900.000 € Bußgeld wegen fehlender Einwilligungen

Die französische Datenschutzaufsicht (CNIL) hat laut einer Mitteilung vom 21.05.2025 gegen das Unternehmen SOLOCAL MARKETING SERVICES ein Bußgeld in Höhe von 900.000 € wegen fehlender Einwilligungen verhängt. Konkret soll das Unternehmen die Einhaltung der Einwilligungspflichten beim Einsatz personenbezogener Daten für Direktwerbung nicht habe nachweisen können. Der Fall verdeutlicht, dass Unternehmen in der kommerziellen Ansprache über Drittanbieter ohne dokumentierte Einwilligung erhebliche Risiken eingehen. Insbesondere bei der Nutzung von Daten aus intransparenten Quellen wie Gewinnspielanbietern oder Produkttesterportalen wird die Luft zunehmend dünn.

Direktwerbung als aufsichtsbehördlicher Schwerpunkt

Die CNIL hatte bereits im Jahr 2022 die kommerzielle Direktwerbung als Schwerpunkt ihrer behördlichen Tätigkeit angekündigt. Dabei wollte sie einen besonderen Fokus auf das Umfeld sogenannter Datenhändler (Data Brokers) legen. Hierunter fallen Anbieter, die im großen Stil personenbezogene Daten von Verbrauchern einsammeln und diese gewinnbringend an Werbetreibende oder Vermittlungsplattformen weitergeben. Auch Publisher, die Gewinnspiele oder Produkttests veranstalten, gelten als Teil dieses Ökosystems, wenn sie dabei personenbezogene Daten einsammeln und weiterveräußern.

Zugrundeliegender Fall

SOLOCAL MARKETING SERVICES ist ein in seiner Branche in Frankreich führendes Unternehmen, das digitales Marketing und Werbung anbietet. Das Unternehmen nutze regelmäßig Daten aus dem zuvor beschriebenen Umfeld, um im Namen von ihren werbetreibenden Kunden Direktwerbung per SMS und E-Mail zu betreiben. Teilweise seien die Daten auch an diese Kunden für eigene Werbezwecke per Telefon oder Post weitergegeben worden.

Fehlende Freiwilligkeit und Intransparenz der Einwilligung

Der entscheidende Vorwurf der Aufsichtsbehörde lautete, dass die von den Datenlieferanten verwendeten Einwilligungsformulare nicht den Anforderungen der DSGVO genügen. Außerdem liege ein Verstoß gegen Art. L.34-5 des französischen Gesetzbuchs für Post und elektronische Kommunikation vor. Zwar wurde von den Publishern behauptet, eine Einwilligung der betroffenen Personen sei eingeholt worden, die CNIL sah dies jedoch anders. Dies habe unter anderem an der manipulativen Gestaltung der Einwilligungsfelder gelegen, die es den Nutzenden kaum erlaubt hätten, Werbung durch Dritte realistisch abzulehnen.

Verstoß gegen die Nachweispflicht

Weiterhin sei SOLOCAL gegenüber der Behörde nicht in der Lage gewesen, konkrete Nachweise über die Einwilligungen der betroffenen Personen zu erbringen. Ein zentraler Datenlieferant habe keine belastbaren Formulare vorlegen können, aus denen sich nachvollziehbar ergeben hätte, wie die Einwilligung erfolgt war. Damit sei es der Aufsichtsbehörde nicht möglich gewesen zu prüfen, ob die Grundanforderungen der DSGVO tatsächlich eingehalten wurden.

Konsequenzen der Entscheidung

Die französischen Datenschutzbehörde verhängte daher laut ihrer Pressemitteilung eine Geldbuße in Höhe von 900.000 Euro. Die Höhe der Strafe orientiere sich zum einen an dem sehr großen Kreis betroffener Personen, der laut CNIL mehrere Millionen umfasst haben soll. Außerdem seien die aus der Verletzung gezogenen wirtschaftlichen Vorteile, die bisherige Marktstellung von SOLOCAL im französischen Direktmarketing und die nach Bekanntwerden der Datenschutzverletzung ergriffenen Maßnahmen mit einbezogen worden. Hinzu komme eine Unterlassungsanordnung. Sollte das Unternehmen weiterhin ohne gültige Einwilligung Werbeansprachen per SMS oder E-Mail betreiben, drohe ein Zwangsgeld in Höhe von 10.000 Euro pro Tag, sobald eine Übergangsfrist von neun Monaten verstrichen ist.

Fazit

Die Entscheidung der CNIL über das Bußgeld in Höhe von 900.000 € wegen fehlender Einwilligungen unterstreicht, dass der Einsatz von personenbezogenen Daten für Werbezwecke an hohe rechtliche Anforderungen geknüpft ist. Für Unternehmen, die auf Daten Dritter zurückgreifen, besteht eine besondere Prüfpflicht. Auch wenn die Verantwortung für die Einwilligung formal beim ursprünglichen Datenerheber liegt, kann das verarbeitende Unternehmen in der Rechenschaftspflicht bleiben.