Google muss eine Geldbuße von 403 Millionen Euro bezahlen, gab heute die irische Datenschutzbehörde DPC (Data Protection Commission) bekannt. Demnach habe Google die Standortdaten von Nutzer:innen illegal erhoben und verarbeitet und somit die Datenschutz-Grundverordnung verletzt. Der Datenkonzern hat nun ein halbes Jahr Zeit, seine Datenverarbeitung gesetzeskonform umzubauen.
Genauer angesehen haben sich die Datenschützer:innen den Zeitraum zwischen 2018 und 2020. Dabei habe Google die Standortdaten in Web- und App-Aktivitäten sowie im Standortverlauf unrechtmäßig verarbeitet, so DPC. Zudem konnte Google nicht nachweisen, dass die erhobenen personenbezogenen Daten auf rechtmäßige und nachvollziehbare Weise verarbeitet wurden und kam auch Transparenzauflagen nicht nach. Außerdem habe Google gesammelte Daten in den genannten drei Diensten unrechtmäßig vorgehalten. Der vollständige Text der Entscheidung liegt derzeit noch nicht vor.
Um eine formelle Lappalie handelt es sich hierbei nicht, führt die DPC aus. So sei für Einzelpersonen womöglich nicht erkennbar gewesen, dass ihr Standort beispielsweise dazu genutzt wurde, sie durch Werbung zu beeinflussen oder Rückschlüsse auf ihre Interessen zu ziehen. Dies habe zu einem Kontrollverlust über die eigenen personenbezogenen Daten geführt, so die DPC. „Die über das erforderliche Maß hinausgehende Speicherung von Standortdaten der Nutzer verschärfte diesen Kontrollverlust.“
Problem seit fast einem Jahrzehnt bekannt
Die Strafe geht auf Medienberichte und Untersuchungen europäischer Verbraucherschutzorganisationen aus dem Jahr 2018 zurück. Damals konnte die norwegische Forbrukerrådet-Behörde nachweisen, dass Google mit manipulativem Design seine Nutzer:innen dazu bringt, sich permanent überwachen zu lassen. Zuvor hatte die Nachrichtenagentur AP berichtet, dass Google den Standort von Nutzer:innen selbst dann speichert, wenn diese den Standortverlauf ausgestellt haben. Gemeinsam mit sieben anderen Verbraucherschutzorganisationen legte schließlich der Europäische Verbraucherverband BEUC eine Beschwerde in Irland ein.
Zwar begrüßt BEUC-Chef Agustín Reyna die heutige Entscheidung aus Irland, übt aber scharfe Kritik an der Dauer des Verfahrens. Dieses stehe in keinem Verhältnis zur Schwere des Verstoßes: „Ein verspätetes Einschreiten kann ebenso schädlich sein wie überhaupt kein Einschreiten. Die Grundrechte der Verbraucher müssen schneller und wirksamer gewahrt werden“, sagt Reyna in einer Pressemitteilung.
Dabei sei klar: „Google hat über Jahre hinweg Hunderte Millionen europäischer Verbraucher nachverfolgt, um so viel wie möglich über sie in Erfahrung zu bringen“, sagt der BEUC-Chef. Standortdaten können äußerst sensibel sein, da sie „viel über unser Privatleben preisgeben: etwa, welche Schule unsere Kinder besuchen, wie oft jemand ein Krankenhaus oder auch eine religiöse Stätte aufgesucht hat. Dies greift massiv in die Privatsphäre ein, verletzt das Grundrecht auf Datenschutz und verstößt gegen die DSGVO“, so Reyna weiter.
Flaschenhals Irland
Der Fall landete bei der irischen DPC, da Google, wie viele andere Konzerne aus dem EU-Ausland, dort seinen Sitz in der EU hat. Angelockt hatte das Land sie mit niedrigen Unternehmenssteuern und mitunter rechtswidrigen Beihilfen in Milliardenhöhe. Dabei hat sich Irland zunehmend abhängig von diesen Firmen gemacht: Trotz der niedrigen Steuersätze soll fast die Hälfte der von Irland erhobenen Einnahmen aus Körperschaftssteuern von lediglich drei Konzernen stammen, mutmaßlich von Apple, Microsoft und dem ebenfalls aus den USA stammenden Pharmaunternehmen Eli Lilly.
Unter die Arme griff Irland, das als Nadelöhr bei der DSGVO-Durchsetzung gilt, den Konzernen auch auf regulatorischer Ebene. Seit bald einem Jahrzehnt häufen sich die Klagen darüber, dass irische Behörden wie die DPC Verfahren verschleppen, Entscheidungen im Sinne von Big Tech fällen oder gar geheime Absprachen mit den Konzernen treffen. Dies hatte vor wenigen Jahren zu einem ungewöhnlichen Schritt des Europäischen Datenschutzausschusses (EDPB) geführt, der eine kaum nachvollziehbare Entscheidung der DPC über Bord warf und eklatant illegales Verhalten von Meta abstellte.
Alles netzpolitisch Relevante
Drei Mal pro Woche als Newsletter in deiner Inbox.
Irland schlägt „digitale Enteignung“ von Europäer:innen vor
Ob die jüngste Entscheidung aus Irland einen nachhaltigen Kurswechsel des Landes bei seinem Umgang mit den Tech-Konzernen einläutet, bleibt vorerst offen. Derzeit sieht es nicht danach aus: Weiterhin sind Dutzende Verfahren seit Jahren offen, wie die Datenschutzorganisation noyb dokumentiert. Zudem hat Irland bis zum Jahresende die Präsidentschaft des Rates der EU inne und kann entsprechend Prioritäten setzen. Dazu zählt unter anderem, das von der EU-Kommission vorgeschlagene Deregulierungsprogramm voranzubringen.
Wie aktuell Politico berichtet (€), schlägt Irland im Rahmen des sogenannten „Digitalen Omnibus“ vor, dass Tech-Konzerne personenbezogene Daten praktisch uneingeschränkt für das Training von KI-Systemen nutzen dürften. Allein steht Irland mit seiner Sicht jedoch nicht, auch Deutschland soll zu den EU-Ländern zählen, die hinter dem Vorschlag stehen.
„Das ist nichts anderes als eine ‚digitale Enteignung’ der Europäer“, kommentiert der prominente noyb-Datenschützer Max Schrems, der mit der DPC seit Langem im Clinch liegt. „Alles, was wir jemals in digitale Systeme getippt haben oder die Konzerne anderweitig bekommen haben, wäre damit Freiwild für die KI-Konzerne.“
Zuletzt hatte sich EU-Kommissionspräsidentin Ursula von der Leyen in ihrer Rede zur Lage der Europäischen Union dafür stark gemacht, sogenannte Künstliche Intelligenz möglichst flächendeckend in der EU auszurollen. Bereits im Mai hat sich die EU darauf geeinigt, die erst vor wenigen Jahren verabschiedete KI-Verordnung (AI Act) zu verwässern und Auflagen für die Industrie abzubauen.
Schreibe eine Ergänzung!