Frankreich: Hohe Datenschutz-Strafen für Google & Facebook wegen Cookies

Die französische Datenschutzbehörde hat Datenschutz-Strafen in Millionenhöhe gegen die Konzerne Google und Facebook verhängt. Der Grund: Der Umgang beider mit Cookies bzw. der Ablehnung dieser. Im heutigen Beitrag zeigen wir Ihnen, wofür die Datenschutz-Strafen konkret verhängt wurden, welche Ursachen hinter den Strafen stecken und wie sich die Konzerne dazu äußern. Außerdem werfen wir einen Blick auf vergangene Datenschutz-Strafen, nehmen Bezug zum TTDSG und begutachten das Vorgehen von Tech-Konzernen in Datenschutz-Angelegenheiten.

Datenschutz-Strafen gegen Google und Facebook

Der korrekte Umgang mit Cookies ist und bleibt ein Dauerthema im Bereich des Datenschutzes. Eigentlich sollen die kleinen Datensätze, die auf den Endgeräten gespeichert werden, wenn Nutzende Websites besuchen, vieles vereinfachen: In Shops etwa lassen sich einfach ähnliche Produkte anzeigen, der Warenkorb ist auch nach einer Shopping-Unterbrechung gefüllt und das ständige Einloggen kann ebenfalls entfallen.

Andererseits wird ein zu laxer Umgang mit Cookies, den leider viele Unternehmen an den Tag legen, immer wieder kritisiert: Es lassen sich individuelle Profile erstellen, mit deren Hilfe Rückschlüsse über Vorlieben, Surfverhalten oder Lebensgewohnheiten möglich sind. Seit Beginn der DSGVO im Jahre 2018 kommt neben der Kritik noch etwas hinzu: Sanktionen mit Datenschutz-Strafen – wie im konkreten Fall mit Google und Facebook.

Frankreichs Datenschutzbehörde – die Commission Nationale de l’Informatique et des Libertés, kurz: CNIL – verhängte Millionenstrafen gegen Google und Facebook aufgrund des Umgangs mit Cookies. Eine Strafe richtet sich gegen zwei Google-Töchter und schlägt mit 150 Millionen Euro zu Buche (90 Millionen Euro gegen Google LLC und 60 Millionen Euro gegen Google Ireland Limited), die andere, die sich gegen Facebook bzw. den Meta-Konzern richtet, beträgt 60 Millionen Euro.

Gründe für die Datenschutz-Strafen

In beiden Fällen wurde die Cookie-Praxis der Unternehmen sanktioniert: Die Seiten google.fr, facebook.com sowie youtube.com erlauben es Nutzenden, Cookies mit nur einem Klick anzunehmen. Um die Cookies abzulehnen, seien jedoch mehrere Klicks notwendig – ein Ungleichgewicht, welches die Entscheidungsfreiheit Nutzender beeinträchtigen würde und damit gegen französisches Recht verstoße, wie die französische Datenschutzbehörde begründet: Nutzende erwarten im Internet, dass sie Websites schnell konsultieren können. Lassen sich Cookies nicht so einfach ablehnen wie akzeptieren, können Nutzende ihre Wahl zugunsten der Zustimmung ändern – ein Verstoß gegen Art. 82 DSGVO.

Eine weitere Auflage: Binnen drei Monaten müssen die Unternehmen französischen Internetnutzenden das Ablehnen von Cookies genauso einfach machen wie das Annehmen. Verpassen die Konzerne diese Frist, fallen weitere Strafzahlungen in Höhe von 100.000 Euro je Verzugstag an.

Google erklärte nach der CNIL-Entscheidung, dass man sich im Konzern seiner Verantwortung gegenüber dem Vertrauen der Nutzenden bewusst sei. Man verpflichtete sich zu entsprechenden Anpassungen. Eine Sprecherin der Facebook-Mutter Meta erklärte, man wolle die Behördenentscheidung prüfen. Die Cookie-Einstellungen von Facebook würden Nutzenden mehr Kontrolle über ihre Daten geben, man werde diese Einstellungen jedoch weiterentwickeln und optimieren.

Vergangene Datenschutz-Strafen und das TTDSG

Bei Datenschutz-Strafen ist Google in Frankreich kein unbeschriebenes Blatt: Schon in der Vergangenheit verurteilte Frankreichs Datenschutzbehörde den Konzern mehrfach. So musste der Konzern im Jahr 2019 eine Datenschutz-Strafe von mehr als 50 Millionen Euro hinnehmen – wir berichteten über diese und weitere DSGVO-Sanktionen in unserem Beitrag „DSGVO: Bußgelder in Anzahl & Höhe deutlich gestiegen“. Schon in diesem Fall aus 2019 ging es um intransparente Einwilligungspraktiken und ums Ausspielen personalisierter Werbung ohne rechtliche Basis. Insgesamt bleibt die französische Datenschutzbehörde ihrer Linie also treu.

Cookies waren tatsächlich eine Zeitlang rechtlich nicht eindeutig geklärt – die DSGVO und weitere relevante Gesetze ließen zu viele Fragen offen. Mit dem Telekommunikations-Telemedien-Datenschutzgesetz (TTDSG; wir berichteten) konnten die Anforderungen im Bereich Cookies jedoch konkretisiert und angehoben werden, was dem Schutz der Privatsphäre definitiv dienlich ist. Für die einstige Grauzone Cookies wurde endlich mehr Rechtssicherheit geschaffen.

Und täglich grüßt das Murmeltier: Datenschutz-Strafen gegen Tech-Konzerne

Es sind nicht nur Google und Facebook bzw. Meta als Wiederholungstäter, sondern auch gegen Amazon wurde im letzten Jahr ein Rekord-Bußgeld in Höhe von 746 Millionen Euro verhängt (s. unser Beitrag „Datenschutz-Strafe: Amazon mit 746 Millionen Euro Bußgeld“).

Wenngleich die DSGVO auch dafür geschaffen wurde, Tech-Konzerne bezüglich ihrer Datengier zu mäßigen, ist davon auszugehen, dass ebendiese Tech-Giganten auch künftig durch grenzwertigen Umgang mit Cookies, personalisierter Werbung oder sonstigem auffallen. Damit dürften die aktuellen Datenschutz-Strafen für Google und Facebook sicher nicht die letzten gewesen sein. Umso besser, dass die französische Datenschutz-Behörde ihren Kurs weiterfährt – denn das ist notwendig: Ein entschiedenes, konsequentes Handeln gegen Datenkraken.