Standortdaten sind für Plattformen keine Nebeninformation. Sie verbinden Suchanfragen, Apps, Geräte, Kartendienste und Werbesysteme mit dem physischen Leben der Nutzer. Genau deshalb ist die Entscheidung der irischen Datenschutzkommission gegen Google mehr als ein weiteres großes Bußgeld in Europa.
Die Data Protection Commission (DPC) hat gegen Google Ireland Limited eine Verwaltungsstrafe von insgesamt 403 Millionen Euro verhängt. Dazu kommt eine Anordnung: Google muss die beanstandete Verarbeitung binnen sechs Monaten mit der Datenschutz-Grundverordnung in Einklang bringen. Die vom EDPB veröffentlichte Entscheidung nennt als Datum der finalen Entscheidung den 21. September 2026.
Der Kern des Falls liegt nicht in einer einzelnen App und auch nicht in einem isolierten Schalter im Google-Konto. Die Untersuchung betraf drei Funktionen: „Web & App Activity“, „Location History“ und „Location Accuracy“. Der geprüfte Zeitraum reichte vom 25. Mai 2018, dem Anwendungsbeginn der DSGVO, bis zum 4. Februar 2020. Die DPC hatte das Verfahren im Februar 2020 von Amts wegen eingeleitet, nachdem Beschwerden mehrerer europäischer Verbraucherorganisationen eingegangen waren, darunter BEUC.
Die Plattformoberfläche wird zur Beweisfrage
Google baut seine Dienste nicht als lose Sammlung einzelner Produkte. Suche, Android, Maps-nahe Funktionen, Kontoeinstellungen und App-Nutzung greifen ineinander. Für Nutzer erscheint das oft als Komfort: ein Konto, viele Dienste, wiedererkennbare Einstellungen. Für Datenschutzaufsichten entsteht daraus ein anderes Problem. Wer verarbeitet wann welche Standortdaten, auf welcher Rechtsgrundlage, mit welcher Information an den Nutzer und wie lange?
Die DPC kam zu dem Ergebnis, dass Google bei „Web & App Activity“ und „Location History“ gegen Anforderungen an Rechtmäßigkeit und Fairness der Verarbeitung verstoßen habe. Bei „Location Accuracy“ stellte die Behörde einen Verstoß gegen Rechenschaftspflichten fest: Google habe nicht nachweisen können, dass die Verarbeitung mit den Grundsätzen von Rechtmäßigkeit, Fairness und Transparenz vereinbar gewesen sei. Außerdem beanstandete die DPC Transparenzverstöße bei allen drei Funktionen sowie die Aufbewahrung von Standortdaten bei „Web & App Activity“ und „Location History“.
Das ist juristisch trocken formuliert. Strategisch ist es präzise. Die Behörde schaut nicht nur auf die Frage, ob irgendwo ein Hinweistext existiert. Sie bewertet, ob ein Plattformbetreiber erklären und belegen kann, wie die Datenverarbeitung tatsächlich organisiert ist. Damit verschiebt sich der Druck von der Datenschutzerklärung in die Produktarchitektur.
Standortdaten sind kein gewöhnliches Nutzersignal
Viele digitale Signale lassen sich abstrakt beschreiben: Klicks, Suchbegriffe, Geräteinformationen, Sitzungsdaten. Standortdaten sind anders. Sie bringen digitale Aktivität in Verbindung mit Orten, Routinen und Bewegungsmustern. Sie können zeigen, welche Wege jemand nimmt, welche Orte regelmäßig besucht werden, wie Arbeit, Freizeit, Mobilität und Konsum ineinandergreifen.
Für eine Plattform ist diese Kategorie wertvoll, weil sie Kontext liefert. Für Datenschutzrecht ist sie heikel, weil sie Nähe zum realen Leben erzeugt. Der Fall gegen Google macht sichtbar, dass Standortdaten nicht nur als technischer Parameter behandelt werden können. Wer sie über mehrere Funktionen hinweg verarbeitet, braucht eine belastbare Begründung, nachvollziehbare Nutzerinformation und eine Aufbewahrungslogik, die nicht bloß aus der Produktstrategie folgt.
Die drei untersuchten Funktionen zeigen dabei unterschiedliche Ebenen derselben Frage. „Web & App Activity“ verbindet Aktivitäten mit Diensten. „Location History“ ist dem Namen nach näher am Bewegungsverlauf. „Location Accuracy“ betrifft die Genauigkeit der Standortbestimmung. Zusammen bilden sie keinen simplen Datentopf, sondern ein Set aus Einstellungen, technischen Prozessen und Nutzererwartungen. Gerade diese Verflechtung macht den Fall für Plattformunternehmen relevant.
Die sechs Monate sind der operative Teil der Entscheidung
Bußgelder bekommen die Überschrift. Compliance-Anordnungen verändern Prozesse. Die DPC hat Google nicht nur sanktioniert, sondern eine Frist gesetzt: sechs Monate, um die Verarbeitung in Einklang mit der DSGVO zu bringen. Für einen Konzern dieser Größenordnung bedeutet das nicht bloß das Umschreiben einzelner Texte.
Betroffen sein können Nutzerführung, Dokumentation, interne Nachweisführung, Aufbewahrungsregeln und die Abstimmung zwischen Produktteams. Gerade bei globalen Plattformen ist Datenschutz nicht nur eine Rechtsabteilungssache. Er hängt an Interface-Entscheidungen, an Default-Werten, an Logik in Konto-Menüs und an der Frage, wie Funktionen technisch getrennt oder verbunden sind.
Die DPC stützt ihre Entscheidung unter anderem auf Artikel 5, 6, 12 und 13 der DSGVO. Dahinter stehen Grundsätze der Verarbeitung personenbezogener Daten, Rechtmäßigkeit, transparente Information und Informationspflichten bei der Erhebung. Für Plattformen ist das unbequem, weil diese Pflichten in produktnahen Bereichen greifen. Ein Dienst kann rechtlich nicht sauber sein, wenn der Nutzerfluss und die technische Verarbeitung nicht zueinander passen.
Warum dieser Fall über Google hinausweist
Die Entscheidung richtet sich gegen Google Ireland Limited. Trotzdem sendet sie ein Signal an andere Betreiber großer digitaler Ökosysteme. Wer Standortdaten über mehrere Funktionen, Apps oder Geräteebenen hinweg nutzt, muss die Verarbeitung nicht nur intern verstehen, sondern gegenüber Aufsichten erklären können. „Accountability“ ist dabei kein dekorativer Begriff. Sie verlangt Nachweise.
Das trifft besonders Unternehmen, deren Produkte aus mehreren Schichten bestehen: Betriebssystem, Nutzerkonto, App-Dienste, Werbeinfrastruktur, Analysefunktionen. Je stärker diese Schichten gekoppelt sind, desto schwieriger wird es, dem Nutzer eine klare und vollständige Information zu geben. Genau dort entsteht regulatorisches Risiko. Nicht weil Standortdaten grundsätzlich verboten wären, sondern weil ihre Verarbeitung in Plattformumgebungen oft an vielen Stellen gleichzeitig stattfindet.
Für Verbraucherorganisationen ist der Fall eine Bestätigung ihrer Rolle. Die Untersuchung wurde nach Beschwerden mehrerer europäischer Organisationen eingeleitet. Das zeigt, wie kollektive Beschwerden in lang laufenden Verfahren Wirkung entfalten können. Zugleich bleibt der Zeitfaktor auffällig: Zwischen Einleitung der Untersuchung im Februar 2020 und finaler Entscheidung im September 2026 liegen mehr als sechs Jahre. Für digitale Produkte ist das ein langer Zeitraum. Viele Nutzeroberflächen, Einstellungsdialoge und interne Systeme können sich in dieser Zeit mehrfach ändern.
Die Verzögerung schwächt den unmittelbaren Eingriff in historische Praktiken, macht die Entscheidung aber nicht folgenlos. Sie liefert einen Maßstab für künftige Prüfungen. Und sie erinnert daran, dass große Plattformen ihre Datenarchitektur nicht nur für Wachstum, Personalisierung und Produktintegration optimieren können. Sie müssen sie auch verteidigen können, wenn eine Aufsicht Jahre später fragt, warum bestimmte Daten verarbeitet, gespeichert und so erklärt wurden.
Das Ende der bequemen Trennung
Der Fall markiert keine plötzliche Zäsur. Er zeigt eher eine stetige Verengung des Spielraums. Plattformunternehmen konnten lange davon profitieren, dass Nutzeroberfläche, technische Verarbeitung und rechtliche Dokumentation getrennte Welten bildeten. Ein Schalter hier, eine Erklärung dort, im Hintergrund komplexe Datenflüsse. Die DPC-Entscheidung macht deutlich, dass diese Trennung regulatorisch brüchig wird.
Für Google ist die Strafe hoch, aber der wichtigere Teil liegt in der Anpassungspflicht. Für andere Plattformen ist die Botschaft nüchtern: Standortdaten verlangen eine klare Architektur der Verantwortung. Wer Nutzer durch ein System aus Einstellungen führt, muss erklären können, was diese Einstellungen bewirken. Wer Daten aufbewahrt, muss begründen können, warum. Und wer Rechtmäßigkeit behauptet, muss sie belegen.
Damit wird Datenschutz zur Plattformstrategie im engsten Sinn. Nicht als Imagefrage, sondern als Betriebsvoraussetzung für Dienste, die tief in den Alltag reichen. Standortdaten machen diese Abhängigkeit besonders sichtbar. Sie sind der Punkt, an dem digitale Plattformen den Raum betreten, in dem Nutzer tatsächlich leben.
