Google-Standortdaten: Was die DPC-Strafe für Marketingteams bedeutet
Die irische Datenschutzaufsicht Data Protection Commission (DPC) hat gegen Google Geldbußen von insgesamt 403 Millionen Euro verhängt. Im Zentrum steht die Verarbeitung von Standortdaten in drei Google-Funktionen zwischen Mai 2018 und Februar 2020. Für Marketingteams ist die Entscheidung vor allem ein deutliches Signal: Standortdaten können Werbung und Interessenprofile verbessern, verlangen aber eine nachvollziehbare Rechtsgrundlage, transparente Informationen und klar begrenzte Speicherfristen.
Inhaltsverzeichnis
Was die DPC über Googles Standortdaten entschieden hat
Die DPC veröffentlichte ihre Entscheidung am 21. September 2026 nach einer Untersuchung gegen Google Ireland Limited. Auslöser waren Beschwerden mehrerer europäischer Verbraucherorganisationen. Geprüft wurde die Verarbeitung von Standortdaten in den Funktionen Web & App Activity, Location History und Location Accuracy im Zeitraum vom 25. Mai 2018 bis zum 4. Februar 2020.
Nach Angaben der Behörde verstieß Google bei Web & App Activity und Location History gegen Anforderungen an Rechtmäßigkeit und Fairness. Zusätzlich beanstandete die DPC Transparenzmängel bei allen drei Funktionen, unzureichende Nachweise zur Einhaltung datenschutzrechtlicher Grundsätze bei Location Accuracy sowie die Speicherung von Standortdaten bei Web & App Activity und Location History.
Die Behörde verhängte deshalb Geldbußen von insgesamt 403 Millionen Euro und ordnete an, die beanstandete Verarbeitung innerhalb von sechs Monaten in Einklang mit den Vorgaben zu bringen. Die vollständige Entscheidung will die DPC zu einem späteren Zeitpunkt veröffentlichen. Daraus folgt: Die Pressemitteilung liefert eine klare Zusammenfassung, aber noch nicht sämtliche rechtlichen und technischen Einzelheiten.
Welche Funktionen von der Entscheidung betroffen sind
Web & App Activity ist eine Einstellung für Google-Konten. Ist sie aktiviert, kann Google Informationen zur Nutzung eigener Dienste verarbeiten. Dazu können unter anderem Suchverlauf, Browserverlauf und Standortdaten gehören. Location History zeichnet bei aktivierter Funktion Orte, Aktivitäten und Wege auf und stellt sie in der privaten Zeitachse von Google Maps dar.
Location Accuracy betrifft dagegen Android-Geräte und verbessert die Standortbestimmung über das reine GPS-Signal hinaus. Diese Funktion kann laut DPC auch von Personen genutzt werden, die kein Google-Konto besitzen. Die drei Funktionen unterscheiden sich damit technisch und in ihrer Nutzung. Gemeinsam ist ihnen, dass Standortinformationen besonders aussagekräftig sein können.
Warum die Entwicklung für Unternehmen relevant ist
Die DPC weist ausdrücklich darauf hin, dass Standortdaten dazu verwendet werden können, Werbung zu beeinflussen oder Interessen abzuleiten. Das bedeutet allerdings nicht, dass die Behörde eine konkrete Änderung an Google Ads angekündigt hat. Marketingverantwortliche sollten die Entscheidung daher nicht als unmittelbare Produktmeldung lesen, sondern als regulatorischen Maßstab für den Umgang mit detaillierten Verhaltens- und Standortsignalen.
Für Unternehmen wird besonders wichtig, ob sie selbst Standortdaten erheben, Zielgruppen nach Orten bilden oder entsprechende Signale über Analyse-, Werbe- und App-Systeme weitergeben. Dabei zählt nicht nur, ob ein Consent-Banner vorhanden ist. Entscheidend ist die gesamte Verarbeitungskette: Welche Daten entstehen, für welchen Zweck werden sie verwendet, wer erhält sie und wann werden sie gelöscht?
Wer Messung und Kampagnensteuerung systematisch aufsetzen möchte, sollte Datenschutzfragen direkt mit der technischen Architektur verbinden. Das gilt etwa für die Einrichtung einer belastbaren Web-Analytics-Lösung ebenso wie für die Konfiguration von Einwilligungen im Google Tag Manager und Consent-Banner.
Was Marketingteams jetzt konkret prüfen sollten
1. Standortdaten im eigenen Dateninventar sichtbar machen
Erfassen Sie, welche Websites, Apps, CRM-Prozesse, Analysewerkzeuge und Werbeplattformen Standortinformationen verarbeiten. Unterscheiden Sie präzise zwischen groben Regionen, IP-basierten Ableitungen, GPS-Daten, Filialbesuchen und von Plattformen gebildeten Interessen. Nur ein konkretes Dateninventar zeigt, wo besondere Risiken oder unnötige Datensammlungen liegen.
2. Zweck, Rechtsgrundlage und Transparenz gemeinsam prüfen
Vergleichen Sie die tatsächliche technische Verarbeitung mit Datenschutzhinweisen, Einwilligungstexten und internen Verzeichnissen. Ein Zweck wie „Marketing“ ist häufig zu allgemein, wenn Standortdaten für verschiedene Analysen, Personalisierungen oder Zielgruppen verwendet werden. Die Information für Nutzer sollte verständlich erklären, welche Daten zu welchem Zweck genutzt werden und welche Beteiligten Zugriff erhalten.
3. Speicherfristen technisch durchsetzen
Definieren Sie nicht nur Löschfristen auf dem Papier. Prüfen Sie auch Einstellungen in Analyse-, Werbe- und Datenplattformen sowie Exporte in Data Warehouses oder CRM-Systeme. Wo historische Standortdaten keinen nachweisbaren Nutzen mehr haben, sollten Unternehmen die Aufbewahrung verkürzen oder die Daten löschen. Regelmäßige Kontrollen verhindern, dass einmal eingerichtete Systeme dauerhaft weiter sammeln.
4. Kampagnen und Zielgruppen auf Abhängigkeiten testen
Dokumentieren Sie, welche Kampagnen Standortsignale für Aussteuerung, Ausschlüsse oder Erfolgsmessung verwenden. Prüfen Sie anschließend, ob weniger genaue Daten denselben Geschäftszweck erfüllen. Auch bei SEA-Kampagnen mit klarer Mess- und Budgetlogik sollte die Datenmenge auf das erforderliche Maß begrenzt bleiben.
5. Verantwortlichkeiten zwischen Marketing, Datenschutz und IT klären
Marketing kennt die Kampagnenziele, IT die technische Datenübertragung und Datenschutz die rechtlichen Anforderungen. Legen Sie deshalb fest, wer neue Tags und Zielgruppen freigibt, wer Speicherfristen kontrolliert und wer Änderungen von Plattformanbietern bewertet. Ein wiederkehrender Review ist sinnvoller als eine einmalige Dokumentation beim Start eines Tools.
Was die Entscheidung nicht bedeutet
Aus der Mitteilung der DPC lässt sich weder ein allgemeines Verbot standortbezogener Werbung noch eine sofortige Abschaltung bestimmter Google-Funktionen ableiten. Die Untersuchung bezieht sich auf einen historischen Zeitraum und konkrete Verarbeitungen. Ebenso liegen noch nicht alle Einzelheiten der vollständigen Entscheidung vor. Unternehmen sollten deshalb bestehende Prozesse sachlich prüfen, ohne aus der Geldbuße vorschnell allgemeine Produktfolgen abzuleiten.
FAQ zur DPC-Strafe gegen Google
Wie hoch ist das Bußgeld?
Die DPC nennt administrative Geldbußen von insgesamt 403 Millionen Euro.
Welche Google-Funktionen wurden untersucht?
Gegenstand waren Web & App Activity, Location History und Location Accuracy. Der untersuchte Zeitraum reicht vom 25. Mai 2018 bis zum 4. Februar 2020.
Welche Frist hat Google erhalten?
Google soll die beanstandete Verarbeitung innerhalb von sechs Monaten in Einklang mit den Vorgaben bringen.
Müssen Werbetreibende ihre Google-Ads-Kampagnen sofort ändern?
Die DPC-Mitteilung kündigt keine konkrete Änderung an Google Ads an. Sinnvoll ist dennoch, standortbezogene Zielgruppen, Datenflüsse, Transparenztexte und Speicherfristen zu überprüfen.
Quelle und Einordnung
Grundlage dieser Einordnung ist die Mitteilung der irischen Data Protection Commission vom 21. September 2026. Die Behörde will die vollständige Entscheidung noch veröffentlichen. Konkrete Folgen für einzelne Produkte oder Kampagnen sollten daher erst anhand weiterer offizieller Informationen bewertet werden.
Haben Sie Fragen?
Wenn Sie Fragen zu diesem Thema haben oder Unterstützung für Ihr Online Marketing suchen, schreiben Sie uns gerne.
