Datenschutz-Strafe: Amazon mit 746 Millionen Euro Bußgeld

Wie viele Tech-Konzerne ist auch der Online-Händler Amazon dafür bekannt, gigantische Datenmengen ihrer Kundschaft sowie von Partnern zu sammeln. Jedoch gelten eben auch für solche Konzerne Regeln, mitunter die europäische Datenschutz-Grundverordnung (DSGVO). Zuwiderhandlungen werden teuer, was nun auch Amazon zu spüren bekommt: Der Versandriese soll 746 Millionen Euro als Datenschutz-Strafe zahlen. Was den Anstoß für diese Rekordstrafe gab und wie Amazon reagiert, erfahren Sie im heutigen Beitrag.

Amazon muss Datenschutz-Bußgeld zahlen

Amazon, der weltweit größte Online-Händler, weiß enorm viel über Kunden und Partner: Ob unabhängige Handelnde ihre Waren über Amazon Marketplace feilbieten oder Kunden ihre Surf- sowie Kaufhistorie einsehen – Amazon hat einen gigantischen Datenschatz aufgebaut. Wie jüngst bekannt wurde, wird nun gegen Amazon die bislang höchste Datenschutz-Strafe seit Anbeginn der DSGVO-Ära verhängt: Sagenhafte 746 Millionen Euro empfindet die Luxemburger Datenschutzbehörde als Datenschutz-Bußgeld angemessen.

Die Luxemburger Nationale Kommission für den Datenschutz (Commission Nationale pour la Protection des Données; CNPD) verhängte das Datenschutz-Bußgeld am 16. Juli 2021. Das wurde im Quartalsbericht des Online-Händlers sichtbar, den Amazon jüngst veröffentlichte. Kurz danach berichtete Bloomberg von der Datenschutz-Strafe gegen Amazon.

Wie kam es zum Datenschutz-Bußgeld in Rekordhöhe?

Die luxemburgische CNPD begründet das Verhängen der Datenschutz-Strafe in Rekordhöhe mit Verstößen gegen die europäische Datenschutz-Grundverordnung. Die Behörde zeigte sich zuständig, weil Amazon als EU-Sitz Luxemburg ausgewählt hat. Konkret richtet sich das Datenschutz-Bußgeld gegen das Amazon-eigene Targeting:

Amazon spielt personalisierte Werbung aus, um Kunden von weiteren Produkten zu überzeugen. An sich freuen sich Kundinnen und Kunden über Empfehlungen zu ihren Interessen. Problematisch ist dabei, dass Amazon nicht nur auf den eigenen, sondern auch auf Drittseiten Daten in großem Stil sammelt, damit Nutzende dann zugeschnittene Werbung sehen und ihren Einkauf vergrößern. Bei anderen Einkaufsplattformen und digitalen Diensten kann man derartige Empfehlungen oft deaktivieren.

Massenbeschwerde direkt nach DSGVO-Start

Die CNPD schweigt sich derzeit noch aus, sodass relevante Details zum jetzigen Zeitpunkt noch nicht gänzlich geklärt sind. Jedoch erklärte die französische NGO La Quadrature du Net in einem Blogbeitrag, dass über zehntausend Unterstützende die Massenbeschwerde direkt nach dem Start der DSGVO im Mai 2018 eingereicht haben. Offenbar geht das Datenschutz-Bußgeld auf diese Beschwerde zurück.

Stimmen zum Datenschutz-Bußgeld gegen Amazon

Wie ein Amazon-Sprecher gegenüber der Deutschen Presseagentur dpa äußerte, sieht der Konzern seinerseits keinerlei Versäumnisse. Man möchte sogar gegen die Strafe vorgehen: „Es gab keine Verletzung des Schutzes personenbezogener Daten, und es wurden keine Kundendaten an Dritte preisgegeben“, hieß es. Und weiter: „Im Hinblick darauf, wie wir Kund:innen relevante Werbung anzeigen, beruht diese Entscheidung der CNPD auf subjektiven und ungeprüften Auslegungen des europäischen Datenschutzrechts, und die beabsichtigte Geldbuße steht selbst bei dieser Auslegung in überhaupt keinem Verhältnis.“ Amazon erkennt seinerseits also kein Fehlverhalten, sodass der Konzern ankündigte, in Berufung gehen zu wollen.

Dass das die Beschwerde-einreichende NGO La Quadratur du Net anders sieht, versteht sich von selbst: „Amazons Reaktion auf diese historische Sanktion besteht darin, sich bei Bloomberg zu beschweren und vorzugeben, nicht zu verstehen, worum es geht: ‚Es gab keine Datenschutzverletzung, und es wurden keine Kundendaten an Dritte weitergegeben‘. Zu Recht: Es ist das System der gezielten Werbung selbst und nicht nur gelegentliche Sicherheitsverletzungen, die unsere rechtlichen Schritte angegriffen haben. Diese historische Geldstrafe trifft direkt ins Herz des Raubtiersystems von Big Tech und sollte als solches gefeiert werden.“

Wird das Datenschutz-Bußgeld gegen Amazon vom Gericht bestätigt, würde es sich um eine absolute Rekordsumme handeln. Bislang belief sich die höchste Datenschutz-Strafe auf 50 Millionen Euro; dabei wandte sich die französische Datenschutzbehörde gegen Google. Gegen die Hotelkette Mariott wurde zwar ein Datenschutz-Bußgeld von ursprünglich 110 Millionen Euro verhängt, jedoch wurde dieses Bußgeld auf 20 Millionen Euro reduziert. Wie diese Reduktion zustande kam und welche Strafen in 2020 noch verhängt wurden, können Sie in unserem Beitrag „DSGVO: Bußgelder in Anzahl & Höhe deutlich gestiegen“ nachlesen. In diesem Beitrag lesen Sie auch über die Datenschutz-Strafe, die H&M aufgrund der Überwachung der eigenen Mitarbeiter zahlen musste und die mit 35 Millionen Euro hierzulande das höchste Bußgeld bislang war.

Amazon: Datenschutz-Bußgeld nicht ausgereizt

Tatsächlich wäre eine noch höhere Datenschutz-Strafe gegen Amazon möglich gewesen: Die DSGVO sieht Sanktionen von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes vor – je nachdem, was höher ausfällt. Bei einem Jahresumsatz von 386,1 Milliarden US-Dollar im Jahr 2020 hätte die Datenschutz-Strafe durchaus 12,96 Milliarden Euro hoch sein können.

Wie in Deutschland Datenschutz-Bußgelder bemessen werden, hat die Datenschutzkonferenz (Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder) in einem Bußgeldbemessungskonzept veröffentlicht.

Datenschutz-Strafe: Behörde setzt Zeichen für konsequentes Handeln

Nachdem sich die Datenschutz-Behörden in den Jahren 2018 und 2019 durchaus noch zurückgehalten haben mit ihren Datenschutz-Strafen, weht seit 2020 ein anderer Wind: Spätestens da sollte die DSGVO gemeinhin umgesetzt sein. Wenngleich damit eine Beschwerde aus 2018 behandelt wurde, setzt die luxemburgische CNPD mit dieser Rekordstrafe ein Zeichen: Der Kuschelkurs ist vorbei, die EU-Datenschutzbehörden greifen härter durch.

Der Ausgang der Bußgeldsache ist dennoch unklar. Immerhin schweigt sich die Behörde bislang aus und Amazon möchte gegen die Entscheidung vorgehen. Verschleppungen kennt man auch schon von anderen Fällen: Die Strafe, die die französische Behörde 2019 gegen Google verhängt hatte, wurde erst ein Jahr später rechtskräftig. Der gesamte Prozess des aktuellen Falls könnte sich also noch länger ziehen.