Geschrieben am 02.10.2026 von:
Team MORGENSTERN
MORGENSTERN kann Rechtsberatung rund um alle Themen der Digitalisierung und IT.
Kontaktiere mich:
+49 (0) 6232 – 100119 0
E-Mail senden
Am 21. September 2026 hat die irische Data Protection Commission (DPC) ihre Abschlussentscheidung gegen Google Ireland Limited bekannt gegeben: Geldbußen von insgesamt 403 Millionen Euro und eine Anordnung, die Verarbeitung innerhalb von sechs Monaten rechtskonform zu gestalten. Es handelt sich um eine aufsichtsbehördliche Entscheidung, nicht um ein Gerichtsurteil. Gegen sie steht der Rechtsweg zu den irischen Gerichten offen, und Google dürfte nach Medienberichten zumindest Teile angreifen. Die DPC hatte das Verfahren im Februar 2020 eröffnet, die Entscheidung erging als federführende Behörde nach dem Verfahren der Zusammenarbeit der Aufsichtsbehörden (Art. 60 DS-GVO).
Sachverhalt und festgestellte Verstöße
Gegenstand waren Standortdaten in den Funktionen „Web & App Activity“, „Location History“ und „Location Accuracy“ im Zeitraum vom 25. Mai 2018 bis zum 4. Februar 2020. Auslöser waren Beschwerden europäischer Verbraucherverbände aus dem Jahr 2018. Nach den Angaben des EDSA bezieht sich die Entscheidung auf Art. 5 (Grundsätze), Art. 6 (Rechtmäßigkeit), Art. 12 und Art. 13 DS-GVO (Transparenz und Informationspflichten). Die DPC stellte Verstöße gegen Rechtmäßigkeit und Fairness, Transparenz und Rechenschaftspflicht sowie gegen den Grundsatz der Speicherbegrenzung fest, weil Standortdaten länger als erforderlich vorgehalten wurden.
Rechtliche Einordnung
- Informierte Einwilligung: Betroffene konnten nach Ansicht der Aufsicht nicht erkennen, dass Standortdaten auch zur Werbesteuerung und zur Ableitung von Interessen genutzt wurden. Die Entscheidung unterstreicht die Anforderungen an Bestimmtheit und Informiertheit nach Art. 4 Nr. 11 und Art. 7 DS-GVO.
- Transparenz: Informationen müssen die tatsächliche Verarbeitung klar und verständlich abbilden (Art. 12, 13 DS-GVO).
- Speicherbegrenzung: Art. 5 Abs. 1 e) DS-GVO verlangt eine Löschung, sobald der Zweck erreicht ist.
- Bußgeld und Abhilfebefugnis: Die Geldbuße wurde zusammen mit einer Anweisung nach Art. 58 Abs. 2 DS-GVO verhängt. Die Aufteilung der Summe auf die einzelnen Verstöße ist bislang nicht veröffentlicht. Der Volltext der Entscheidung steht aus.
Zusammenhang mit den EDSA-Leitlinien
Die Entscheidung zeigt, wie Aufsichtsbehörden bei großen Verstößen Geldbußen und Abhilfebefugnisse kombinieren. Das Bußgeld wegen der Intransparenz und der Speicherdauer fällt in den Kontext der Fragen, die die EDSA-Leitlinien 04/2026 zur Verhängung von Geldbußen systematisieren. Ob und wie die DPC die Leitlinien-Kriterien angewandt hat, lässt sich erst nach Veröffentlichung der Begründung beurteilen.
Handlungsempfehlung
Verantwortliche sollten Verarbeitungen von Standortdaten auf Rechtsgrundlage, Transparenz und Löschkonzept prüfen und die Einwilligungsgestaltung nach Art. 6 Abs. 1 a) DS-GVO und § 25 TDDDG überprüfen. Die Datenschutzhinweise sollten Zwecke wie Werbung und Profilbildung ausdrücklich benennen.
Quellen: Irish DPC, Pressemitteilung vom 21.09.2026