Google muss EUR 50 Millionen zahlen

Französische Datenschutzbehörde verhängt erste hohe Geldstrafe auf Grundlage der DSGVO

Im Mai 2018, unmittelbar nach Inkrafttreten der Datenschutzgrundverordnung (DSGVO), erhob der von Max Schrems gegründete Datenschutzverein noyb gemeinsam mit einem französischen Datenschutzverein eine Beschwerde bei der französischen Datenschutzaufsichtsbehörde CNIL gegen Google. Beanstandet wurden Verstöße gegen die Transparenzpflicht, unzureichende Information und fehlende Einwilligungen.

Geldbuße in der Höhe von EUR 50 Millionen verhängt

Nun hat die CNIL eine Geldbuße gegen Google in der Höhe von EUR 50 Millionen verhängt. Nach Angaben von noyb ist die Strafe von € 50 Millionen die höchste Strafe für Datenschutzverletzungen die jemals in Europa ausgesprochen wurde. Nach der DSGVO wären jedoch im Fall von Google bis zu € 3,7 Milliarden möglich gewesen. Bei bestimmten besonders schwerwiegenden Verstößen (z.B. Verletzung der Betroffenenrechte) können Geldbußen von bis zu EUR 20 Mio oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres verhängt werden, je nachdem, welcher Betrag höher ist).

Google hat angekündigt, gegen die Entscheidung der französischen Datenschutzbehörde CNIL zu berufen.

Worum geht es genau?

Informationen sind wage und unübersichtlich

Die Datenschutzhinweise von Google sind nach Ansicht der CNIL nicht "leicht zugänglich, wie dies die DSGVO verlangt. Die Angaben über die Bearbeitungszwecke, die Speicherdauer oder die Kategorien der bearbeiteten Daten seien auf mehrere verlinkte Dokumente verteilt. Teilweise müssten Nutzerinnen und Nutzer fünf oder sechs Klicks unternehmen, ehe sie eine Übersicht der Informationen des jeweiligen Dienstes erhalten. Außerdem seien diese - gemessen an der großen Anzahl der Datenverarbeitungen, die Google durchführt - zu wage und allgemein gehalten. Die intransparente Informationsstruktur verschaffe den Nutzerinnen und Nutzer kein klares Bild über ihre Rechtsposition. Vor allem wüssten sie nicht, auf welcher Rechtsgrundlage ihre Daten verarbeitet werden bzw. welche Datenverarbeitung nur mit Einwilligung durchgeführt werden darf.

Keine freiwillige Zustimmung

Auch die von Google bereitgestellte Einwilligung in die Datenverarbeitung zur Personalisierung von Werbung erfüllt nach Ansicht der CNIL nicht die Anforderungen der DSGVO. Nach der DSGVO muss die Einwilligung freiwillig erfolgen. Sie darf daher nicht von der Zustimmung zur Verarbeitung personenbezogener Daten abhängig sein, die für die Erfüllung des Vertrages nicht notwendig sind. Außerdem muss die Einwilligung bestimmt sein. Dh sie muss separat nach dem jeweiligen Verarbeitungszweck eingeholt werden.
Im Fall von Google muss, bevor das Konto angelegt werden kann, der/die Nutzer/in durch Setzen von Häkchen den Allgemeinen Geschäftsbedingungen sowie sämtlichen Datenverarbeitungen unter weiterem Verweis auf Datenschutzerklärung zustimmen. Damit liegt aber nach Rechtsansicht der CNIL keine freiwillige Einwilligung vor und wird auch die Verpflichtung der DSGVO, für jeden Verarbeitungszweck getrennte Einwilligungen einzuholen, verletzt. Weiters könne der/die Nutzer/in bei der Zustimmung zur Anzeige personalisierter Werbung zwar auf „mehr Optionen" klicken, sei dann aber mit vorangekreuzten Kästchen konfrontiert. Beides widerspreche einer freiwilligen Einwilligung.

Weitere Verfahren

Noyb hat im Mai 2018 nicht nur gegen Google, sondern auch gegen Facebook, WhatsApp und Instagram Beschwerden eingebracht. Es bleibt also abzuwarten, ob mit ähnlichen Entscheidungen zu rechnen ist.
Wir werden berichten.