Irland verhängt Geldstrafe von 403 Millionen Euro gegen Google wegen DSGVO-Verstößen bei Standortverfolgung

Dubliner Regulierungsbehörde verhängt Geldstrafe

Die irische Datenschutzkommission gab am 21. September 2026 bekannt, dass sie Google mit 403 Millionen Euro (etwa 345 Millionen Pfund oder 462 Millionen Dollar) belegt hat, weil das Unternehmen gegen die Datenschutz-Grundverordnung verstoßen hat. Die Strafe ist die vierthöchste, die die irische Aufsichtsbehörde je verhängt hat, und schließt eine Untersuchung ab, die sechs Jahre zuvor im Februar 2020 eingeleitet wurde. Europäische Verbraucherschutzorganisationen hatten die Untersuchung ursprünglich durch die Einreichung formeller Beschwerden über Nutzerverfolgungsmechanismen ausgelöst. Da Google seinen europäischen Hauptsitz in Dublin hat, fungiert die irische Regulierungsbehörde als federführende Aufsichtsbehörde für das Technologieunternehmen im gesamten Europäischen Wirtschaftsraum. Das Urteil verlangt von Google, seine Datenverarbeitungsvorgänge innerhalb von sechs Monaten vollständig mit den EU-Standards in Einklang zu bringen.

Umfang der Verstöße bei der Standortverfolgung

Die Untersuchung bewertete die Verarbeitung von Standortdaten durch Google vom 25. Mai 2018, als die DSGVO in Kraft trat, bis zum 4. Februar 2020. Die Regulierungsbehörden prüften drei verschiedene Softwaresysteme: Web & App-Aktivität, das Surf- und Suchverhalten verfolgt; Standortverlauf, der die über mobile Geräte besuchten physischen Standorte aufzeichnet; und Standortgenauigkeit auf Android. Die Kommission stellte fest, dass Google bei Web & App-Aktivität und Standortverlauf die rechtlichen Anforderungen an die Rechtmäßigkeit und Fairness der Datenverarbeitung nicht erfüllt hat. Die Behörde warf Google außerdem vor, bei der Standortgenauigkeit gegen Grundsätze der Rechenschaftspflicht verstoßen und bei allen drei bewerteten Funktionen Transparenzauflagen verletzt zu haben.

Auswirkungen auf Nutzereinwilligung und Datenspeicherung

Die Untersuchung ergab, dass Google Standortdaten der Nutzer über einen Zeitraum speicherte, der über das für die Erbringung der Dienste unbedingt Notwendige hinausging. Die Regulierungsbehörden erklärten, dass uneingeschränkte Standortverfolgung die Privatsphäre gefährde, da genaue Koordinaten tägliche Routinen, private Beziehungen und persönliche Gewohnheiten offenlegen. Die Kommission stellte fest, dass die Benutzeroberfläche und die Offenlegungen von Google die Nutzer nicht darüber informierten, dass die Standortverfolgung zur Erstellung von Verhaltensprofilen genutzt wurde, um Werbung zu personalisieren oder Nutzerinteressen abzuleiten. Der stellvertretende Kommissar Graham Doyle erläuterte die Verpflichtungen, die sich aus den europäischen Datenschutzrahmenwerken ergeben.

„Die DSGVO (Datenschutz-Grundverordnung) bietet ein hohes Schutzniveau für personenbezogene Daten im gesamten EWR (Europäischen Wirtschaftsraum) und verlangt, dass die Verarbeitung personenbezogener Daten auf rechtmäßige, faire und transparente Weise erfolgt.“

Doyle betonte, dass Standortdaten zwar den Nutzen von Online-Diensten steigern könnten, aber auch das Potenzial hätten, erheblichen Schaden zu verursachen, wenn von Natur aus private Informationen offengelegt werden. Die Aufsichtsbehörde kam zu dem Schluss, dass die langfristige Speicherung von Nutzerdaten diesen Verlust der individuellen Kontrolle über personenbezogene Daten noch verstärkte.

Produktaktualisierungen und Unternehmensverteidigung

Google verteidigte seine Compliance-Bilanz mit der Aussage, dass die Regulierungsentscheidung sich auf historische Betriebsabläufe beziehe, die inzwischen ersetzt worden seien.

„Dieser Fall betrifft frühere Richtlinien, die inzwischen aktualisiert wurden. Seit 2019 haben wir unsere Verfahren erheblich verbessert und wirksame Tools eingeführt, die die Verwaltung von Standortdaten vereinfachen.“

Das Unternehmen verwies auf technische Änderungen, die nach dem untersuchten Zeitraum eingeführt wurden, darunter automatische Löschungseinstellungen, die es Nutzern ermöglichen, Standortaufzeichnungen alle 3, 18 oder 36 Monate zu löschen. Google speichert Zeitverlaufsdaten jetzt direkt auf den einzelnen Mobilgeräten statt auf zentralen Servern und bietet Optionen, personalisierte Werbung vollständig zu deaktivieren. Das Unternehmen änderte außerdem seine Systeme, um ungefähre Koordinaten statt genauer Positionen aufzuzeichnen, und fasste die Datenschutzeinstellungen für Konten in einem zentralen Verwaltungshub zusammen.