Das Wichtigste in Kürze
- Die irische Datenschutzkommission DPC hat am 21. September 2026 Geldbußen von insgesamt 403 Millionen Euro gegen die Google Ireland Limited verhängt und dem Unternehmen aufgegeben, die Verarbeitung binnen sechs Monaten in Einklang mit der DSGVO zu bringen.
- Beanstandet sind drei Funktionen – im englischen Original „Web & App Activity“, „Location History“ und „Location Accuracy“ – für den Zeitraum vom 25. Mai 2018 bis zum 4. Februar 2020. Die Untersuchung lief seit Februar 2020, also mehr als sechs Jahre.
- Ausgelöst hatten das Verfahren Beschwerden von acht Verbraucherorganisationen aus acht Ländern. Aus Deutschland, Österreich oder der Schweiz war nach der Aufstellung des Dachverbands BEUC keine darunter.
Die irische Datenschutzkommission (Data Protection Commission, DPC) hat am Montag ihre endgültige Entscheidung in einem Verfahren bekanntgegeben, das sie im Februar 2020 gegen die Google Ireland Limited eingeleitet hatte. Ergebnis: Geldbußen von zusammen 403 Millionen Euro und die Anordnung, die beanstandete Datenverarbeitung „binnen sechs Monaten“ rechtskonform zu machen. Die Behörde handelt nach eigenen Angaben als federführende Aufsichtsbehörde für Google – jene Rolle, die die DSGVO für grenzüberschreitende Fälle vorsieht: Zuständig ist dann die Aufsicht am europäischen Hauptsitz des Unternehmens.
Es geht um Standortdaten, und zwar nicht um eine Randfunktion: Zwei der drei geprüften Einstellungen sind nach der Beschreibung der Behörde an ein Google-Konto gebunden. Die dritte ist demnach eine Funktion des Android-Betriebssystems und steht unabhängig davon zur Verfügung, ob ein Google-Konto besteht.
Drei Funktionen, vier Beanstandungen
Die Entscheidung stammt von den drei Mitgliedern der irischen Datenschutzkommission, Des Hogan, Dale Sunderland und Niamh Sweeney. Sie stellt nach dem Wortlaut der Mitteilung vier Verstöße fest: bei Rechtmäßigkeit und Fairness der Verarbeitung, bei den Rechenschaftspflichten, bei der Transparenz und bei der Speicherdauer. Welche Beanstandung welche Funktion trifft, verteilt sich unterschiedlich:
| Funktion | Was sie laut DPC tut | Beanstandung der DPC |
|---|---|---|
| Web & App Activity („Web- & App-Aktivitäten“) |
Kontoeinstellung; verarbeitet Aktivitäten in Google-Diensten, Websites und Apps, darunter Browser- und Suchverlauf sowie Standortdaten | Rechtmäßigkeit und Fairness, Transparenz, Speicherdauer |
| Location History („Standortverlauf“, heute „Zeitachse“) |
Muss aktiv eingeschaltet werden; zeichnet Aufenthaltsorte, Aktivitäten und Wege auf und zeigt sie als private Karte – auch wenn gerade kein Google-Dienst benutzt wird | Rechtmäßigkeit und Fairness, Transparenz, Speicherdauer |
| Location Accuracy („Standortgenauigkeit“) |
Android-Funktion zur genaueren Ortsbestimmung über das GPS-Signal hinaus; verfügbar unabhängig vom Google-Konto | Rechenschaftspflicht, Transparenz |
Der stellvertretende Kommissar Graham Doyle wird in der Mitteilung mit einer Begründung zitiert, die den Verbraucherbezug ungewöhnlich deutlich benennt. Standortdaten könnten „sowohl Vorteile als auch Schäden“ mit sich bringen, sie könnten die Nützlichkeit von Onlinediensten erheblich steigern, aber auch „erhebliche Informationen über eine Person“ offenlegen, „einschließlich Informationen, die von Natur aus privat sind“. Infolge der Versäumnisse Googles hätten Menschen „möglicherweise nicht gewusst, dass ihr Standort verwendet wurde, um sie zum Beispiel mit Werbung zu beeinflussen oder auf ihre Interessen zu schließen“; die zu lange Speicherung habe diesen Kontrollverlust verschärft. (Übersetzung der Redaktion aus dem englischen Original.)
Geprüft wurde ein Zeitraum, der im Februar 2020 endet
Die Prüfung umfasst nach Angaben der Behörde den Zeitraum vom 25. Mai 2018 – dem Tag, an dem die DSGVO anwendbar wurde – bis zum 4. Februar 2020. Das ist der Punkt, an dem die Entscheidung angreifbar wird, und zwar aus zwei Richtungen gleichzeitig.
Der europäische Verbraucherdachverband BEUC, auf dessen Beschwerden das Verfahren zurückgeht, nennt die Entscheidung in seiner Mitteilung vom selben Tag „gute Nachricht für Verbraucher“ – kritisiert die Dauer aber ausdrücklich. Generaldirektor Agustín Reyna: „Die Zeit, die nötig war, um zu diesem Ergebnis zu kommen, steht außer Verhältnis zur Schwere des Verstoßes. Späte Durchsetzung kann genauso schädlich sein wie gar keine Durchsetzung.“ (Übersetzung der Redaktion.)
Google spricht von „historischen Richtlinien“
Google verweist auf dieselbe Zeitspanne, aber mit umgekehrtem Vorzeichen. Ein Sprecher sagte dem Irish Examiner, es gehe um „historische Richtlinien, die seither aktualisiert wurden“; seit 2019 habe das Unternehmen seine Praktiken „erheblich weiterentwickelt“ und Werkzeuge eingeführt, die das Verwalten von Standortdaten einfach machten. Genannt werden dabei die automatische Löschung und das Werbeeinstellungs-Menü „My Ad Center“.
Was die Mitteilung offenlässt
Die DPC nennt weder die Zahl der betroffenen Konten noch die Aufteilung der 403 Millionen Euro auf die einzelnen Verstöße. Sie gibt auch nicht an, ob und welche Einwände andere europäische Aufsichtsbehörden im Abstimmungsverfahren erhoben haben – sie dankt ihnen lediglich für die Zusammenarbeit. Beides dürfte erst aus der vollständigen Entscheidung hervorgehen, die die Behörde „in due course“ veröffentlichen will, ohne ein Datum zu nennen.
Acht Beschwerdeländer – Deutschland, Österreich und die Schweiz waren nicht dabei
Der Ausgangspunkt liegt im November 2018. Damals reichten nach Darstellung des BEUC acht Verbraucherorganisationen aus Norwegen, den Niederlanden, Griechenland, Tschechien, Slowenien, Polen, Schweden und Dänemark koordiniert Beschwerden gegen Googles Standorterfassung ein. Grundlage war eine Untersuchung der norwegischen Verbraucherorganisation Forbrukerrådet; sie zeige, so der BEUC, wie Google mit irreführender Gestaltung, irreführenden Informationen und wiederholtem Drängen auf dauerhafte Standorterfassung hinwirke. 2022 legte der Verband nach eigenen Angaben eine zweite Beschwerde nach.
Eine deutsche, österreichische oder schweizerische Organisation steht nicht auf dieser Liste. Für den deutschsprachigen Raum ist das mehr als eine Fußnote: Federführend zuständig ist in diesem Verfahren weder eine deutsche Landesdatenschutzbehörde noch der deutsche Bundesbeauftragte für den Datenschutz und auch nicht die österreichische Datenschutzbehörde, sondern die Aufsicht in Dublin; die übrigen Behörden wirken nach den Artikeln 56 und 60 der Datenschutz-Grundverordnung im Kooperationsverfahren mit. Eine Beschwerde lässt sich nach Artikel 77 weiterhin bei der Behörde im eigenen Land einlegen; entschieden wird der Fall dann aber dort, wo das Unternehmen seinen europäischen Sitz hat.
Für die Schweiz gilt die DSGVO ohnehin nicht unmittelbar – das Land gehört nicht zum Europäischen Wirtschaftsraum. Ob sich dort etwas ändert, hängt davon ab, ob Google eine Anpassung auf den EWR begrenzt oder weltweit ausrollt. Die Mitteilung der Behörde sagt dazu nichts.
Ob Geld bei Betroffenen ankommt, entscheidet dieses Verfahren nicht
Ein Bußgeld fließt an den Staat, nicht an die Betroffenen. Wer wegen einer rechtswidrigen Datenverarbeitung selbst Geld verlangen will, braucht Artikel 82 der DSGVO – und der setzt mehr voraus als den Verstoß. Der Europäische Gerichtshof hat am 4. Mai 2023 in der Rechtssache C-300/21 entschieden, dass der bloße Verstoß gegen die Verordnung für sich genommen keinen Schadenersatzanspruch begründet; ein Schaden muss dargelegt werden. Ein Bußgeldbescheid einer Aufsichtsbehörde nimmt diese Darlegung nicht ab.
Was sich in den eigenen Kontoeinstellungen nachsehen lässt
- Web- & App-Aktivitäten und Zeitachse: Beide Einstellungen liegen im Google-Konto im Bereich „Daten & Datenschutz“; „Zeitachse“ ist die heutige deutsche Bezeichnung für den früheren Standortverlauf.
- Automatisches Löschen: Google bietet nach eigener Hilfeseite eine zeitgesteuerte Löschung der Aktivitätsdaten an. Standortangaben zum Gerät und die IP-Adresse werden demnach nach 30 Tagen aus den Web- & App-Aktivitäten entfernt.
- Auskunft verlangen: Artikel 15 der DSGVO gibt ein Recht auf Auskunft über die gespeicherten Daten – unabhängig vom Ausgang des irischen Verfahrens.
Wie weit Standorterfassung auch ohne aktives Zutun reicht, war schon vor der DSGVO Thema. NETZ-TRENDS berichtete 2017 darüber, dass Google Handy-Standortdaten auch ohne GPS erfasste. Die Aufsicht über große Plattformen bleibt seither ein Geduldsspiel: Erst im September 2026 wurde bekannt, dass Revolut nach eigenen Angaben Passdaten und Selfies an eine gefälschte Behördenanfrage herausgab – zuständig ist dort die litauische Aufsicht. Und auf europäischer Ebene läuft parallel die Debatte darüber, ob die DSGVO für KI-Anwendungen gelockert werden soll.
Bevor das Bußgeld vollstreckbar wird, muss ein irisches Gericht es bestätigen
Ein Detail, das in der Mitteilung der Behörde nicht steht, sich aber aus dem irischen Recht ergibt: Ein Bußgeld der DPC wird nicht allein durch die Entscheidung vollstreckbar. Nach Section 142 des irischen Data Protection Act 2018 kann das betroffene Unternehmen innerhalb von 28 Tagen ab Zustellung der Entscheidung Rechtsmittel einlegen – bei Beträgen über 75.000 Euro vor dem irischen High Court. Bleibt ein Rechtsmittel aus, muss die Behörde nach Section 143 die Bestätigung beim Circuit Court beantragen; das Gericht bestätigt die Entscheidung nach dem Wortlaut der Vorschrift, sofern es keinen guten Grund sieht, dies nicht zu tun.
Wann die Entscheidung zugestellt wurde, geht aus der Mitteilung nicht hervor – die 28 Tage laufen also nicht zwingend ab dem 21. September. Ob Google Rechtsmittel einlegt, war nach den bis Dienstagmorgen vorliegenden Berichten nicht bekannt; die zitierte Stellungnahme des Unternehmens äußert sich dazu nicht. Die Irish Times ordnete das Bußgeld am Montag als das vierthöchste ein, das die DPC seit Geltung der DSGVO verhängt hat.
Belegbar terminiert ist damit bislang nur zweierlei: die Sechs-Monats-Frist für die Nachbesserung und die Ankündigung der Behörde, die vollständige Entscheidung nachzureichen. Erst daraus wird sich ablesen lassen, welche Gestaltung der Einwilligung die Aufsicht konkret beanstandet hat – und damit auch, woran sich künftige Verfahren gegen andere Anbieter messen lassen.
Haben Sie den Standortverlauf in Ihrem Google-Konto jemals bewusst ein- oder ausgeschaltet – und wussten Sie, dass die Standortgenauigkeit unter Android auch ohne Google-Konto greift? Schreiben Sie uns Ihre Meinung gerne in die Kommentare.
Quellen
- Data Protection Commission (Irland): Mitteilung „Data Protection Commission fines Google €403 million following Inquiry into Google’s processing of location data“ vom 21. September 2026
- BEUC – The European Consumer Organisation: Pressemitteilung „Google fined for invasive location tracking after BEUC complaint“ vom 21. September 2026
- Irish Examiner: Bericht vom 21. September 2026 mit der Stellungnahme eines Google-Sprechers
- The Irish Times: Bericht vom 21. September 2026, 10:53 Uhr, zur Einordnung der Bußgeldhöhe
- Irish Statute Book: Data Protection Act 2018, Section 142 und Section 143
- Gerichtshof der Europäischen Union: Rechtssache C-300/21, Urteil vom 4. Mai 2023
- EUR-Lex: Verordnung (EU) 2016/679 (DSGVO)
- Google: Hilfeseite „Aktivitäten ansehen und löschen“
Transparenzhinweis: Bei Recherche, Strukturierung und Erstellung dieses Beitrags kamen KI-gestützte Werkzeuge zum Einsatz. Die verwendeten Quellen sind im Artikel aufgeführt. Die Veröffentlichung erfolgt erst nach manueller redaktioneller Freigabe.
