EU belegt Google mit 890-Mio.-Euro-Geldstrafe wegen DMA-Verstößen

Die Aufsichtsbehörden erhöhen den Druck: Die EU verhängt über Google eine massive Strafe von 890 Mio. Euro, während Südkorea TikTok und Apple wegen Datenschutzverstößen bestraft. Unterdessen müssen Datenhändler und Gentestriesen Strafen für nachlässige Sicherheitspraktiken hinnehmen, was beweist, dass selbst ein Auto-GPS-Tracker vor Gericht landen kann.

EU verhängt über Google eine enorme Geldstrafe von 890 Millionen Euro wegen Verstößen gegen das DMA

Die Europäische Kommission hat gegen Google ein Bußgeld in Höhe von 890 Millionen Euro (1 Milliarde US-Dollar) verhängt, weil das Unternehmen gegen den Digital Markets Act (DMA) der Europäischen Union verstoßen hat, ein Gesetz, das darauf abzielt, den fairen Wettbewerb im Internet zu gewährleisten.

Die Kommission erklärte, Google habe seinen eigenen Diensten wie Shopping, Hotels, Transport und Sportergebnissen in Google Search eine bessere Platzierung eingeräumt als konkurrierenden Diensten. Sie stellte außerdem fest, dass Google Unternehmen daran hinderte, Verbraucher auf alternative, oft günstigere Kaufkanäle zu leiten.

Die Kommission erklärte, dass Google als „Gatekeeper“ seine eigenen Dienste nicht bevorzugt behandeln, sondern stattdessen einen transparenten, fairen und diskriminierungsfreien Ansatz bei der Rangfolge verfolgen sollte.

Die Geldbuße umfasst 460 Millionen Euro für die Bevorzugung eigener Dienste in Suchergebnissen und 430 Millionen Euro für die Einschränkung der Wahlmöglichkeiten von App-Entwicklern. Die Kommission hat Google angewiesen, die Mängel innerhalb von 60 Tagen zu beheben; andernfalls drohen zusätzliche Strafen in Höhe von bis zu 5 % des weltweiten Umsatzes.

Südkorea verhängt Geldstrafen gegen TikTok und Apple wegen Verstößen gegen Datenschutzgesetze

Südkorea hat TikTok und zwei Apple-Tochtergesellschaften ein Bußgeld in Höhe von insgesamt 10,558 Milliarden Won (mehr als 6,3 Millionen Euro) wegen Verstoßes gegen das Personal Information Protection Act und das frühere Act on Promotion of Information and Communications Network Utilization and Information Protection verhängt, unter Berufung auf unrechtmäßige Datenerhebung, unzureichende Transparenz und unzulässige Datenübermittlungen ins Ausland.

Die Kommission zum Schutz personenbezogener Daten (PIPC) erklärte, TikTok habe es versäumt, die Nutzer ordnungsgemäß über die Übermittlung personenbezogener Daten ins Ausland zu informieren, einschließlich der Frage, welche Informationen weitergegeben wurden und warum. Die Aufsichtsbehörden stellten zudem fest, dass die Plattform Verhaltensdaten von etwa 9,45 Millionen südkoreanischen Nutzern mithilfe von Tracking-Technologien auf Websites und mobilen Apps von Drittanbietern erfasst habe. Die Daten, darunter Browsing-Aktivitäten, Käufe, Klicks und Gerätekennungen, wurden ohne angemessenen Hinweis mit Nutzerkonten verknüpft, um personalisierte Werbung zu schalten.

Zwei Apple-Tochtergesellschaften wurden mit einer Gesamtfine von 250 Millionen Won (~149.000 €) belegt, nachdem die PIPC festgestellt hatte, dass Siri-Sprachaufzeichnungen und -Transkripte ohne angemessene Rechtsgrundlage zur Verbesserung des Dienstes genutzt wurden. Die Aufsichtsbehörde erklärte zudem, Apple habe personenbezogene Daten an seinen US-Hauptsitz übermittelt, ohne die Nutzer ausreichend über die Art und den Zweck dieser Übermittlungen zu informieren. Die Strafe wurde reduziert, nachdem Apple während der Untersuchung seine Datenschutzkontrollen verschärft, seine Richtlinien aktualisiert und die Nutzeroptionen zur Verwaltung von Siri-Transkripten erweitert hatte.

Darüber hinaus ist TikTok Gegenstand vorläufiger Vorwürfe durch Regulierungsbehörden der Europäischen Union wegen Kontoeinstellungen, die Kinder Prädatoren, Cybermobbing und unerwünschten Kontakten aussetzen könnten. Sollte sich der Verdacht bestätigen, droht der Plattform eine Geldstrafe von bis zu 6 % ihres weltweiten Jahresumsatzes. Die Regulierungsbehörden wiesen darauf hin, dass Konten von Minderjährigen öffentlich einstellbar seien, was die Sichtbarkeit von Inhalten für ein breites Publikum erlaube, und empfahlen Änderungen der Standard-Datenschutzeinstellungen zum besseren Schutz junger Nutzer.

Spanien verhängt gegen 23andMe eine Geldstrafe von mehr als 2 Millionen Euro wegen einer Datenschutzverletzung im Jahr 2023

Die spanische Datenschutzbehörde hat 23andMe mit einer Geldbuße in Höhe von 2,4 Mio. Euro (ca. 2,7 Mio. US-Dollar) belegt, da Cybersicherheitsmängel zu einer großen Datenpanne im Jahr 2023 führten, die weltweit 6,9 Millionen Menschen betraf, darunter mehr als 2.600 Personen in Spanien.

Nach Angaben der Aufsichtsbehörde erfuhren Führungskräfte des Unternehmens erstmals von dem Datenleck, nachdem jemand versucht hatte, gestohlene Kundendaten auf Reddit zu verkaufen. Die Behörden wiesen zudem darauf hin, dass 23andMe 12 Tage gewartet habe, bevor die spanischen Behörden benachrichtigt wurden, was die Maßnahmen zur Eindämmung der Folgen des Angriffs verzögerte.

Die Untersuchung ergab, dass 23andMe grundlegende Sicherheitsmaßnahmen, einschließlich der verpflichtenden Multi-Faktor-Authentifizierung, versäumt hatte. Das Unternehmen hatte zudem keine Begrenzung dafür eingeführt, wie viel Daten von einer einzelnen IP-Adresse abgerufen oder heruntergeladen werden konnten, was den Credential-Stuffing-Angriff erleichterte.

Durch das Datenleck wurden sensible Kundendaten offengelegt, darunter genetische Herkunftsinformationen. Ein Teil der gestohlenen Informationen wurde später auf dem Dark Web zum Verkauf angeboten.

23andMe bestritt zunächst, dass ein Datenleck stattgefunden habe. Nach der Bestätigung des Vorfalls warf das Unternehmen den Kunden vor, schwache oder wiederverwendete Passwörter verwendet zu haben. Anfang dieses Monats erklärte sich 23andMe bereit, 18 Millionen US-Dollar zu zahlen, um Ansprüche einer Koalition aus 42 US-Bundesstaatsanwälten im Zusammenhang mit dem Datenleck beizulegen.

Portugiesisches Weinunternehmen wegen GPS-Überwachung mit einer Geldbuße von über 14.000 € belegt

Ein portugiesisches Weinunternehmen hat eine Geldbuße über 14.790 € erhalten, nachdem es einen GPS-Tracker in einem Firmenwagen eingesetzt hatte, um die Arbeitsleistung eines Mitarbeiters zu überwachen.

Adega Moor mit Sitz bei Lissabon verlangte von einem Vertriebsmitarbeiter, tägliche Berichte über Kundenbesuche einzureichen. Der Geschäftsführer verglich diese Berichte anschließend mit den GPS-Daten des Firmenfahrzeugs des Mitarbeiters, um zu prüfen, ob die Angaben übereinstimmen.

Das Unternehmen machte geltend, das GPS sei nur gelegentlich zur Überprüfung eines Kundenbesuchs genutzt worden und nicht für eine regelmäßige Überwachung vorgesehen gewesen. Das Berufungsgericht in Lissabon stellte jedoch fest, dass der Manager den GPS-Verlauf wiederholt überprüft habe, was eine Form der fortlaufenden Leistungsüberwachung darstellte.

Das Gericht entschied, dass diese Praxis gegen Artikel 20 Absatz 1 des portugiesischen Arbeitsgesetzbuchs verstößt, der es Arbeitgebern untersagt, Überwachungstechnologie zur Kontrolle der Arbeitsleistung von Beschäftigten einzusetzen. Zwar dürfen GPS-Systeme zum Schutz von Firmenfahrzeugen und -eigentum genutzt werden, sie dürfen jedoch nicht dazu dienen, die Art und Weise zu überwachen, wie Beschäftigte ihre Arbeit verrichten.

Das Gericht bestätigte das Bußgeld und erklärte zudem, dass die Überwachung auch dann nach portugiesischem Recht rechtswidrig gewesen wäre, wenn der Mitarbeiter ihr zugestimmt hätte.

US-Datenbroker wegen DSGVO-Verstößen mit 2-Mio.-€-Bußgeld belegt

Die italienische Datenschutzbehörde Garante hat gegen den US-Datenbroker Lusha Systems Inc. eine Geldbuße in Höhe von 2 Millionen Euro wegen Verstoßes gegen die Datenschutzvorschriften der DSGVO verhängt.

Lusha sammelt personenbezogene Daten wie Berufsbezeichnungen, E-Mail-Adressen und Telefonnummern aus Quellen wie Social-Media-Scraping und anderen Datenbrokern. Das Unternehmen verkauft anschließend den Zugriff auf die Daten für geschäftliche Zwecke und zur Betrugsbekämpfung.

Der Garante stellte fest, dass Lusha die Daten vieler Personen in Italien ohne gültige Rechtsgrundlage verarbeitet habe. Außerdem habe das Unternehmen keine klaren Informationen darüber bereitgestellt, wie personenbezogene Daten erhoben und verwendet wurden.

Die Behörde stellte fest, dass die Datenbank Informationen über Mitarbeiter von staatlichen Einrichtungen, Strafverfolgungsbehörden und der Justiz enthielt.

Garante entschied, dass die Aktivitäten von Lusha unter die DSGVO fallen, obwohl das Unternehmen seinen Sitz außerhalb der Europäischen Union hat. Die Behörde ordnete Lusha an, die Verarbeitung personenbezogener Daten von Personen in Italien einzustellen und die gesammelten Informationen zu löschen.

Was kommt als Nächstes?

• Fordern Sie eine kostenlose Produktdemo oder Preisinformationen an.
• Registrieren Sie sich für unsere Webinare und Produktschulungen.
• Lesen Sie unseren wöchentlichen Blog „Cybercrime Investigations“
• Folgen Sie uns auf LinkedIn, X, Telegram und WhatsApp
• Abonnieren Sie unseren Newsletter
• Nehmen Sie an unserem Partnerprogramm teil.