DSGVO-Durchsetzung 2026: hohe Bußgelder und neue Verfahren

Veröffentlicht 19. Oktober 2026 · Aktualisiert 22. Oktober 2026 · Von Dazr

403 Millionen Euro gegen Google wegen Standortdaten, schnellere grenzüberschreitende Verfahren ab April 2027 und geplante DSGVO-Änderungen.

Acht Jahre nach Geltungsbeginn der DSGVO bringt die Durchsetzung weiter große Entscheidungen hervor, und die Behandlung grenzüberschreitender Fälle ändert sich bald.

Aktuelle Entscheidungen

Uber, 824,99 Millionen Euro (veröffentlicht am 8. Oktober 2026). Die niederländische Datenschutzbehörde (AP) stellte fest, dass Uber Konten von Fahrern durch vollständig automatisierte Entscheidungen deaktivierte, vorübergehend bei Betrugsverdacht oder schlechten Bewertungen und dauerhaft bei anhaltend schlechten Bewertungen, entgegen Artikel 22, und die Fahrer nicht ausreichend informierte (Artikel 13). Der Fall begann mit Beschwerden von 171 französischen Fahrern bei der CNIL und betrifft die Jahre 2018 bis 2022. Uber hat Rechtsmittel eingelegt, die Entscheidung ist also nicht rechtskräftig.
Google, 403 Millionen Euro (21. September 2026). Die irische Data Protection Commission (DPC) stellte als federführende Aufsichtsbehörde fest, dass Google bei der Verarbeitung von Standortdaten in Web- & App-Aktivitäten, Standortverlauf und Standortgenauigkeit gegen die DSGVO verstoßen hat: Rechtmäßigkeit und Fairness, Transparenz, Rechenschaftspflicht und Speicherdauer. Google muss die Verarbeitung innerhalb von sechs Monaten rechtskonform gestalten.
TikTok, 530 Millionen Euro (2. Mai 2025). Die DPC stellte fest, dass TikTok nicht nachgewiesen hatte, dass die Daten von Nutzern im EWR, auf die Beschäftigte in China aus der Ferne zugriffen, einen im Wesentlichen gleichwertigen Schutz genossen (Artikel 46 Absatz 1), und dass die Datenschutzerklärung die betroffenen Länder nicht nannte (Artikel 13 Absatz 1 Buchstabe f).

Zusammen zeigen sie: Automatisierte Entscheidungen, internationale Übermittlungen, Transparenz und eine Speicherung nur so lange wie nötig sind die Punkte, an denen hohe Bußgelder entstehen.

Schnellere grenzüberschreitende Verfahren ab 2. April 2027

Die Verordnung (EU) 2025/2518 ergänzt Verfahrensregeln für grenzüberschreitende DSGVO-Fälle. Sie wurde am 12. Dezember 2025 veröffentlicht und gilt ab dem 2. April 2027. Sie vereinheitlicht, wann eine Beschwerde zulässig ist, gibt Beschwerdeführern und Unternehmen das Recht auf Anhörung und Einsicht in vorläufige Feststellungen und setzt Fristen: grundsätzlich 15 Monate für eine Untersuchung, um 12 Monate verlängerbar bei komplexen Fällen, und ein vereinfachtes Verfahren für einfache Fälle. Die materiellen Regeln der DSGVO ändern sich nicht.

Vorgeschlagene Änderungen der DSGVO

Der Digital-Omnibus, den die Kommission im November 2025 vorgeschlagen hat, enthält Änderungen der DSGVO, etwa eine höhere Schwelle und eine längere Frist für die Meldung von Datenpannen an die Behörden sowie eine zentrale Meldestelle für Vorfälle. EDSA und EDSB unterstützten in ihrer gemeinsamen Stellungnahme vom Februar 2026 Teile davon und äußerten Bedenken zu anderen. Es sind Vorschläge: Heute gilt weiterhin die 72-Stunden-Frist für die Meldung von Datenpannen.

Was Sie prüfen sollten

Ihr Verzeichnis von Verarbeitungstätigkeiten und die Speicherfristen, besonders für Standort- und andere sensible Daten.
Übermittlungsprüfungen für jeden Zugriff von außerhalb des EWR, auch für Fernwartung und Support.
Datenschutzerklärungen, die Empfänger und Länder klar benennen.
Ein Verfahren für Datenpannen, das die 72-Stunden-Frist einhält.
Wo Software über Menschen entscheidet, etwa über die Sperrung eines Kontos: eine echte menschliche Prüfung und eine verständliche Erklärung für die Betroffenen.

Quellen

Zur Information, keine Rechtsberatung. Zuletzt aktualisiert am 22. Oktober 2026.

Themen: DSGVO, Durchsetzung, EU

Auch verfügbar auf: English, Nederlands, Italiano, Français, Español, Polski, Português, Română, Čeština, Slovenčina, Dansk, Svenska, Norsk bokmål