Schlagwort: Gemeinsame Verantwortlichkeit

CNIL: 40 Mil. EUR Bußgeld

4. Juli 2023

Vor rund zwei Wochen veröffentlichte die französische Datenschutzbehörde „Commission Nationale de l’Informatique et des Libertés“ (CNIL), dass sie eine Geldstrafe in Höhe von 40 Mil. EUR verhängt habe. Adressat der Strafe sei „Criteo“, ein Unternehmen, dass Softwarelösungen für Werbeanzeigen im Bereich des Online-Marketings anbiete.

Hintergründe

Der Grund für das Bußgeld sei gewesen, dass Criteo nicht überprüft habe, ob Personen, deren Daten es verarbeitet habe, eine Einwilligung erteilt hätten. Anlass für die Untersuchungen der Behörde bei Criteo seien Beschwerden der Organisationen Privacy International und „None of your business“ gewesen,

Das Unternehmen Criteo habe sich auf das sog. „Retargeting“ spezialisiert. Dies sei eine bestimmte Methode des Online-Marketings. Auf Webseiten von Partnern setzt Criteo eigene Cookies ein. Diese könnten Navigationsdaten der Nutzers tracken. Über die gesammelten Daten ließen sich anschließend personalisierte Werbeanzeigen schalten. Insbesondere könne dem Nutzer Werbeanzeigen zu Produkten angezeigt werden, für die er sich wahrscheinlich interessieren würde.

Verstöße

CNIL stellte zunächst fest, dass bei der Verwendung von Cookies zu Werbezwecke eine Einwilligung der betroffenen Person eingeholt werden müsse. Wenn ein Unternehmen auf seiner Webseite die Cookies von Criteo einsetze, müsse es eine solche Einwilligung einholen. Criteo müsse sicherstellen, dass die entsprechenden Unternehmen diese Einwilligung tatsächlich einholten und dies dokumentieren. Die Pflicht zur Einholung einer Einwilligung sei allerdings nie Vertragsbestandteil im Rahmen der Geschäftsbeziehungen zu Criteo. Damit verstoße das Marketingunternehmen gegen die Datenschutz- Grundverordnung (DSGVO).

Außerdem verstoße Criteo gegen seine Informationspflichten. Das Unternehmen informiere nicht vollständig über die Zwecke der Datenverarbeitungsvorgänge.

Zusätzlich hätten betroffene Person nicht hinreichend Gebrauch von ihrem Recht auf Widerruf der Einwilligung und Löschung personenbezogener Daten nach Art. 7 Abs. 3 und Art. 17 Abs. 1 DSGVO machen können. Den betroffenen Person seien lediglich keine Werbeanzeigen mehr gezeigt worden. Allerdings habe das Unternehmen Kennungsdaten der Nutzer weiter behalten.

Abschließend stellte die CNIL fest, dass Criteo mit seinen Geschäftspartnern keine Vereinbarung über eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO abgeschlossen habe.

Bußgeld

Die CNIL bewertete bei der Bestimmungen der Höhe des Bußgeldes negativ, dass das Unternehmen über die Daten einer sehr großen Personenanzahl verfüge. Außerdem sei, laut CNIL negativ in die Bewertung mit eingeflossen, dass das Unternehmen sich ausschließlich darauf spezialisiert habe, für eine bestimmte Zielgruppe relevante Werbung anzuzeigen. Demnach sei es das Geschäftsmodell des Unternehmens gerade personenbezogene Daten zu sammeln und zu verarbeiten.

Fazit

Alle angesprochenen Kritikpunkte konnte Criteo nach den Untersuchungen der CNIL einstellen. Dabei ist auffällig, dass das Thema Cookies weiterhin Grund für Datenschutzverstöße ist (hier berichten wir über weitere Cookie-Verstöße).

Auch der Geschäftsführer ist neben der GmbH Verantwortlicher i.S.d. DSGVO

22. März 2022

Neben der GmbH kommt auch der Geschäftsführer als Datenschutzverantwortlicher gem. Art. 4 Nr. 7 DSGVO in Betracht. Zu diesem Schluss kam das Oberlandesgericht Dresden (“OLG”) in seinem Urteil vom 30.11.2021 (Az. 4 U 1158/21).

Der Kläger strebte eine Mitgliedschaft in der Gesellschaft an. Vor diesem Hintergrund veranlasste der Geschäftsführer eine Überprüfung des Betroffenen hinsichtlich etwaiger Verbindungen zu relevanten Straftaten, ohne jedoch eine datenschutzrechtliche Einwilligung des Betroffenen einzuholen. Der dafür engagierte Detektiv hatte daraufhin in seiner Recherche eine Beteiligung des Anfragenden an relevanten Straftaten aufgedeckt. In diesem Zuge wurde ihm die Mitgliedschaft verweigert. Der Betroffene verklagte infolgedessen die GmbH und den Geschäftsführer auf immateriellen Schadensersatz aufgrund von Datenverstößen, insbesondere, weil sich die Recherche des Ermittlers auf keine gesetzliche Rechtsgrundlage stützte.

Das OLG Dresden stellte zugunsten des Klägers fest, dass jeweils ein selbständiger datenschutzrechtlicher Verstoß sowohl durch die GmbH als auch durch den Geschäftsführer festzustellen sei, da es bei der Datenverarbeitung an einer Rechtsgrundlage fehle. Außerdem handele es sich bei der Verarbeitung von strafrechtlich relevanten Daten ohne Rechtsgrundlage nicht lediglich um einen Bagatellverstoß. Aus diesen Gründen billigte das OLG dem Kläger einen Anspruch aus Art. 82 Abs. 1 DSGVO zu. Dieser richte sich sowohl gegen die GmbH als auch gegen den Geschäftsführer, da Anspruchsgegner der datenschutzrechtliche Verantwortliche und damit derjenige ist, der alleine oder gemeinsam mit anderen über die Zwecke und die Mittel der Verarbeitung von personenbezogenen Daten entscheiden kann. Dabei entfalle insbesondere der weisungsgebundene Angestellte oder sonstige Beschäftigte als Anspruchsgegner.

Ob andere Gerichte diese Entscheidung aufgreifen, ist noch unklar. Insbesondere fehlt es dem Urteil an dezidierten Voraussetzungen, an welche die Haftung des Geschäftsführers geknüpft ist und lässt außer Acht, dass auch der Geschäftsführer gegenüber der Gesellschafterversammlung weisungsgebunden sein kann.

Verbraucherzentrale Sachsen verklagt Facebook

24. Oktober 2018

Die Verbraucherzentrale Sachsen wirft Facebook fehlende Rechtsklarheit vor und hat deshalb Klage gegen das Unternehmen erhoben.

„Jeder Nutzer hat das Recht zu wissen, was mit seinen Daten passiert und wer dafür verantwortlich ist. Es kann nicht sein, dass sich Facebook seiner Verantwortung entzieht“, teilte der Rechtsexperte Michael Hummel von der Verbraucherzentrale Sachsen mit.

Im Mittelpunkt steht die gemeinsame Verantwortlichkeit für Fanpages, die nach dem Europäischen Gerichtshof Facebook zusammen mit den Betreibern der Seite trägt. Dazu müsste Facebook entsprechende Vereinbarungen mit den Nutzern abschließen. Trotz Mahnungen von Verbraucherschützern die DSGVO-Vorgaben in dieser Hinsicht einzuhalten, hat Facebook seit dem Urteil im Juni nichts geändert.

„Mittlerweile hat uns Facebook durch seine Anwälte mitteilen lassen, dass man keine Verletzung von Verbraucherrechten erkennen könne. Mit der Klage soll Facebook nun seine Pflichten erfüllen und Verbraucher weitestgehend aus der Verantwortung nehmen“, erklärte Michael Hummel.

Ob eine DSGVO-Verletzung vorliegt oder nicht muss nun das Gericht entscheiden. Die Verbraucherzentrale rechnet damit, dass schon in einem Jahr ein Urteil ergehen könnte.