Diese Woche wurde aufgrund eines Verstoßes gegen die DSGVO das erste größere Bußgeld mit einer gewissen Signalwirkung verhängt. Die nationale französische Aufsichtsbehörde Commission Nationale de l’Informatique et des Liberté (CNIL) hat gegenüber Google ein Bußgeld von 50 Millionen Euro erlassen. Damit wurde zum ersten Mal aufgrund der DSGVO eine Strafe gegen einen multinationalen Großkonzern (der hauptgeschäftlich Daten zu Werbezwecken verarbeitet) ausgesprochen.

Welche Verstöße wurden geahndet?

Die österreichische Non-Profit-Organisation noyb und eine Gruppe von französischen Bürgerrechtsaktivisten hatten kurz nach der „Scharfschaltung“ der DSGVO am 25.05.2018 Beschwerde bei der französischen Aufsichtsbehörde CNIL gegen Google eingelegt.

Die Behörde hat daraufhin festgestellt, dass Google gegen wesentliche Grundsätze der DSGVO verstößt, nämlich gegen die Transparenz, die Informationspflicht und das Zustimmungsbedürfnis.

Konkret wird Google vorgeworfen, dass gegen wesentliche Informationspflichten verstoßen wird, da Informationen zur Datenspeicherung und Verarbeitungszwecken nur über mehrere Links und Schaltflächen bzw. verschiedene Dokumente zu erreichen und damit intransparent für die Nutzer sind. Außerdem sei das Ausmaß der Datenverarbeitung für die Nutzer nur schwer nachzuvollziehen, da die Informationen nicht klar und verständlich formuliert sind. Bei den vielen Diensten, die Google betreibt, ist zudem nicht ersichtlich, welcher Dienst, welche Daten verarbeitet.

Die andere Kritik der CNIL betrifft die Zustimmung der Nutzer zur Anzeige von personalisierter Werbung. Die Aufsichtsbehörde bemängelte hier, dass bei der Zustimmung im Rahmen der Anmeldung zum Google-Account keine transparente Information darüber erfolgt, für welche Google-Dienste und zu welchen Zwecken die Zustimmung genau erfolgt. In Folge der vielen Google-Dienste ist auch hier wieder eine Intransparenz gegeben.

Zudem hat die Behörde betont, dass die Höhe der Strafe mit der Schwere des Verstoßes zusammenhängt. Es wurde hier gegen Grundprinzipien der DSGVO verstoßen. Außerdem waren die Verstöße nicht nur einmalig oder von kurzer Dauer, sondern wurden bis zur Aussprache des Bußgeldes über einen langen Zeitraum aufrecht erhalten.

Welches Signal geht von dieser Entscheidung aus?

Zunächst ist nun davon auszugehen, dass die Aufsichtsbehörden nach einer gewissen Findungsphase nun dazu übergehen Ernst zu machen hinsichtlich Kontrollen, Verstößen und Bußgeldern. Dies lässt sich bezüglich der deutschen Aufsichtsbehörden auch aus einem Interview mit dem baden-württembergischen Landesbeauftragten für Datenschutz Stefan Brink herauslesen: www.spiegel.de/netzwelt/netzpolitik/dsgvo-strafen-fehler-werden-jetzt-teuer-a-1249443.html.

Außerdem ist durch dieses Bußgeld noch einmal darauf hinzuweisen, wie wichtig die Erfüllung der Informationspflichten und die Transparenz bei der Verarbeitung gegenüber den Betroffenen sind. Es sollte zu jeder Zeit klar sein, welche Daten für welche Zwecke verarbeitet werden. Google hat es sich dahingehend mit einer Privacy Policy für alle angebotenen Dienste von YouTube bis zur namensgebenden Suchmaschine relativ einfach gemacht, was dem Konzern nun auf die Füße fällt.

Klare Informationen in den Datenschutzhinweisen können solche Probleme verhindern.

Letztendlich legte Google bereits mit dem Hinweis, dass man hart an einem Zustimmungsverfahren für personalisierte Werbung gearbeitet habe, Widerspruch gegen die Entscheidung der CNIL ein. Die nächste Runde ist also bereits eingeleitet und wird nun vor dem obersten französischen Verwaltungsgericht ausgefochten. Hierbei wird es dem Konzern wahrscheinlich eher nicht um die Höhe der Geldbuße gehen, sondern mehr um die Erhaltung des Geschäftsmodells.

Übrigens hat Google diese Woche ebenfalls seine europäische Hauptniederlassung in Irland eröffnet, damit zukünftig für alle grenzüberschreitenden Datenschutzverfahren die irische Datenschutzbehörde zuständig ist.