Frankreich verhängt Rekordstrafe gegen «Google»

Die Datenschutz-Grundverordnung der EU (DSGVO) ist seit dem 25. Mai 2018 anwendbar. Nun hat sie zum ersten Mal ihre Zähne gezeigt: Nachdem die Datenschutz-NGO «La Quadrature du Net» aus Frankreich und die NGO «None of Your Business» aus Österreich mehrere Beschwerden gegen die Datenschutzbestimmungen von «Facebook», «Google», «Instagram» und «Whatsapp» eingereicht hatten, wurde die französische Datenschutzkommission (CNIL) aktiv und verhängte gegen «Google» eine Strafe in der Höhe von 50 Millionen Euro. Das ist das bisher höchste Bussgeld in der Geschichte des europäischen Datenschutzes.

Konkret legt die CNIL «Google» zwei Übertretungen der DSGVO zur Last: Der Konzern missachte die Pflicht, seine Nutzerinnen und Nutzer transparent über die Nutzung der gesammelten Daten zu informieren. Ausserdem könne «Google» keine gültige Einwilligung der Nutzerinnen und Nutzer für die Verarbeitung der Daten für Werbezwecke vorweisen.

Die Nachrichtenagentur AFP meldet, dass «Google» den Entscheid der CNIL rechtlich anfechtet. Laut AFP muss jetzt Frankreichs oberstes Verwaltungsgericht, der Staatsrat in Paris, über die Rechtmässigkeit der Millionenstrafe entscheiden.

Im Übrigen kam der Entscheid der CNIL gerade noch zur rechten Zeit: «Google» hat bereits auf die neue europäische Datenschutzverordnung reagiert und hat das Geschäft mit den Daten nach Irland ausgelagert. Dorthin, wo die ansässige Datenschutzbehörde nach wie vor für ihr sanftes Vorgehen bekannt ist.

«Google informiert ungenügend»
Gemäss den französischen Datenschützern verstösst die Art und Weise, wie «Google» über die Nutzung von personenbezogenen Daten informiert, gegen die DSGVO. Demnach sind die Informationen nur schwer zugänglich und teilweise sogar unklar. So seien wesentliche Informationen zu versteckt aufgeführt und auf mehrere Dokumente verteilt – die Nutzerinnen und Nutzer müssen auf mehrere Buttons klicken und verschiedenen Links folgen, um an die Informationen zu gelangen. Auch der Zweck der Datenerhebung sei zu vage und allgemein formuliert.

Dann werfen die Datenschützer «Google» vor, keine geltende Einwilligung der Nutzerinnen und Nutzer für den Gebrauch ihrer Daten zu Werbezwecken vorweisen zu können. Weil wichtige Informationen fehlen würden, könnten die Userinnen und User nicht einschätzen, welche «Google»-Dienste und welche zusätzlichen Webseiten in die Auswertung der persönlichen Daten involviert seien. Weiter könne bei der Nutzung von «Google» die Datensammlung nicht komplett ausgeschaltet werden. Auch die Einstellungen zur Anzeige von personalisierter Werbung seien zu versteckt.

Bei «Google» fehlt die Einsicht
Die DSGVO ist seit Ende Mai 2018 in Kraft. Seither können Konzerne, welche die Datenschutzrichtlinien übertreten, mit Bussgeldern in der Höhe von bis zu vier Prozent des weltweiten Umsatzes bestraft werden. Zum Vergleich beschreibt «netzpolitik.org» die Situation, wie sie vor der DSGVO war: In Frankreich durften die Bussengelder nicht mehr als 150’000 Euro betragen, in Deutschland nicht mehr als 300’000 Euro. So erstaunt es nicht, dass die gegen «Google» verhängte Strafe von 50 Millionen Euro mit Abstand als das bisher höchste Bussgeld in der Geschichte des europäischen Datenschutzes gilt.

Gemäss «Netzpolitik.org» rechtfertigten die französischen Datenschützer die Höhe der Strafe nicht nur mit der Marktdominanz von «Google», sondern auch mit der «fehlenden Einsicht des Konzerns». Die Verstösse seien ständige Verletzungen der europäischen Verordnung, die noch immer zu beobachten seien. Es handle sich dabei nicht um eine einmalige «zeitlich begrenzte Verletzung».

«Google» will sich schon wieder drücken
Über die Beschwerden gegen «Google» entschied die CNIL Ende Januar 2019. Damit reagierte sie gerade noch rechtzeitig: Im Dezember 2018 hatte «Google» bekanntgegeben, das für die Verarbeitung der Daten von EU-Bürgern ab dem 22. Januar nicht mehr die US-Hauptfirma zuständig sei, sondern das irische Tochterunternehmen. Problematisch ist das, weil die irische Datenschutzbehörde, die seitdem für «Google» federführend zuständig ist, seit Jahren für ihre laschen Entscheidungen bekannt ist.

Seitdem die DSGVO eingesetzt ist, können sich Bürgerinnen und Bürger in jedem Land an eine Datenschutzbehörde wenden. Allerdings bleibt dabei die Datenschutzbehörde aus demjenigen Land federführend, in dem das betreffende Unternehmen seinen Hauptsitz hat. Zwar haben die anderen Datenschutzbehörden ein Mitspracherecht: Allerdings kann viel Zeit verstreichen, bevor im neu eingesetzten Europäischen Datenschutzausschuss Einigungen erzielt werden. Dabei besteht auch die Gefahr von Verwässerungen der Sanktionen. Deshalb nahm Frankreich die Sache in die eigene Hand.

Auch wenn «Google» die 50 Millionen Euro nach einem rechtskräftigen Entscheid noch immer aus der Portokasse zahlen könnte, hoffen europäische Datenschützer, dass die ausgesprochene Strafe nur der Startschuss zu einer ganzen Reihe von Klagen gegen grosse Internet-Konzerne ist.
——
Weitere Infosperber-Artikel zur Thematik: