Google-Bußgeld über 403 Millionen Euro: Was der DSGVO-Fall für den Mittelstand bedeutet

Was tatsächlich passiert ist

Die DPC ist für Google die federführende Aufsichtsbehörde in der EU. Sie hatte die Untersuchung im Februar 2020 von Amts wegen eröffnet, nach Beschwerden mehrerer europäischer Verbraucherschutzorganisationen, darunter die Dachorganisation BEUC. Gegenstand waren nach Angaben der Behörde drei Funktionen – „Web & App Activity", „Location History" und „Location Accuracy" – im Zeitraum vom 25. Mai 2018 bis zum 4. Februar 2020.

Die festgestellten Verstöße sind aufschlussreich. Die DPC beanstandete die Rechtmäßigkeit und Fairness der Verarbeitung in „Web & App Activity" und „Location History" sowie Verstöße gegen die Transparenzpflichten bei allen drei Funktionen. Bei „Location Accuracy" konnte Google nicht nachweisen, dass die Verarbeitung rechtmäßig, fair und transparent war – beanstandet wurde damit die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO. Zusätzlich wurden Standortdaten länger gespeichert als nötig. Die Behörde verhängte Geldbußen von insgesamt 403 Millionen Euro und verpflichtete Google, die Verarbeitung innerhalb von sechs Monaten in Einklang mit der DSGVO zu bringen. Die stellvertretende DPC-Kommissarin Graham Doyle erklärte, Nutzer hätten nicht wissen können, dass ihr Standort etwa genutzt werde, um sie mit Werbung zu beeinflussen oder Interessen abzuleiten. Google verwies darauf, dass es um historische Praktiken gehe und man die Standortverwaltung seit 2019 deutlich weiterentwickelt habe.

Meine Einordnung

Die 403 Millionen Euro sind eine Konzernzahl. Wer daraus ableitet, das betreffe nur die Großen, übersieht den eigentlichen Punkt. Beanstandet wurde nicht, dass Daten abgeflossen sind, sondern dass eine Verarbeitung nicht nachweisbar rechtmäßig, nicht transparent und zu lang war. Das ist genau die Stelle, an der auch Mittelständler regelmäßig wackeln. Ich erlebe in Mandaten im Münchner Umland selten Unternehmen, die gar nichts tun. Ich erlebe Unternehmen, die drei Systeme mit Standort- oder Bewegungsbezug betreiben – Zeiterfassung, Fuhrpark, ein Marketing-Tool – und auf die Frage nach der Löschfrist für den zweiten Punkt erst intern nachfragen müssen.

Die naheliegende Lesart lautet: „Wir sind kein Tech-Konzern, wir haben auch keine Standortprofile." Meiner Erfahrung nach ist die relevante Frage eine andere: Können Sie belegen, warum Sie eine bestimmte Angabe erheben, wie lange Sie sie behalten und an wen sie weitergegeben wird? Genau dieser Nachweis ist die Rechenschaftspflicht, und genau daran ist Google gescheitert. Ein Verarbeitungsverzeichnis, das nur ausgefüllt und nie hinterfragt wird, reicht dafür nicht. Der Fall zeigt außerdem, wie viel an der Transparenz hängt: Wer weiß, dass er Standortdaten verarbeitet, kann informieren und löschen lassen. Wer es nicht weiß, kann beides nicht. Für Betriebe in Fürstenfeldbruck, Augsburg oder im Münchner Umland ist das keine Konzern-, sondern eine Organisationsfrage.

Ich halte einen zweiten Aspekt für unterschätzt: Löschung wird zur Pflicht, nicht zur Option. Google hat erst nachträglich automatische Löschfunktionen eingeführt. Wer sein Löschkonzept erst dann aufsetzt, wenn die Aufsichtsbehörde fragt, hat schon verloren. Das ist keine Rechtsberatung – was im Einzelfall zulässig ist, muss fachlich geprüft werden –, aber es ist ein Muster, das sich in größeren Bußgeldfällen wiederholt.

Was Sie jetzt konkret tun können

1. Bestandsaufnahme: Listen Sie alle Systeme auf, in denen Standort-, Bewegungs- oder Aufenthaltsdaten anfallen – Zeiterfassung, Fuhrpark, CRM, Marketing- und Analytics-Tools, WLAN-Tracking. Fragen Sie je System, ob Sie die Daten wirklich brauchen.

2. Löschfristen festlegen und technisch umsetzen. Schreiben Sie je Kategorie eine konkrete Frist auf und automatisieren Sie die Löschung, statt sie manuell zu betreiben.

3. Transparenz prüfen. Steht in Ihrer Datenschutzerklärung nachvollziehbar, welche Standortbezüge es gibt, wozu sie dienen und wie lange sie gespeichert werden? Art. 12 und 13 DSGVO sind kein Prosa-Projekt.

4. Rechenschaftspflicht dokumentieren. Halten Sie fest, warum eine Verarbeitung gerechtfertigt ist – nicht nur, dass sie stattfindet.

5. Unterstützung holen, wenn Sie die Löschfrage nicht in zehn Minuten beantworten können. Spätestens dann ist ein externer Datenschutzbeauftragter günstiger als die Nacharbeit.

Wenn Sie unsicher sind, ob Ihre Datenflüsse belastbar dokumentiert sind, bringt ein Datenschutz-Audit mehr als ein weiteres Formular. Welche Optionen zu Ihrem Betrieb passen, ist unter Leistungen zusammengefasst.

Quellen

• Data Protection Commission (Irland), „Data Protection Commission fines Google €403 million following inquiry into Google's processing of location data", 21.09.2026 — https://dataprotection.ie/en/news-media/latest-news/data-protection-commission-fines-google-eu403-million-following-inquiry-googles-processing-location
• Reuters, „Irish privacy regulator fines Google €403 million over location data processing", 21.09.2026 — https://www.reuters.com/business/media-telecom/irish-regulator-fines-google-403-million-over-location-data-processing-2026-09-21/

Dieser Beitrag beschreibt die Rechtslage. Er ist keine Rechtsberatung im Einzelfall.