Google muss Rekordstrafe wegen Datenschutzverstößen in Europa zahlen

Es ist eine Strafe mit Signalwirkung: Google muss wegen mehrerer Verstöße gegen die Datenschutz-Grundverordnung (DSGVO) 50 Millionen Euro zahlen. Das hat die französische Behörde CNIL am Montag entschieden. Der Internetkonzern verstoße gegen das Prinzip der Transparenz und hole keine gültige Zustimmung für die Datenverarbeitung ein.

Es handelt sich um das bisher höchste bekannte Bußgeld, seit das Regelwerk Ende Mai 2018 Geltung erlangt hat. Die Höhe wie auch die öffentliche Bekanntmachung seien der „Schwere der Verstöße“ gegen essenzielle Prinzipien der DSGVO geschuldet, betonte die Behörde in einer Mitteilung.

Ob Google gegen die Entscheidung in Berufung geht, ist unklar. „Nutzer erwarten von uns ein hohes Maß an Transparenz und Kontrolle“, erklärte das Unternehmen gegenüber dem Handelsblatt. „Wir sind fest entschlossen, diese Erwartungen und die Zustimmungserfordernisse der DSGVO zu erfüllen. Wir prüfen die Entscheidung, um unsere nächsten Schritte festzulegen.“

Keine gültige Einwilligung

Die CNIL hat zwei Verstöße festgestellt. Erstens moniert sie mangelnde Transparenz: Die Informationen, die Google den Nutzern zur Verfügung stellt, sind aus Sicht der Behörde nicht einfach auffindbar. So seien Angaben wie die Zwecke der Datenverarbeitung über mehrere Dokumente verteilt – die Behörde beurteilt das als „übermäßig“.

Zudem seien einige Informationen nicht klar und ausführlich genug, moniert die CNIL: „Nutzer sind nicht in der Lage, das Ausmaß der Datenverarbeitung durch Google voll zu verstehen.“ So sei die Beschreibung zu allgemein und ungenau. Das wiege besonders schwer, da das Unternehmen besonders umfangreich Daten sammle.

Die DSGVO verpflichtet Unternehmen, Informationen zur Verarbeitung personenbezogener Daten „in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln“. Zudem haben Nutzer das Recht, Daten zu verändern und zu löschen.

Zweitens hält die CNIL die Einwilligung, die Google von den Nutzern einholt, für ungültig. Der Konzern informiere beispielsweise nicht ausreichend über seine Absichten – so werde im Abschnitt über personalisierte Werbung nicht klar, wie viele Dienste der Konzern anbiete, von der Suche über Youtube bis zum Play Store.

Bei der Anmeldung ist es zwar möglich, die Einstellungen zu modifizieren, wie die Behörde schreibt. Trotzdem werde die DSGVO nicht eingehalten: Das Ausspielen personalisierter Anzeigen sei nämlich voreingestellt – damit gebe der Nutzer keine unmissverständliche Zustimmung, wie es die Verordnung vorschreibe.

Die französische Behörde schreibt dem Verhalten von Google eine besondere Bedeutung zu. Der Konzern erhalte Zugriff auf große Datenmengen – und zwar bis heute. Zudem habe er in Frankreich wegen des mobilen Betriebssystems Android eine besondere Bedeutung: „Tausende Franzosen richten jeden Tag auf dem Smartphone ein Google-Nutzerkonto ein.“

Entscheidung über zwei Beschwerden

Die Beschwerde gegen Google haben zwei Bürgerrechtsorganisationen unabhängig voneinander eingereicht, „La Quadrature du Net“ aus Frankreich (LQDN) und „None Of Your Business“ (NOYB) aus Österreich. Beide begrüßten die Entscheidung in ersten Reaktionen.

Erstmals ahnde eine europäische Datenschutzbehörde „klare Rechtsverstöße“, erklärte der NOYB-Vorsitzende Max Schrems. Große Konzerne hätten die Produkte oft nur oberflächlich angepasst. „Es ist wichtig, dass die Behörden klarstellen, dass das nicht reicht“, erklärte der Datenschutzaktivist, der in der Vergangenheit auch gegen Facebook vorgegangen war.

„Das kann aber nur der Anfang sein“, erklärte „La Quadrature Du Net“. Die Beschwerde betreffe auch Youtube, Gmail und die Google-Suche. „Wir erwarten, dass die CNIL rasch auch den Rest der Klage behandelt und diesmal eine Strafe verhängt, die der Schwere und der Dauer der Verletzung unserer Rechte entspricht.“

Die französische Vereinigung verlangt, dass die Datenschutzbehörde die Höchststrafe verhängt – die kann nach der DSGVO vier Prozent des weltweiten Jahresumsatzes betragen. Im Fall des Google-Mutterkonzerns Alphabet könnte sich die Summe auf bis zu vier Milliarden Dollar belaufen.

Große Zustimmung aus der Politik

In der Politik stieß die Entscheidung auf viel Zustimmung. Der Obmann der Grünen im Digitalausschuss des Bundestags, Dieter Janecek, begrüßte, „dass Frankreich so entschlossen durchgreift“: „Google, aber auch andere IT-Giganten, die in der Vergangenheit eher ein laxes Verständnis von Datenschutz, Transparenz und Verbraucherschutz hatten, sollten diese Strafe als Warnschuss begreifen.“

Dass die Behörden gleich Maximalstrafen verhängen würden, sei nicht zu erwarten gewesen, sagte Janecek dem Handelsblatt. „Jetzt ist aber für die IT-Giganten grundlegendes Umsteuern angesagt – sonst kann es irgendwann richtig teuer werden.“

Es werde wichtig sein zu beobachten, wie sich die Rechtsprechung rund um die DSGVO entwickle, erklärte der digitalpolitische Sprecher der SPD-Bundestagsfraktion, Jens Zimmermann. „Insofern sind der jetzige Vorgang und alle anhängigen Verfahren von großer Bedeutung.“

Den noch ausstehenden Urteilen, etwa gegen Facebook sowie dessen Dienste Instagram und WhatsApp, wolle er nicht vorgreifen. „Sie werden aber für die gesamte EU Vorbildcharakter haben.“

Der CDU-Digitalpolitiker Thomas Jarzombek hält das Bußgeld dagegen für zu niedrig. „Ich befürchte, dass diese Strafe niemanden bei den amerikanischen Giganten beeindrucken wird“, sagte Jarzombek dem Handelsblatt.

Ein weiteres Problem sei die „total inkohärente“ Durchsetzung der DSGVO innerhalb der EU und auch Deutschlands. In manchen Ländern werde die Anwendung der neuen Regeln „viel strenger kontrolliert als in anderen“, kritisierte der CDU-Politiker.

Die DSGVO hat nach einer Übergangsphase im Mai 2018 Geltung erlangt. Nach einigen Monaten Anlaufzeit schließen die Behörden nun erste Verfahren ab. In Deutschland haben die Datenschützer bislang 41 Strafen verhängt, wie eine Umfrage des Handelsblatts in den Bundesländern ergeben hat.

Danach hat Nordrhein-Westfalen seit Inkrafttreten der DSGVO am 25. Mai 2018 die meisten Bußgelder (33) verhängt, gefolgt von Hamburg (3), Baden-Württemberg und Berlin (jeweils 2) sowie dem Saarland (1). Viele weitere Verfahren sind noch in Arbeit. Allein in Bayern laufen derzeit 85 Bußgeldverfahren nach der DSGVO.

Mit Blick auf die Höhe der Bußgelder besteht derzeit offenbar noch eine Schonfrist. So verhängte der Landesdatenschutzbeauftragte von Baden-Württemberg mit 80.000 Euro bislang die höchste Einzelstrafe. Im konkreten Fall landeten aufgrund unzureichender interner Kontrollen Gesundheitsdaten im Internet.

Hamburg verhängte insgesamt Bußgelder in Höhe von 25.000 Euro, Nordrhein-Westfalen von knapp 15.000 Euro. Die meisten Bußgeldverfahren werden durch Beschwerden von Betroffenen ausgelöst. Die Behörden starten dann ihre Ermittlungen.