Irland bestraft Google mit 403 Millionen Euro für unrechtmäßige Standortverfolgung

Die irische Datenschutzbehörde (DPC) hat Google Ireland mit 403 Millionen Euro Bußgeld belegt, weil das Unternehmen Standortdaten seiner Nutzer unzulässig erhoben, erklärt und aufbewahrt hat. Die am 21. September verkündete Entscheidung schließt ein im Februar 2020 eröffnetes Verfahren ab und betrifft drei Einstellungen: "Web- & App-Aktivitäten", "Standortverlauf" und "Standortgenauigkeit". Google hat sechs Monate Zeit, die Verarbeitung DSGVO-konform zu machen. Der Konzern nennt den Fall "historisch" und will laut RTE Berufung einlegen.

Drei Schalter, ein Bußgeld

Die drei Funktionen arbeiten unterschiedlich, und die DPC beanstandet bei jeder etwas anderes. "Web- & App-Aktivitäten" ist eine Kontoeinstellung, die speichert, was Sie in Google-Diensten tun, und bei gesetztem Zusatzhäkchen auch in fremden Apps und auf Websites, die Google-Dienste nutzen, einschließlich Ihres Standorts. Der "Standortverlauf", heute "Zeitachse", führt eine Karte, wo Ihre angemeldeten Geräte waren, auch wenn keine Google-App geöffnet ist. Die "Standortgenauigkeit" ist eine Android-Einstellung, die die Position des Telefons durch Scannen von WLAN-Netzen und Mobilfunkmasten verbessert; sie funktioniert mit und ohne Google-Konto.

Der stellvertretende Kommissar Graham Doyle fasste den Schaden in einem Satz zusammen: Wegen dieser Versäumnisse "konnten Einzelpersonen nicht wissen, dass ihr Standort etwa dazu genutzt wurde, sie mit Werbung zu beeinflussen oder auf ihre Interessen zu schließen, und konnten die Kontrolle über ihre personenbezogenen Daten verlieren. Die längere Aufbewahrung der Standortdaten als nötig hat diesen Kontrollverlust verschärft." Die drei Kommissare, die die Entscheidung unterzeichnet haben, Des Hogan, Dale Sunderland und Niamh Sweeney, ordneten die Herstellung der Konformität innerhalb von sechs Monaten an. Der vollständige Text wird später veröffentlicht, wie sich die 403 Millionen Euro auf die vier Verstöße verteilen, ist deshalb noch unbekannt.

Acht Jahre von der Beschwerde bis zur Entscheidung

Der Fall begann nicht mit einem Leak, sondern mit einem Bericht. Im November 2018 veröffentlichte der norwegische Verbraucherrat "Every Step You Take", eine Schritt-für-Schritt-Analyse, wie ein Android-Telefon neue Nutzer in die Standortverfolgung lenkt: Die Einrichtung drängte zum "Standortverlauf"; "Web- & App-Aktivitäten" war standardmäßig aktiv und hinter zusätzlichen Klicks versteckt; dass Standortdaten in die Werbung fließen, war vergraben; wer ablehnte, wurde in Maps, im Assistant und in anderen Apps erneut gefragt; und Funktionen wie der Assistant oder nach Orten sortierte Fotos waren an die Verfolgung gekoppelt. Im selben Monat reichten Verbraucherverbände aus acht Ländern, koordiniert vom Dachverband BEUC, DSGVO-Beschwerden bei ihren nationalen Behörden ein. Weil Googles Europazentrale in Dublin sitzt, landete die Akte bei der DPC.

1. 27. November 2018Der norwegische Verbraucherrat veröffentlicht "Every Step You Take"; Verbände aus Norwegen, den Niederlanden, Griechenland, Tschechien, Slowenien, Polen, Schweden und Dänemark reichen Beschwerden ein.
2. 4. Februar 2020Ende des von der DPC geprüften Zeitraums. Im selben Monat eröffnet die Behörde von Amts wegen ein Verfahren als federführende Aufsichtsbehörde für Google.
3. Juni 2022Zehn Verbraucherverbände reichen eine zweite Beschwerderunde zur Kontoregistrierung ein: Ein Klick schaltet jede Datensammlung ein, der datensparsame Weg braucht fünf Schritte und neun Klicks.
4. 21. September 2026Die DPC verkündet die Entscheidung: vier Verstöße, 403 Millionen Euro, sechs Monate zur Umsetzung.
5. Bis März 2027Umsetzungsfrist. Google will laut RTE in Rechtsfragen Berufung einlegen.

BEUC begrüßte das Ergebnis und kritisierte das Tempo. Generaldirektor Agustín Reyna sagte, die Entscheidung "bestätigt die Rechtswidrigkeit der Art, wie der Techkonzern die Einwilligung zur Nutzung der Standortdaten der Menschen eingeholt hat", doch "die für diese Schlussfolgerung benötigte Zeit steht in keinem Verhältnis zur Schwere des Verstoßes", und "späte Durchsetzung kann so schädlich sein wie gar keine". Das bestrafte Verhalten endete im Februar 2020, und Google hat die Jahre seither damit verbracht, genau die fraglichen Einstellungen umzubauen.

Der Platz in der irischen Rangliste

Die DPC ist die federführende Behörde für die meisten US-Plattformen in der EU, ihre Bußgelder sind deshalb zugleich die europäische Anzeigetafel. Googles 403 Millionen Euro liegen knapp unter den 405 Millionen, die Instagram 2022 wegen Kinderkonten zahlen musste, und über den 390 Millionen, die Meta 2023 für Werbung auf Vertragsbasis statt Einwilligung erhielt.

Google: "historische Richtlinien"

Öffentlich bestreitet Google die Feststellungen nicht. "Dieser Fall dreht sich um historische Richtlinien, die seither aktualisiert wurden", sagte ein Sprecher. "Seit 2019 haben wir unsere Praxis erheblich weiterentwickelt und solide Werkzeuge eingeführt, die die Verwaltung von Standortdaten einfach machen." Die Werkzeuge gibt es tatsächlich: Das automatische Löschen von Aktivitätsdaten kam 2019; im Dezember 2023 kündigte Google an, dass die "Zeitachse" von den Servern auf das Telefon wandert, mit verschlüsseltem Cloud-Backup und einer Standardlöschfrist von drei statt 18 Monaten; heute steht in Googles Hilfe, dass der ungefähre Standort und die IP-Adresse in "Web- & App-Aktivitäten" nach 30 Tagen gelöscht werden. Seit Mai 2026 wird "Web- & App-Aktivitäten" selbst in "Suchdienstverlauf" und "Personalisierte Empfehlungen" aufgeteilt.

Zwei Behörden außerhalb der EU kamen früher zu ähnlichen Schlüssen und wurden früher bezahlt. Im November 2022 einigte sich Google mit 40 US-Bundesstaaten auf 391,5 Millionen Dollar wegen derselben Konstruktion: Wer zwischen 2014 und 2020 den "Standortverlauf" abschaltete, wurde über "Web- & App-Aktivitäten" weiter verfolgt. Im August 2022 verhängte das australische Bundesgericht auf Klage der ACCC 60 Millionen australische Dollar, weil Android-Bildschirme den "Standortverlauf" als einzige relevante Einstellung darstellten, während die standardmäßig aktiven "Web- & App-Aktivitäten" ebenfalls den Standort speicherten. Das irische Verfahren umfasst dieselben Monate und dieselben zwei Schalter; es brauchte vier Jahre länger.

Prüfen Sie Ihr eigenes Konto

Jede Einstellung aus der Entscheidung existiert weiter, manche unter neuem Namen, und die Voreinstellungen sind besser geworden, nicht verschwunden. Die "Zeitachse" auszuschalten stoppt die Standortspeicherung anderswo nicht: Googles Hilfeseite schreibt, dass das Konto bei aktivem "Suchdienstverlauf" oder aktiven "Web- & App-Aktivitäten" "weiterhin Standortdaten speichern kann". Die Reihenfolge zählt, gehen Sie die Punkte also einzeln durch.

• Google-Konto, "Daten und Datenschutz", "Verlaufseinstellungen": "Web- & App-Aktivitäten" öffnen (oder "Suchdienstverlauf", den Namen führt Google seit Mai 2026 ein) und entscheiden, ob sie aktiv bleiben. Falls ja, automatisches Löschen auf 3 Monate stellen.
• In derselben Einstellung das Häkchen bei "Chrome-Verlauf und Aktivitäten auf Websites, in Apps und auf Geräten, die Google-Dienste nutzen, einbeziehen" entfernen. Dieses Kästchen holt Aktivitäten und Standort aus anderen Apps herein.
• "Verlaufseinstellungen", "Zeitachse" (oder Google Maps, Profilbild, "Zeitachse"): aus, oder an mit 3-Monats-Löschung und dem verschlüsselten Backup, das Sie selbst gewählt haben.
• Auf Android: "Einstellungen", "Standort", "Standortdienste", "Google-Standortgenauigkeit". Aus heißt nur GPS und Sensoren. "WLAN-Suche" und "Bluetooth-Suche" im selben Menü liefern ebenfalls Ortungsdaten, auch bei ausgeschaltetem Standort.
• Mein Anzeigen-Center (myadcenter.google.com): personalisierte Werbung abschalten. Dort landen die "Rückschlüsse auf Interessen" aus der DPC-Entscheidung.
• myactivity.google.com: vergangene Aktivitäten nach Zeitraum löschen; in Maps die "Zeitachse" ganz oder tageweise löschen.

Ein VPN gehört auf eine andere Liste. Es ersetzt die IP-Adresse, die Websites und Google sehen, also das "ungefähre Gebiet", das netzseitig in "Web- & App-Aktivitäten" geschrieben wird. Auf GPS-, WLAN- oder Mobilfunkortung hat es keinen Einfluss, ebenso wenig auf ein Konto, das auf dem Telefon angemeldet ist: Mit den obigen Schaltern auf "an" erhalten Googles Server durch den VPN-Tunnel dieselben Daten wie ohne. Auf Android ist auch der Tunnel selbst nicht dicht, wie in diesem Monat Googles Weigerung, ein IP-Leck am VPN vorbei zu schließen, gezeigt hat. Nutzen Sie ein VPN für das, was es kann, den Netzwerkstandort vor Websites und Netzen verbergen, und die Kontoeinstellungen für das, wofür Google bestraft wurde.

Es gibt einen zweiten Grund, darauf zu achten, wo diese Daten liegen. Den "Standortverlauf" fragt die Polizei ab, wenn sie wissen will, wer in der Nähe eines Tatorts war; im Juni entschied der Oberste Gerichtshof der USA im Fall Chatrie, dass solche Anfragen einen Durchsuchungsbeschluss brauchen. Daten, die nur auf dem Telefon liegen und nach drei Monaten verfallen, lassen sich von keinem Server abrufen.