Irische DPC verhängt 403.000.000 EUR Strafe gegen Google wegen der Verarbeitung von Standortdaten

Hintergrund

Die DPC hat in ihrer Rolle als federführende Aufsichtsbehörde für Google im Februar 2020 von sich aus eine Untersuchung eingeleitet. Dies erfolgte nach Beschwerden verschiedener europäischer Verbraucherschutzorganisationen, darunter BEUC. Die Untersuchung befasste sich mit der Verarbeitung von Standortdaten in drei spezifischen Google-Funktionen: "Web & App Activity", "Location History" und "Location Accuracy". Der untersuchte Zeitraum reichte vom 25. Mai 2018 (Datum des Inkrafttretens der DSGVO) bis zum 4. Februar 2020. Die endgültige Entscheidung datiert vom 21. September 2026. Die DPC stellte fest, dass Google die DSGVO bezüglich der Rechtmäßigkeit und Fairness der Verarbeitung von Standortdaten in "Web & App Activity" und "Location History" verletzt hat. Außerdem wurden Verstöße gegen die Rechenschaftspflicht für "Location Accuracy" festgestellt, da Google die Einhaltung der Grundsätze der Rechtmäßigkeit, Fairness und Transparenz nicht nachweisen konnte. Schließlich wurden Verstöße gegen die Transparenzpflichten für alle drei Funktionen sowie im Zusammenhang mit der Speicherung von Standortdaten in "Web & App Activity" und "Location History" festgestellt.

Warum es wichtig ist

Google muss eine Strafe von 403.000.000 EUR zahlen, weil es die DSGVO bei der Verarbeitung von Standortdaten nicht eingehalten hat. Alle Unternehmen, die personenbezogene Daten, insbesondere Standortdaten, verarbeiten, müssen die Rechtmäßigkeit und Fairness ihrer Vorgänge nachweisen. Sie müssen Nutzern gegenüber transparent sein bezüglich der Verwendung ihrer Daten und die Rechenschaftspflichten einhalten. Die Entscheidung der DPC zeigt eine strenge Kontrolle darüber, wie Unternehmen Nutzerinformationen verwalten. Hat Ihr Unternehmen einen klaren Plan für die Verwaltung von Standortdaten?

Was zu tun ist

• Überprüfen und aktualisieren Sie die Richtlinien zur Verarbeitung von Standortdaten, um die Einhaltung der DSGVO zu gewährleisten.
• Stellen Sie sicher, dass die Verarbeitung personenbezogener Daten stets rechtmäßig und fair ist, mit einer klaren Rechtsgrundlage.
• Erhöhen Sie die Transparenz gegenüber Nutzern, indem Sie klare und zugängliche Informationen zur Verwendung ihrer Daten bereitstellen.
• Führen Sie solide Verfahren ein, um die Einhaltung der DSGVO nachzuweisen und die Rechenschaftspflichten zu stärken.
• Definieren und befolgen Sie klare Richtlinien zur Datenaufbewahrung, insbesondere für Standortdaten.

Was zu vermeiden ist

• Die Einhaltung der Grundsätze der Rechtmäßigkeit, Fairness und Transparenz der DSGVO nicht nachweisen können.
• Nutzer gegenüber undurchsichtig zu sein, wie Standortdaten erfasst und genutzt werden.
• Standortdaten ohne klare Begründung oder für übermäßige Zeiträume aufzubewahren.
• Beschwerden von Verbraucherschutzorganisationen oder betroffenen Personen zu ignorieren.

Praktische Auswirkungen

Organisationen, die Standortdaten verarbeiten, tragen ein erhebliches Sanktionsrisiko, wenn sie die DSGVO nicht einhalten. Die Untersuchung der DPC bei Google unterstreicht die Bedeutung einer klaren Rechtsgrundlage und der Transparenz bei der Datenverarbeitung. Unternehmen müssen dokumentierte Prozesse besitzen, um die Einhaltung der DSGVO nachzuweisen. Dies umfasst die Datenverwaltung für spezifische Funktionen und die Einhaltung der Aufbewahrungsfristen.

Fragen zur Selbsteinschätzung

• Haben wir eine klare und dokumentierte Rechtsgrundlage für jede Verarbeitung von Standortdaten?
• Ist unsere Datenschutzerklärung für Nutzer transparent und leicht verständlich?
• Können wir die Einhaltung der DSGVO-Grundsätze, einschließlich der Rechenschaftspflicht, nachweisen?
• Sind unsere Datenaufbewahrungsrichtlinien definiert und werden sie eingehalten?
• Sind unsere Produkte oder Dienste von Anfang an datenschutzfreundlich konzipiert?

Verweise

Nationales Recht: GDPR Articolo 5 (Principi relativi al trattamento dei dati personali) · GDPR Articolo 6 (Liceità del trattamento) · GDPR Articolo 12 (Informazioni trasparenti, comunicazioni e modalità per l'esercizio dei diritti dell'interessato) · GDPR Articolo 13 (Informazioni da fornire qualora i dati personali siano raccolti presso l'interessato)