Bus­se der CNIL gegen Goog­le bestätigt

Das höch­ste Ver­wal­tungs­ge­richt Frank­reichs, der Con­seil d’Etat, hat die Bus­se der CNIL gegen Goog­le am 19. Juni 2020 bestä­tigt (21. Janu­ar 2019, EUR 50 Mio.).

Der Con­seil d’Etat bestä­tigt zunächst, dass Goog­le LLC kei­ne Haupt­nie­der­las­sung in der EU hat oder damals hat­te, weil die iri­sche Nie­der­las­sung weder befugt war, Goog­le LLC anzu­wei­sen oder zu kon­trol­lie­ren (Haupt­ver­wal­tung) noch über die Zwecke und Mit­tel ihrer Daten­ver­ar­bei­tun­gen ent­schied (Art. 4 Nr. 16 lit a DSGVO).

In der Sache hält der Con­seil d’Etat die Infor­ma­tio­nen von Goog­le über ihre Daten­ver­ar­bei­tun­gen eben­falls für intrans­pa­rent. Ins­be­son­de­re sei­en die Infor­ma­tio­nen erster Stu­fe (erste Ebe­ne im “laye­red approach”) zu gene­risch gewe­sen. Auch sei eine wirk­sa­me Ein­wil­li­gung nicht ein­ge­holt wor­den, wegen unzu­rei­chen­der Infor­ma­ti­on und mit einer vor­an­ge­kreuz­ten Checkbox.

Sodann hielt der Con­seil d’Etat die Sank­ti­on für ange­mes­sen. Im Übri­gen sei die CNIL nicht ver­pflich­tet gewe­sen, die Kri­te­ri­en der Sank­ti­ons­be­mes­sung im ein­zel­nen zu nennen.