50 Mio. Euro DSGVO-Bußgeld gegen Google

Französisches Verwaltungsgericht bestätigt Geldbuße gegen Internetriesen

Ein Beitrag von Rechtsanwalt Thomas Repka

Der Internetkonzern Google muss in Frankreich ein Bußgeld in Höhe von 50 Mio. Euro wegen Datenschutzverstößen zahlen. Dies bestätigte das oberste französische Verwaltungsgericht (Conseil d'Etat). Konkret wurden Google undurchsichtige Privatsphäre-Einstellungen und personalisierte Werbung ohne Rechtsgrundlage vorgeworfen. Das Bußgeld stellt in dieser Höhe das bislang höchste Datenschutz-Bußgeld unter Geltung der Datenschutzgrundverordnung (DSGVO) dar.

Vorgeschichte

Die französische Datenschutzbehörde CNIL verhängte Anfang 2019 ihr erstes DSGVO Bußgeld gegen Google. Sanktioniert wurden damit ein aus Sicht der französischen Datenschutzbehörde rechtswidriger Einrichtungsprozess auf dem Smartphone-Betriebssystem Android. Mangels Transparenz von Datenschutzinformationen seien die Anforderungen des europäischen Datenschutzrechts nicht eingehalten. So sei beispielsweise für den Nutzer kaum nachvollziehbar, wie lange Google die personenbezogenen Daten des Nutzers speichert und wie diese weiterverarbeitet werden. Zudem wurde auch die Art der Zustimmung des Nutzers im Rahmen der Erstellung eines Google-Accounts bemängelt. Schließlich sah die Datenschutzbehörde auch in der Nutzung der Daten für personalisierte Werbung einen Rechtsverstoß gegen die DSGVO, weil individuelle Einstellungen für den Nutzer nur schwer erreichbar waren. All diese Verstöße führten zu einem Rekord-Bußgeld von 50 Mio. Euro.

Bußgeld war rechtmäßig

Erwartungsgemäß wehrte sich Google gegen diesen Bescheid und scheiterte mit der Berufung nun aber auch vor dem obersten französischen Verwaltungsgericht. Aus Sicht der Richter war das verhängte Bußgeld weitgehend rechtmäßig. Das Gericht bewertete das Vorgehen der Datenschutzbehörde unter Anwendung der datenschutzrechtlichen Grundsätze Transparenz, Information der Nutzer und die Notwendigkeit einer wirksamen Zustimmung für personalisierte Werbung als rechtmäßig und bestätigte das Bußgeld.

Die Tücken des One-Stop-Shop-Prinzips

Google wehrte sich insbesondere mit dem Argument, dass die französische Datenschutzbehörde gar nicht zuständig sei, da der Hauptsitz von Google für den europäischen Raum in Irland seinen Sitz habe. Dem erteilten die Richter eine Absage. Sie stellten darauf ab, dass die Datenschutzverstöße nicht von der europäischen Google-Tochter, sondern von der in den USA ansässigen Hauptfirma Google LLC begangen wurden. Damit findet das in der Datenschutzgrundverordnung verankerte sog. „One-Stop-Shop-Prinzip“ keine Anwendung. Dieses besagt, dass die Datenschutzbehörde am jeweiligen Sitz des Unternehmens allein zuständig ist. Geltung hat diese Regelung aber nur für in der EU ansässige Unternehmen. Im konkreten Fall durfte die französische Behörde also einschreiten.

Potentielle Höchststrafe: 3,7 Mrd. Euro

Nach Ansicht von Internetaktivisten wie Max Schrems kommt Google mit dem Bußgeld noch glimpflich davon. In der Tat sieht die DSGVO vor, dass je nach Art des Verstoßes Geldbußen bis zu 10 Mio. Euro (oder 2 % des weltweiten Vorjahresumsatzes des gesamten Unternehmens) bzw. 20 Mio. Euro (oder 4 % des weltweiten Vorjahresumsatzes des gesamten Unternehmens) verhängt werden können. Daraus hätte sich im Fall von Google durchaus eine potentielle Höchststrafe von 3,7 Mrd. Euro ergeben können. Gleichwohl zeigt die Entscheidung, dass die Aufsichtsbehörden ihre anfängliche Zurückhaltung bei der Bemessung von DSGVO-Bußgeldern ablegen und inzwischen auch bereit sind, auch beträchtliche Geldbußen festzusetzen.