscheidung einlegt, war den unmittelbar nach Veröffentlichung verfügbaren Berichten zufolge nicht bekannt. Die in den Berichten wiedergegebene Unternehmensstellungnahme enthielt hierzu keine Aussage.
Reaktionen auf die Entscheidung
Stellungnahme von Google
Google erklärte nach veröffentlichten Berichten, es gehe um frühere beziehungsweise historische Praktiken. Seit 2019 habe das Unternehmen seine Verfahren weiterentwickelt und Werkzeuge eingeführt, mit denen Nutzer Standortdaten einfacher verwalten könnten.
Diese Erklärung ändert nichts daran, dass die Entscheidung der DPC den Zeitraum vom 25. Mai 2018 bis zum 4. Februar 2020 betrifft. Maßgeblich bleiben die Feststellungen der Aufsichtsbehörde zu den in der Untersuchung geprüften Verarbeitungsvorgängen.
Einschätzung von Verbraucherorganisationen
BEUC-Generaldirektor Agustín Reyna begrüßte die Entscheidung nach veröffentlichten Berichten als wichtig. Er sah darin eine Bestätigung, dass die Einholung von Einwilligungen im Zusammenhang mit Standortdaten rechtswidrig gewesen sei.
BEUC kritisierte zugleich die Dauer des Verfahrens. Nach Angaben der Organisation lagen zwischen den Beschwerden und der Entscheidung rund acht Jahre. Verspätetes Einschreiten könne nach dieser Einschätzung ähnlich nachteilig wirken wie ein ausbleibendes Einschreiten.
Datenschutzrechtliche Bedeutung für Unternehmen
Die Entscheidung verdeutlicht die hohe praktische Relevanz von Transparenz, Rechtmäßigkeit, Fairness und Rechenschaftspflichten bei der Verarbeitung personenbezogener Daten. Dies gilt insbesondere bei Standortdaten, weil diese Rückschlüsse auf Bewegungen, Gewohnheiten und Interessen betroffener Personen ermöglichen können.
Für Unternehmen mit datengetriebenen Geschäftsmodellen zeigt der Fall, dass Aufsichtsbehörden nicht nur die formale Existenz von Informationen und Einstellungen prüfen. Von Bedeutung ist auch, ob die Verarbeitungsvorgänge nachvollziehbar erläutert werden und ob die Einhaltung der maßgeblichen Grundsätze nachgewiesen werden kann.
Nach den veröffentlichten Angaben laufen bei der DPC derzeit drei weitere große gesetzliche Untersuchungen gegen Google, die sich nach Behördenangaben jeweils in einem fortgeschrittenen Stadium befinden. Über deren Ausgang ist damit keine Aussage getroffen.
Beratung zu Datenschutz und DSGVO-Compliance
Die Entscheidung der irischen Datenschutzkommission unterstreicht, dass Datenschutzverstöße erhebliche wirtschaftliche und regulatorische Folgen haben können. Gerade bei internationalen Datenverarbeitungen, digitalen Geschäftsmodellen und der Nutzung standortbezogener Daten stellen sich häufig komplexe Fragen zur DSGVO, zu Informationspflichten und zur Rechenschaftspflicht.
MTR Legal Rechtsanwälte berät Unternehmen, Investoren und vermögende Privatpersonen in datenschutzrechtlichen Fragestellungen mit wirtschaftsrechtlichem Bezug. Weitere Informationen finden Sie unter Rechtsberatung im Datenschutzrecht.
