Google muss 403 Millionen Dollar Strafe wegen Datenschutzverstößen zahlen: Was das Unternehmen daraus lernen
Dort Irische Datenschutzkommission Die EU-Kommission hat Google wegen Verstößen gegen die DSGVO im Zusammenhang mit der Verarbeitung von Standortdaten mit einer Geldstrafe von 403 Millionen Euro belegt. Der Fall betrifft Praktiken aus den Jahren 2018 bis 2020, verdeutlicht aber ein aktuelles Problem für Unternehmen: die Frage, wo Daten nach ihrer Erhebung letztendlich landen.
Dort Irische Datenschutzkommission (DPC). Google Irland wurden Verwaltungsstrafen in Höhe von insgesamt 403 Millionen Euro am Ende einer Untersuchung zur Verarbeitung von Standortdaten.
Die Entscheidung wurde am 21. September 2026, betrifft drei Google-Funktionen: Web- und App-Aktivitäten, Standortverlauf und Standortgenauigkeit. Der untersuchte Zeitraum erstreckt sich von 25. Mai 2018 bis 4. Februar 2020.
Die Behörde ordnete außerdem an, dass Google die beanstandete Datenverarbeitung innerhalb von sechs Monaten anpassen müsse.
Der Fall betrifft eine Plattform und eine Datenmenge, die sich nur schwer mit denen eines KMU vergleichen lassen. Das praktische Prinzip ist jedoch viel näher dran: Datenerhebung bedeutet auch Wissen. warum es gesammelt wird, wohin es transportiert wird und wie lange es verfügbar bleibt.
Warum Google wegen Datenschutzverstößen bestraft wurde
Die DPC-Untersuchung wurde im Februar 2020 nach Meldungen europäischer Verbraucherschutzorganisationen eingeleitet.
Laut Entscheidung der Behörde hat Google gegen mehrere Verpflichtungen aus der DSGVO verstoßen.
Die Streitigkeiten betreffen:
- Rechtmäßigkeit und Korrektheit der Verarbeitung von Standortdaten über Web- und App-Aktivitäten und Standortverlauf;
- Rechenschaftspflichten in Bezug auf die Genauigkeit der Standortangaben;
- Transparenz der Verarbeitung für alle drei Merkmale;
- Speicherung von Standortdaten über Web- und App-Aktivitäten sowie Standortverlauf.
L 'Rechenschaftspflicht, in der DSGVO, gibt an, dass der Inhaber konkret nachweisen kann, dass die Datenverarbeitung in Übereinstimmung mit den geltenden Vorschriften erfolgt.
Es genügt daher nicht, intern ein Verfahren festzulegen: Man muss es auch dokumentieren können.
Warum Standortdaten besondere Aufmerksamkeit erfordern
Ein einzelnes geografisches Datum mag unbedeutend erscheinen.
Eine über einen längeren Zeitraum gesammelte Abfolge von Positionen kann stattdessen die Bewegungen, die von der Person frequentierten Orte und die Gewohnheiten rekonstruieren.
Die DPC betont, dass Standortdaten sehr detaillierte Informationen über das Leben einer Person liefern können und dass die Nutzer im analysierten Fall möglicherweise nicht vollständig verstanden haben, wie diese Informationen verwendet wurden, unter anderem um die angezeigte Werbung zu beeinflussen oder Interessen abzuleiten.
Gerade die Verknüpfung verschiedener Daten macht die Behandlungskartierung so wichtig.
Das gleiche Prinzip gilt, wenn auch in viel kleinerem Maßstab, für die Werkzeuge, die ein Unternehmen täglich benutzt.
Nach dem Kontaktformular wird der Datenpfad fortgesetzt
Auf der Webseite füllt der Benutzer drei Felder aus:
Name, E-Mail-Adresse, Telefonnummer.
Wenn Sie auf “Senden” klicken, erscheint eine Bestätigungsmeldung.
Aus seiner Sicht ist die Operation beendet.
Aus technischer Sicht hat es vielleicht gerade erst begonnen.
Die Anfrage kann per E-Mail eingehen, im CRM erfasst, automatisiert verarbeitet, in ein Managementsystem eingespeist oder an eine Marketingplattform weitergeleitet werden.
Es handelt sich um völlig normale Aktivitäten, sofern es einen Grund dafür gibt und sie ordnungsgemäß durchgeführt werden.
Das Problem entsteht, wenn niemand die gesamte Route rekonstruieren kann.
Eine Website verändert sich schneller als ihre Dokumentation
Die Website eines Unternehmens bleibt selten über Jahre hinweg unverändert.
Ein Chat wurde hinzugefügt. Das Newsletter-System wurde umgestellt. Ein neues Modul wurde installiert. Ein CRM-System wurde integriert. Eine Kampagne mit eigener Landingpage wurde gestartet. Ein Buchungs- oder Supportsystem wurde angebunden.
Jede Intervention kann neue Schritte im Informationsmanagement einführen.
Im Laufe der Zeit kann daher eine Distanz entstehen zwischen was das Unternehmen zu verwenden plant und was technisch noch verbunden ist.
Eine für eine ältere Kampagne erstellte Integration kann noch aktiv sein. Ein Formular speichert möglicherweise weiterhin Informationen in der Datenbank der Website. Eine Plattform, die nicht mehr genutzt wird, kann weiterhin Daten empfangen.
Dies bedeutet nicht automatisch, dass ein Verstoß vorliegt.
Das bedeutet, dass wir, bevor wir dies feststellen können, wissen müssen, wie das System tatsächlich funktioniert.
Datenschutzrichtlinien und technischer Betrieb müssen übereinstimmen
Das Vorhandensein einer Datenschutzerklärung allein reicht nicht aus, um die tatsächliche Datenverarbeitung zu beschreiben.
Da im Laufe der Zeit immer mehr Tools, Integrationen und Plattformen hinzugefügt werden, muss auch die Dokumentation mit der tatsächlichen Konfiguration abgeglichen werden.
Daher ist ein Vergleich zwischen zwei Ebenen erforderlich:
was auf der Website steht ist was die Website tatsächlich tut.
Die rechtliche Beurteilung obliegt Datenschutzexperten. Die technische Analyse muss jedoch verlässliche Informationen über die tatsächlich verwendeten Formulare, Cookies, Plattformen, Datenbanken, Integrationen und Dienste liefern.
Ohne diese Karte beginnt selbst eine regulatorische Bewertung mit unvollständigen Informationen.
So überprüfen Sie den Datenpfad auf Ihrer Website
Eine erste Überprüfung kann mit einer ganz einfachen Aktion beginnen: Füllen Sie einfach eines der Formulare auf der Website aus und beobachten Sie, was passiert.
Sie müssen sich folgende Frage stellen:
- wohin die Anfrage gesendet wird;
- wenn die Daten auch auf der Website gespeichert werden;
- wenn sie automatisch in das CRM eingetragen werden;
- wenn sie auf Marketingplattformen übertragen werden;
- die Benutzer einsehen können;
- wenn es Exporte oder Automatisierungen gibt;
- falls noch alte Anbauten vorhanden sind;
- wie lange die Informationen aufbewahrt werden.
Diese Übung ersetzt kein GDPR-Audit.
Es dient dazu, die notwendige technische Grundlage zu schaffen, um es richtig durchzuführen.
Was das für Ihr Unternehmen bedeutet
Die Geldstrafe gegen Google bedeutet nicht, dass jegliche Datenerfassung problematisch ist. Sie verdeutlicht jedoch, wie wichtig es ist, den gesamten Informationszyklus zu verstehen.
Für ein KMU können die ersten Überprüfungen sehr konkret sein:
- Kartenformulare, CRM, Newsletter und verwandte Plattformen;
- Prüfen, ob es Zusätze gibt, die nicht mehr erforderlich sind;
- Vergleichen Sie die technische Konfiguration mit der aktuellen Datenschutzdokumentation.
Die sinnvolle Frage lautet nicht nur “Welche Daten erheben wir?”, aber auch “Was geschieht als Nächstes?”.
Wenn DigiFe in die Angelegenheit eingreift Erstellung oder Renovierung einer Website, Bei Analysen geht es nicht nur darum, was der Benutzer sieht: Sie umfassen auch Integrationen, Module und Tools, die dafür sorgen, dass das Projekt hinter der Benutzeroberfläche funktioniert.
