Wegen eines Verstoßes gegen die Datenschutzgrundverordnung (DS-GVO) hat die französische Datenschutzbehörde Commission Nationale de l’Informatique et des Libertés (CNIL) am 21.01.2019 gegen Google ein Bußgeld in Höhe von 50.000.000,- Euro verhängt. Dies stellt die bislang höchste Geldbuße wegen einer Ordnungswidrigkeit nach der DS-GVO dar.

Das erste öffentlich bekanntgewordene und bis dato höchste Bußgeld in Deutschland wurde wegen eines Verstoßes gegen die Datensicherheit vom Landesbeauftragen für Datenschutz und Informationsfreiheit Baden-Württemberg in Höhe von 20.000,- Euro gegen Knuddels.de verhängt.

1. Wogegen hatte Google verstoßen?

Die Datenschutzbehörde war Beschwerden der österreichischen Organisation „None of Your Business“ und der französischen Internetaktivisten „La Quadrature du Net“ nachgegangen.

Nach den anschließenden Feststellungen der CNIL habe Google die Nutzer zu vage über die Zwecke der Datenverarbeitung, die Datenverwendung sowie die Aufbewahrungsfristen bei personalisierter Werbung informiert. Es sei nicht möglich, der Nutzung von personenbezogen Daten zu Werbezwecken generell zu widersprechen. Google könne zudem nicht ausreichend wirksame Einwilligungen in diese Nutzung der Betroffenen nachweisen.

Schließlich seien bei Google die Informationen über zu viele Dokumente verteilt und daher nicht ausreichend transparent.

Maßgeblich sind vorliegend im Rahmen der Verstöße vor allem die Art. 13 DS-GVO zur Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person und Art. 14 DS-GVO zu den Informationspflichten, wenn personenbezogene Daten nicht bei der betroffenen Person erhoben wurden. Kritische Stimmen bemängeln, dass die Vorschriften zum Umfang und den Einzelheiten der Informationspflichten nicht inhaltlich hinreichend bestimmt sind.

2. Weiteres Vorgehen des Unternehmens

Auch wenn das Bußgeld erheblich ist, für Google dürfte es ohne Weiteres zahlbar sein. Das Unternehmen prüft derzeit den Fall und hat zum weiteren Vorgehen gegen das Bußgeld noch nicht entschieden. Es ist davon auszugehen, dass sich Google wehren wird. Die dann zu erwartende gerichtliche Entscheidung dürfte Klärung einiger spannender Fragen bringen, die der Fall aufgeworfen hat.ortant;}”]So sind nach Art. 55 DS-GVO zunächst die Aufsichtsbehörden im Hoheitsgebiet ihres eigenen Mitgliedstaats zuständig. Bei grenzüberschreitenden Datenverarbeitungen ist nach Art. 56 DS-GVO die Aufsichtsbehörde des EU-Mitgliedsstaats federführend zuständig, in dem das Unternehmen seine Hauptniederlassung hat. Diese hat Google innerhalb der EU in Irland. Gleichwohl wurde das Bußgeld von der französischen Datenschutzbehörde ausgesprochen. Zu einer Abstimmung zwischen der französischen und der irischen Behörde liegen derzeit keine ausreichenden Informationen vor. Fraglich ist auch, inwieweit die Niederlassung von Google in Irland überhaupt eine Entscheidungsbefugnis im Rahmen der Datenverarbeitung hat, da die wesentlichen Vorgaben aus der Hauptsitz von Google aus den USA kommen und wie dieser Umstand zum Tragen kommen wird.

Interessant ist auch, ob ein Gericht die Höhe des Bußgeldes noch als angemessen sieht. Art. 83 DS-GVO sieht zwar Bußgelder von bis zu 20.000.000,- Euro oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nach dem welcher Betrag höher ist, vor. Gleichwohl übersteigt das von der französischen Datenschutzbehörde alles bisher Ausgesprochene bei Verstößen gegen die DS-GVO um ein Vielfaches.

Es wird sich zeigen, ob das gegen Google verhängte Bußgeld für die Datenschutzbehörden in den einzelnen Ländern der EU richtungsweisend ist und diese sich künftig entsprechend positionieren.

3. Fazit und Empfehlungen

Die Vorgaben der Datenschutz-Grundverordnung müssen zum 25.05.2018 erfüllt sein. Jedes Unternehmen, das mit personenbezogenen Daten von Kunden, Geschäftspartnern und Mitarbeitern arbeitet, sollte daher dringend entsprechend handeln und die weitreichenden Regelungen zur Datenschutz-Grundverordnung und dem neuen Bundesdatenschutzgesetz implementieren.

Sie benötigen eine individuelle Beratung? Stellen Sie hier Ihre Anfrage – wir nehmen mit Ihnen Kontakt auf.

Wir führen für Sie als Vermieter und Hausverwalter eine Ist-Analyse und Soll-Beschreibung Ihrer Datenschutzsituation durch, Erstellen die erforderlichen Verfahrensverzeichnisse und unterstützen Sie als Datenschutzbeauftragter.

Autor: GROSS Rechtsanwaltsgesellschaft mbH

Bildnachweis: Pixabay