403 Millionen Euro – die Summe klingt gewaltig. Die irische Datenschutzkommission DPC hat gegen Google Ireland eine entsprechende Geldbuße wegen des Umgangs mit Standortdaten verhängt. Nach Darstellung des vorliegenden Berichts kommt die Behörde zu dem Ergebnis, dass persönliche Standortinformationen von Nutzern teilweise nicht entsprechend den Vorgaben der europäischen Datenschutz-Grundverordnung verarbeitet wurden.
Für Nutzer ist die Entscheidung vor allem deshalb relevant, weil es nicht um irgendeine wenig bekannte Zusatzfunktion geht. Gegenstand der Untersuchung waren Funktionen, mit denen Google über Jahre hinweg Informationen über Aufenthaltsorte und Bewegungen seiner Nutzer erfassen konnte.
Aus Anlegersicht stellt sich dagegen eine andere Frage: Sind 403 Millionen Euro für einen Konzern von Googles Größenordnung tatsächlich ein gravierender wirtschaftlicher Rückschlag – oder ist die größere Gefahr eine andere?
Drei bekannte Google-Funktionen im Visier
Die DPC untersuchte laut Bericht den Umgang mit Standortinformationen im Zeitraum vom 25. Mai 2018 bis 4. Februar 2020. Dabei ging es um drei Bereiche: „Web- & App-Aktivitäten“, den „Standortverlauf“ und die „Standortgenauigkeit“.
Über Web- & App-Aktivitäten können neben Suchanfragen und besuchten Internetseiten auch Standortinformationen erfasst werden. Der Standortverlauf dokumentiert besuchte Orte und Wege, während die Standortgenauigkeit Android-Geräten dabei hilft, ihre Position unter anderem über WLAN- und Mobilfunknetze genauer zu bestimmen.
Wichtig für die Einordnung ist der Untersuchungszeitraum: Die Entscheidung betrifft Vorgänge, die mehrere Jahre zurückliegen. Sie beschreibt damit nicht automatisch den heutigen Zustand sämtlicher Google-Standortfunktionen.
Der Vorwurf geht über eine einzelne Datenschutzeinstellung hinaus
Ausgelöst wurde das Verfahren nach Darstellung des Artikels durch Untersuchungen des norwegischen Verbraucherrats Forbrukerrådet und anschließende Beschwerden europäischer Verbraucherorganisationen.
Diese warfen Google unter anderem vor, Nutzer durch Menüführung und Voreinstellungen in eine bestimmte Richtung zu lenken. Außerdem seien wiederholt Hinweise angezeigt worden, die Nutzer zur Aktivierung von Ortungsfunktionen bewegen sollten. Nach Auffassung der Beschwerdeführer sei dabei möglicherweise nicht ausreichend deutlich geworden, welche Informationen tatsächlich gesammelt würden.
Gerade dieser Punkt ist für große Internetplattformen grundsätzlich bedeutsam. Datenschutz besteht nicht nur darin, irgendwo eine Einstellung zum Abschalten einer Funktion anzubieten. Entscheidend ist auch, ob Nutzer ausreichend informiert werden und ob die Verarbeitung personenbezogener Daten auf einer tragfähigen rechtlichen Grundlage erfolgt.
DPC: Standortdaten teilweise unrechtmäßig verarbeitet
Nach Abschluss ihrer Untersuchung kam die irische Datenschutzkommission laut Bericht zu mehreren Beanstandungen.
Bei „Web- & App-Aktivitäten“ sowie beim Standortverlauf seien Standortinformationen nach Feststellung der Behörde unrechtmäßig verarbeitet worden. Außerdem seien Daten länger gespeichert worden als erforderlich.
Bei der Standortgenauigkeit habe Google nach Auffassung der DPC nicht ausreichend nachweisen können, dass wesentliche Datenschutzvorgaben eingehalten wurden. Zusätzlich beanstandete die Behörde die Informationen, die Nutzern zu allen drei Funktionen zur Verfügung gestellt worden waren. Google muss seine Verfahren demnach innerhalb von sechs Monaten anpassen.
Damit geht die Entscheidung deutlich über die reine Geldstrafe hinaus. Für die langfristige Betrachtung ist möglicherweise sogar wichtiger, welche Veränderungen Google an seinen Produkten und Datenprozessen vornehmen muss, als die einmalige Zahlung von 403 Millionen Euro.
Anleger sollten die 403 Millionen Euro richtig einordnen
Eine Schlagzeile wie „EU verhängt Millionenstrafe gegen Google“ vermittelt zunächst den Eindruck eines erheblichen finanziellen Rückschlags. Aus Investorensicht sollte allerdings zwischen unmittelbarer finanzieller Belastung und strukturellem regulatorischem Risiko unterschieden werden.
Die unmittelbare Belastung ist klar bezifferbar: 403 Millionen Euro.
Aus dem vorliegenden Artikel allein lässt sich jedoch nicht ableiten, wie stark diese Zahlung Googles beziehungsweise Alphabets Gewinn, Cashflow oder Unternehmenswert belastet. Dafür müsste die Summe mit aktuellen Konzernkennzahlen ins Verhältnis gesetzt werden.
Deshalb wäre es überzogen, allein aus der Höhe des Bußgeldes eine wesentliche Verschlechterung der wirtschaftlichen Lage des Konzerns abzuleiten.
Interessanter ist vielmehr die Frage, ob solche Entscheidungen zu einem wiederkehrenden Kosten- und Geschäftsrisiko werden.
Das größere Risiko könnte regulatorischer Natur sein
Google gehört zu den Unternehmen, deren Geschäftsmodelle stark auf der Verarbeitung großer Datenmengen beruhen. Standortinformationen können dabei besonders sensibel sein, weil sich aus ihnen potenziell Bewegungsmuster und besuchte Orte ableiten lassen.
Wenn europäische Behörden strengere Anforderungen an Einwilligungen, Speicherfristen, Nutzerinformationen oder Voreinstellungen stellen, können daraus nicht nur Geldbußen entstehen. Unternehmen müssen möglicherweise Benutzeroberflächen verändern, zusätzliche Kontrollmechanismen entwickeln und bestehende Datenprozesse anpassen.
Genau hier liegt aus Anlegersicht der interessantere Punkt der Entscheidung: Eine einzelne Strafe ist kalkulierbar. Dauerhaft strengere Regeln können dagegen Prozesse und Produkte verändern.
Der vorliegende Artikel liefert allerdings keine Grundlage dafür, konkrete finanzielle Folgen solcher Veränderungen für Google zu beziffern. Eine entsprechende Prognose wäre daher spekulativ.
Google verweist auf bereits erfolgte Änderungen
Google argumentiert laut Bericht, dass die beanstandeten Richtlinien inzwischen überarbeitet worden seien. Das Unternehmen verweist darauf, seit 2019 zusätzliche Kontrollmöglichkeiten eingeführt zu haben.
Unter anderem werde die Zeitleiste von Google Maps inzwischen direkt auf dem Smartphone gespeichert. Nutzer könnten außerdem bestimmen, wann gespeicherte Einträge automatisch gelöscht werden; die automatische Löschung könne alternativ deaktiviert werden.
Das ist für die Bewertung relevant. Die DPC-Entscheidung betrifft einen historischen Untersuchungszeitraum von 2018 bis Anfang 2020. Daraus folgt nicht automatisch, dass sämtliche damals beanstandeten Praktiken heute unverändert fortbestehen.
Gleichzeitig bedeutet eine nachträgliche Änderung von Funktionen nicht automatisch, dass damit sämtliche regulatorischen Fragen erledigt sind. Die DPC verlangt laut Bericht weitere Anpassungen innerhalb von sechs Monaten.
Für Nutzer ist die Entscheidung möglicherweise bedeutender als für die nächste Quartalsbilanz
Aus Nutzersicht berührt der Fall eine grundlegende Frage: Wie transparent muss ein Anbieter erklären, wann und warum Standortinformationen erfasst werden?
Die Entscheidung der DPC macht deutlich, dass die bloße Existenz von Einstellungen nicht zwangsläufig genügt. Die Behörde beanstandete ausdrücklich auch die Informationen, die Google seinen Nutzern zu den betreffenden Funktionen bereitgestellt hatte.
Für Google beziehungsweise dessen Mutterkonzern Alphabet liegt das Risiko dagegen auf einer anderen Ebene. Ein einzelnes Bußgeld kann eine einmalige finanzielle Belastung darstellen. Eine Folge ähnlicher Verfahren in verschiedenen Geschäftsbereichen könnte dagegen dauerhaft höhere Compliance-Kosten und Einschränkungen bei der Nutzung personenbezogener Daten bedeuten.
Ob sich aus dieser konkreten Entscheidung tatsächlich erhebliche langfristige wirtschaftliche Auswirkungen ergeben, lässt sich aus dem vorliegenden Bericht jedoch nicht feststellen.
Kritischer Blick auf die Schlagzeile
Auch die Formulierung „EU verhängt Millionenstrafe gegen Google“ verdient eine Präzisierung.
Nach dem vorliegenden Artikel wurde die Geldbuße von der irischen Datenschutzkommission DPC gegen Google Ireland verhängt. Die DPC handelt dabei im europäischen Datenschutzrahmen, die Formulierung „EU verhängt“ verkürzt den tatsächlichen institutionellen Vorgang jedoch erheblich.
Für eine sachlich präzisere Überschrift wäre deshalb beispielsweise „Irische Datenschutzbehörde verhängt 403-Millionen-Euro-Strafe gegen Google“ treffender.
Fazit: Die 403 Millionen sind nicht die entscheidende Zahl
Die Strafe ist hoch und die Feststellungen der Datenschutzbehörde sind erheblich. Trotzdem sollte man die Entscheidung aus Anlegersicht nicht allein anhand der spektakulären Summe bewerten.
Wichtiger sind drei Punkte: Die untersuchten Vorgänge stammen aus den Jahren 2018 bis Anfang 2020, Google verweist auf zwischenzeitliche Änderungen seiner Standortfunktionen, und die DPC verlangt dennoch weitere Anpassungen.
Damit liegt die eigentliche Bedeutung des Falls weniger in der Frage, ob Google eine Rechnung über 403 Millionen Euro bezahlen kann. Interessanter ist, wie stark europäische Datenschutzregeln künftig die Erfassung, Speicherung und Nutzung jener Daten begrenzen, auf denen Teile des digitalen Geschäftsmodells beruhen.
Die Geldstrafe ist sichtbar und leicht zu beziffern. Das langfristige regulatorische Risiko ist schwieriger zu messen – und könnte für Anleger deshalb der wesentlich interessantere Teil dieser Nachricht sein.
