Google 403-Mio.-€-DPC-Strafe: Sechsmonatige Lösung für Standortdaten

Standorteinstellungen wirken wie Produkttexte, bis eine Durchsetzungsmitteilung eintrifft. Irlands Datenschutzkommission hat laut Reuters drei vertraute Google-Steuerelemente zu einem DSGVO-Problem in Höhe von 403 Millionen Euro gemacht: Web- & App-Aktivitäten, Standortverlauf und Standortgenauigkeit. Für Entwicklerinnen und Entwickler lautet die Lektion nicht, dass Standortfunktionen unmöglich sind. Sie lautet, dass Rechtsgrundlage, Erklärung, Aufbewahrung und Prüfpfade den Kontakt mit einer Aufsichtsbehörde überstehen müssen, die Einstellungsbildschirme wörtlich liest. Die Untersuchung der DPC begann 2020 nach Beschwerden europäischer Verbraucherschutzorganisationen, berichtete Reuters. Die überprüften Praktiken betrafen einen engeren Zeitraum, als die Höhe der Geldbuße vermuten lassen könnte: vom 25. Mai 2018 bis zum 4. Februar 2020, so die BBC. Das ist nützlich für Produktteams: Alte Abläufe, alte Standardeinstellungen und alte Entscheidungen zur Datenaufbewahrung können trotzdem zu aktueller Durchsetzungsarbeit werden.

Was die DPC tatsächlich feststellte

Reuters Connect berichtete, dass die DPC Googles Verarbeitung von Standortinformationen über Web- & App-Aktivitäten, Standortverlauf und Standortgenauigkeit untersuchte. Die Aufsichtsbehörde stellte Verstöße bei rechtmäßiger und fairer Verarbeitung, Transparenz und Rechenschaftspflicht fest. Reuters zitierte den stellvertretenden DPC-Kommissar Graham Doyle mit den Worten: „Infolge der Versäumnisse von Google konnten Einzelpersonen möglicherweise nicht erkennen, dass ihr Standort genutzt wurde, um sie zum Beispiel mit Werbung zu beeinflussen oder ihre Interessen abzuleiten, und sie konnten die Kontrolle über ihre personenbezogenen Daten verlieren.“ Er fügte hinzu: „Die Aufbewahrung der Standortdaten von Nutzerinnen und Nutzern über das notwendige Maß hinaus hat diesen Kontrollverlust verschärft.“ Der Bericht der BBC erklärt, warum die Aufsichtsbehörde diese Kategorie ernst nahm: Standortdaten können alle Daten sein, die verwendet werden, um den Standort einer Person abzuleiten, und die DPC sagte, dass sie von Natur aus private Informationen offenlegen können. The Record berichtete, dass Google angewiesen wurde, seine Datenverarbeitungspraktiken innerhalb von sechs Monaten zu beheben. Der praktische Zeitrahmen ist kurz genug, um für Entwicklungspläne wichtig zu sein, und lang genug, dass Aufsichtsbehörden mehr erwarten werden als eine neu geschriebene Hilfeseite.

Die Pflicht, ohne die Mythen

Die Berichterstattung von Reuters sagt nicht, dass die DSGVO Personalisierung, Werbung oder Standortfunktionen verbietet. Sie sagt, dass die DPC feststellte, dass Googles Verarbeitung von Standortdaten zentrale DSGVO-Erwartungen in Bezug auf Rechtmäßigkeit, Fairness, Transparenz und Aufbewahrung nicht erfüllte. Dieser Unterschied ist wichtig. Ein Produkt kann nach dem Standort fragen und trotzdem scheitern, wenn die Nutzerin oder der Nutzer nicht verstehen kann, was erhoben wird, wie es genutzt wird, wie lange es gespeichert bleibt und wie sich diese Entscheidungen auf Werbung oder Interessenableitungen auswirken. Reuters Connect berichtete, dass Nutzerinnen und Nutzer möglicherweise nicht verstanden hatten, dass ihre Standortinformationen auf diese Weise verwendet wurden. In einfachen Pflichten ausgedrückt heißt das: Einwilligungsbildschirme, Kontoeinstellungen und Datenschutzhinweise dürfen nicht als getrennte Artefakte behandelt werden, die von getrennten Teams geschrieben werden. Wenn Web- & App-Aktivitäten, Standortverlauf und Standortgenauigkeit zusammenwirken, muss die Erklärung dieses Zusammenwirken überstehen. Wenn die Aufbewahrung länger ist als notwendig, ist die Antwort nicht ein weiterer Absatz Richtlinientext, sondern ein Löschplan, dessen Existenz jemand nachweisen kann.

Die sechsmonatige Reparaturarbeit

The Record berichtete, dass die DPC Google sechs Monate gab, um seine Verarbeitungspraktiken in Einklang zu bringen. Free Press Journal berichtete, Google habe erklärt, seine Praktiken seien seitdem mit verbesserten Nutzerkontrollen aktualisiert worden – die Art von Satz, die Datenschutzjuristinnen und -juristen normalerweise nach Screenshots, Versionshistorien und Datenkarten suchen lässt. Verbesserte Kontrollen können helfen, aber die Feststellungen der Aufsichtsbehörde deuten auf eine breitere Checkliste hin: Rechtsgrundlage, Nutzerverständnis, nachgelagerte Werbenutzung, Ableitung, Aufbewahrung und Nachweise zur Rechenschaftspflicht. Für Entwicklerinnen und Entwickler beginnt die nützliche Prüfung beim Funktionsinventar, nicht bei der Datenschutzerklärung. Welche Oberflächen Standortdaten erheben oder ableiten. Welche Einstellungen die Erhebung aktivieren. Welche Teams das Signal für Personalisierung oder Anzeigenausrichtung nutzen. Welche Aufbewahrungsregel gilt, nachdem eine Nutzerin oder ein Nutzer eine Funktion ausgeschaltet hat. Wenn diese Antworten in drei Tabellen und im Gedächtnis einer bald ausscheidenden Ingenieurin oder eines bald ausscheidenden Ingenieurs liegen, Glückwunsch: Sie haben das Compliance-Projekt entdeckt.

Warum Irlands Entscheidung weiter wirkt

Reuters beschrieb Irlands DPC als führende EU-Datenschutzaufsichtsbehörde für viele große Internetunternehmen, weil deren EU-Geschäft in Irland angesiedelt ist. Politico berichtete, dass die Strafe von 403 Millionen Euro die viertgrößte Geldbuße der irischen Aufsichtsbehörde und ihre erste große Strafe gegen Google ist. Das macht den Fall weit über das Einstellungsmenü eines einzelnen Unternehmens hinaus relevant. Die DPC schreibt keine Produkttexte, aber ihre Feststellungen sind ein sehr direkter Kommentar zur Produktarchitektur. Als Nächstes sollte man nicht darauf achten, ob jede Standortfunktion verschwindet. Das wird sie nicht. Achten Sie stattdessen darauf, wie Unternehmen die Brücke zwischen Nutzerkontrollen und tatsächlicher Verarbeitung dokumentieren, besonders dort, wo Standortsignale in Werbung, Empfehlungen oder Interessenprofile einfließen. Wenn Sie mit Verhaltensdaten bauen, gehen Sie davon aus, dass die Aufsichtsbehörde zuerst die langweiligen Fragen stellt: Was hat die Nutzerin oder der Nutzer verstanden, was haben Sie gespeichert, warum haben Sie es gespeichert und wer kann die Antwort beweisen.