50-Millionen-Strafe gegen Google bestätigt

Der Conseil d’Etat hat die Beschwerde des Internetgiganten zurückgewiesen und die Entscheidung der CNIL bestätigt.

Google muss die bislang höchste auf Basis der DSGVO verhängte Strafe zahlen. Dies hat nun das höchste Verwaltungsgericht Frankreichs, der Conseil d’Etat, bestätigt und die Beschwerde von Google abgewiesen.

Die Strafe gründet insbesondere in der intransparenten Datenverarbeitung bei Google. So bemängelte die CNIL vor allem, dass die vorgeschriebenen Informationen über die Datenverarbeitung für die Nutzer nur schwer zugänglich, da auf verschiedene Dokumente und Webseiten aufgeteilt, und oftmals unklar formuliert sind.

Aus den Informationen geht zudem weder die Vielfalt der unzähligen Google-Dienste (wie Maps, Fotos, Gmail oder YouTube) hervor, noch wie Google die Daten nun genau verarbeitet und wie lange. Mangels entsprechender Aufklärung und Information ist somit auch die Zustimmung der Nutzer zu personalisierter Werbung ungültig.

Google blitzte auch mit dem Einwand ab, dass die französische Datenschutzbehörde CNIL (Commission Nationale de l’Informatique et des Liberté) gar nicht zuständig gewesen wäre. Google argumentierte, dass sich der europäische Sitz von Google in Irland befindet und daher die irische Behörde aufgrund des in der DSGVO festgelegten „One-Stop-Shop-Prinzips“ zuständig wäre.

Die gegenständliche Strafe wurde jedoch nicht gegen die irische Google-Gesellschaft verhängt, sondern gegen die US-amerikanische Google LLC. Das System der einheitlichen Anlaufstelle ist somit nicht anwendbar und die CNIL war tatsächlich zuständig und berechtigt die Strafe zu verhängen.

Auch wenn die CNIL den Strafrahmen (bis zu 4 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs) bei weitem nicht ausgenutzt hat und die Strafe von EUR 50 Mio. für Google wohl verkraftbar ist, so zeigt die Entscheidung und ihre Bestätigung durch das oberste Verwaltungsgericht dennoch, dass die Behörden ihre Aufgaben ernst nehmen und bewegt die Internetkonzerne vielleicht dazu, ihren datenschutzrechtlichen Pflichten entsprechend nachzukommen.