- Die CNIL verhängt hohe Bussen gegen Google und Amazon wegen Cookie-Verstößen.
- Verletzung von Art. 82 der Loi Informatique et Libertés durch fehlende Einwilligung für Cookies.
- Google platzierte Marketing-Cookies automatisch ohne Zustimmung der Nutzer, was gegen die Vorschriften verstößt.
- Amazon verwendete ein unzureichendes Informationsbanner, das die Widerrufsmöglichkeit nicht klar kommunizierte.
- Bussen: EUR 35 Mio. für Amazon und EUR 100 Mio. für Google (gemeinsame Verantwortung).
Die französische Datenschutzbehörde CNIL hat im Zusammenhang mit dem Einsatz von Cookies sowohl gegen Google (Délibération SAN-2020 – 012 vom 7. Dezember 2020) als auch gegen Amazon (Délibération SAN-2020 – 013 vom 7. Dezember 2020) hohe Bussen verhängt.
Konkret geht es um Verletzungen des Art. 82 “Loi Informatique et Libertés”. Dieser setzt Art. 5 Abs. 3 der ePrivacy-Richtlinie im französichen Recht um und sieht eine ausdrückliche Einwilligung für den Einsatz von Cookies vor.
Betreffend google.fr stellt die CNIL fest (E. 77 ff.):
- dass Cookies zu Marketingzwecken, die für die Bereitstellung der Google-Dienste nicht erforderlich sind, ohne vorherige Zustimmung der Nutzer automatisch auf ihren Geräten platziert wurden;
- dass das Informationsbanner mit zwei Schaltflächen “später erinnern” und “jetzt anzeigen” versehen war und den Nutzern keine Informationen über die automatische Platzierung von Cookies auf ihren Geräten gab;
- dass der Opt-out-Mechanismus teilweise defekt war. Bei der Deaktivierung von personalisierten Anzeigen verblieb ein Marketingcookie auf den Geräten der Nutzer.
Auch betreffend amazon.fr rügte die CNIL die automatische Platzierung von Cookies ohne Einwilligung. Das Informationsbanner “Durch die Nutzung dieser Webseite erklären Sie sich damit einverstanden, dass wir Cookies verwenden, um unsere Dienstleistungen anzubieten und zu verbessern.” war ebenfalls unzureichend. Die Nutzer haben dadurch insbesondere keine Informationen zur Widerrufsmöglichkeit erhalten (E. 67 ff.).
Die Busse von EUR 35 Mio. richtet sich gegen Amazon Europe Core. Die Busse für Google entfällt mit EUR 60 Mio. auf Google LLC und mit EUR 40 Mio. auf Google Ireland Ltd. Nach Ansicht der CNIL bestimmen Google LLC und Google Ireland Ltd. gemeinsam über die Zwecke und Mittel der Datenverarbeitung, d.h. die Platzierung von Cookies auf den Geräten der Nutzer von google.fr. Sie sind damit für diese Datenverarbeitung gemeinsam verantwortlich (E. 58 ff.).