Die Nachrichtenagentur AP deckte vor zwei Wochen in einem Artikel auf, dass Google die Standortdaten von Smartphone-Nutzern auch dann speichert, wenn diese dem Großunternehmen die Erlaubnis dazu durch die entsprechende Einstellung ausdrücklich nicht erteilt haben – und zwar unabhängig davon, ob sie ein Android- oder iPhone-Gerät benutzen. Eine kurz darauf von der Vanderbilt University veröffentlichte Studie bestätigte diesen Befund und zeigte auf, dass Google sogar von einem nicht bewegten Smartphone aus trotz nicht erteilter Erlaubnis über den Hintergrunddatenverkehr bis zu 340 Mal an einem Tag Standortdaten versendet.

Das Problem dabei ist, dass die Speicherung von Standortdaten über verschiedene Einstellungen abgestellt werden kann. Die vermeintlich Eindeutigste von diesen verschiedenen Möglichkeiten („Standortverlauf deaktivieren“) führt dabei nicht allein zum Ziel. Vielmehr gelangt man über die Einstellungsmöglichkeit „Google-Aktivitäten verwalten“ zur Untereinstellungsebene „Aktivitätseinstellungen aufrufen“, innerhalb derer die Option „Web- und App-Aktivitäten“ deaktiviert werden muss. Nur mit dieser versteckten Einstellungsmöglichkeit, die ihrer Bezeichnung nach nicht offensichtlich zum Standortdatenverlauf führt, kann sich dieser abschalten lassen. Da wahrscheinlich die wenigsten Google-Nutzer diese Möglichkeit gefunden haben, wohl aber den „Standortverlauf deaktiviert“ haben, wird ihr Standortverlauf gespeichert, obwohl sie Google die Erlaubnis dazu nicht erteilen wollten.

Diese mangelnde Transparenz war nun auch für den Staatssekretär Gerd Billen (Bundesjustizministerium) Anlass für Kritik, der sich mit einem Brief direkt an Google wendete. Das Sammeln und Sichern von Standortdaten trotz deaktiviertem Standortverlauf eigne sich dazu, “das Vertrauen der Verbraucher in die Nutzung von Angeboten und Diensten der digitalen Welt ganz gravierend und nachhaltig zu beeinträchtigen“. Nötig sei eine zentrale und unmissverständliche Einstellungsmöglichkeit, mit der die Standortspeicherung auf dem entsprechenden Gerät global abgestellt werden könne. Dabei geriet auch der Staatssekretär in Anbetracht der beiden Artikel über die unüberschaubaren Einstellungsmöglichkeiten bei den Google-Diensten  in Verwirrung und musste in einem zweiten Schreiben die Fehler, die ihm im Ersten unterlaufen waren, korrigieren.

Auch juristische Konsequenzen muss das Unternehmen nun wegen seiner intransparenten Praktiken fürchten. Zumindest in den USA, wo kurz nach Erscheinen der beiden Artikel ein Mann das Unternehmen auf Schadensersatz verklagte. Auch die Regulierungsbehörde Federal Trade Commission (FTC) hat in dieser Angelegenheit Untersuchungen angekündigt und könnte Google weiteren juristischen Ärger bereiten.

Aber können auch deutsche Verbraucher gegen Google vorgehen?

Antworten auf diese Frage finden sich in der Datenschutz-Grundverordnung, die im Mai dieses Jahres in Kraft trat. Gem. Art. 4 Nr. 1 DSGVO handelt es sich bei Standortverläufen um personenbezogene Daten. Bei der Speicherung solcher Verläufe handelt es sich um eine Verarbeitung nach Art. 4 Nr. 2 DSGVO. Eine solche Verarbeitung personenbezogener Daten ist gem. Art. 6 I lit. a DSGVO nur mit Einwilligung der betroffenen Personen zulässig. Diese liegt, zumindest teilweise, aber nicht vor. Auch gilt bei der Verarbeitung personenbezogener Daten gem. Art. 6 I lit. a DSGVO der Grundsatz, dass diese für den Betroffenen auf nachvollziehbare Weise erfolgen muss. Die unbeabsichtigt erteilten Einwilligungen bei der Aktivierung nicht eindeutig Standortbezogener Einstellungen können die Anforderungen an eine wirksame, auf nachvollziehbare Weise erteilte Einwilligung nicht erfüllen. Im Ergebnis sind die von Google angewandten Praktiken auch nach europäischem Recht unrechtmäßig.

Was folgt daraus für die Einzelnen, deren Standortdaten gegen ihren Wunsch von Google gespeichert wurden?

Erstens kann gem. Art. 17 I lit. d DSGVO die Löschung der eigenen Standortverläufe von Google verlangt werden. Zweitens besteht gem. Art. 77 I DSGVO die Möglichkeit, Beschwerde bei der vom jeweiligen Mitgliedsstaat gem. Art. 51 DSGVO errichteten Aufsichtsbehörde einzureichen. Zuletzt könnte gem. Art. 82 I DSGVO gegenüber Google ein Anspruch auf Schadensersatz wegen materiellen und immateriellen Schäden geltend gemacht werden. Inwieweit materielle Schäden durch die unrechtmäßige Speicherung der Standortverläufe möglich sind, erscheint zweifelhaft. Eher vorstellbar ist in diesem Zusammenhang die Entstehung von immateriellen Schäden, wobei die Rechtsprechung auf Grundlage dieses noch sehr jungen Art. 82 I DSGVO bisher noch keine Urteile gefällt hat. Inwieweit in diesem Zusammenhang Schadenersatzansprüche erfolgreich geltend gemacht werden können, wird sich also erst noch in der Zukunft zeigen müssen.

Spannend bleibt, inwieweit in Zukunft gegen Verfehlungen von im Internet tätigen Großunternehmen wie Google vorgegangen werden wird. Die DSGVO könnte dem Staat und den Einzelnen wirksame Werkzeuge an die Hand geben, auch wenn die Dinge rund um diese recht junge Verordnung weiterhin im Fluss sind. Wir werden Sie weiterhin auf dem Laufenden halten.