Der Entscheidung liegen die Beschwerden zweier Verbände vom 25. bzw. 28.5.2018 zu Grunde. Die Verbände „None of Your Business (NOYB) und „La Quadrature du Net (LQDN) machten zwei Arten von Verstößen gegen die DSGVO geltend. Die Vorwürfe richteten sich gegen die Einrichtung eines Google-Accounts auf einem Android-Smartphone.
© ThinkstockDie CNIL bemängelt, dass Google zum einen seine Transparenz- und Informationspflichten verletzt habe, indem die von Google bereitgestellten Informationen für die Nutzer nicht leicht zugänglich waren. Konkret seien „Wesentliche Informationen“, etwa zu Datenverarbeitungszwecken und zur Dauer von Datenspeicherungen, über mehrere Dokumente verteilt worden. Dazu müssten die Nutzer auf Schaltflächen und Links klicken, um ergänzende Informationen zu erhalten. Letztlich wären fünf bis sechs Aktionen erforderlich gewesen, um die Informationen zu erhalten.
Zum anderen kritisiert die CNIL, dass einige der Informationen unklar formuliert seien. Die Nutzer seien nicht in der Lage, das Ausmaß der Verarbeitungsvorgänge von Google vollständig zu verstehen. Deshalb fehle Google eine gültige Zustimmung der Nutzer und damit eine Rechtsgrundlage, ihnen personalisierte Anzeigen auszuspielen. Den Nutzern seien keine Informationen ersichtlich, wie viele Google-Dienste von der erteilten Zustimmung zur Verarbeitung von Daten für die Personalisierung von Anzeigen betroffen sind. Sie seien nicht ausreichend darüber informiert gewesen, wie viele Google-Dienste ihre Zustimmung betrifft. Deshalb sei die Zustimmung der Nutzer, die bei der Anmeldung eines Google-Accounts eingeholt wird, weder spezifisch noch eindeutig. Dies veranlasste die CNIL dazu, die von Google eingeholte Zustimmung zur Anzeige personalisierter Werbung für unwirksam zu erklären.
Nach der DSGVO können gegen Unternehmen Strafen von bis zu vier Prozent des weltweiten (Konzern-)Jahresumsatzes des vorangegangenen Geschäftsjahres verhängt werden. Im konkreten Fall wurde die Strafe von 50 Millionen Euro mit der Schwere des Verstoßes gegen wesentliche Grundsätze der DSGVO, insbesondere Transparenz, Information und Zustimmung, begründet. Überdies handele es sich um keine einmaligen, zeitlich begrenzten Verstöße. Der Konzern kündigte an, Berufung einzulegen.
Hinweis
Es ist die erste Strafzahlung in dieser Höhe, die von einer europäischen Datenschutzbehörde verhängt worden ist. In Deutschland wurden bisher von den Datenschutzbehörden der Länder nur Strafzahlungen im fünfstelligen Bereich verhängt. Es ist zu befürchten, dass der Druck auf die deutschen Behörden steigt, bei ihren Ermessensentscheidungen die Tragweite der Verstöße und die Bedeutung der Unternehmen hinreichend zu würdigen.
Die Entscheidung macht deutlich, dass die Informationspflichten gerade im Zusammenhang mit Einwilligungen in besonderem Maße ernstgenommen werden sollten. Insbesondere Unternehmen, die ähnlich wie Google viele personenbezogene Daten verarbeiten, oder ihre Geschäftsmodelle auf der personalisierten werblichen Ansprache aufbauen und eine entsprechende Marktrelevanz innehaben, sollten ihre Prozesse vor dem Hintergrund der von der CNIL formulierten Kriterien überprüfen. Dies gilt auch für Unternehmen, deren Geschäftsmodell nicht schwerpunktmäßig in der Datenverarbeitung liegt. Denn vermutlich werden andere europäische Datenschutzbehörden die Aufarbeitung durch die CNIL zum Anlass nehmen, eigene Prüfungen vorzunehmen. Hierbei sollte beachtet werden, dass die Behörden eine Überprüfung auch ohne vorherige Beschwerde von Amts wegen veranlassen können.
