Bußgeld gegen Monsanto: Die CNIL, die französische Datenschutzaufsichtsbehörde, hat Ende Juli gegen die Firma Monsanto Company, eine Firma der Bayer Gruppe, ein Bußgeld in Höhe von 400.000 Euro verhängt. Grund dieser Entscheidung ist der Verstoß gegen die Informationspflicht nach Art. 14 DSGVO und der fehlende Abschluss eines Auftragsverarbeitungsvertrages.
Ausgangslage – die verhängnisvolle Datei
In den Jahren 2016 und 2017 hat die Firma FleishmanHillard im Auftrag von Monsanto eine Datei, genannt „20160822 French Monsanto stakeholders database – cultivating trust“, mit Informationen über mehr als 200 französische und europäische Politiker oder Mitglieder der Zivilgesellschaft, darunter Journalisten, Umweltaktivisten, Wissenschaftler und Landwirte erstellt.
Für jede dieser Personen enthielt die Datei Informationen wie die Organisation, der sie angehörte, die Position, die Geschäftsanschrift, die geschäftliche Festnetznummer, die Mobiltelefonnummer, die geschäftliche E-Mail-Adresse und ggf. den Twitter-Account. Darüber hinaus erhielt jede Person eine Punktzahl von 1 bis 5, um ihren Einfluss, ihre Glaubwürdigkeit und ihre Unterstützung für Monsanto bei verschiedenen Themen wie Pestiziden oder genetisch veränderten Organismen zu bewerten. Die Datei enthielt auch ein freies Kommentarfeld, in dem angegeben werden konnte, an welchen Veranstaltungen die Person teilgenommen oder welche sie organisiert hatte, mit welchen Personen sie zusammengearbeitet hat, welche Kontakte sie mit Vertretern von Monsanto hat oder welche Artikel sie zum Thema Glyphosat veröffentlicht hat.
Die Informationen sollten Monsanto ermöglichen, die Interessengruppen zu ermitteln und aufzulisten, um eine gezielte Kommunikationsstrategie zugunsten der Erneuerung der Zulassung von Glyphosat durch die Europäische Kommission zu entwickeln.
Die französische Zeitung „Le Monde“ berichtete im Mai 2019 darüber. Insgesamt sieben Beschwerden wurden durch Betroffene bei der CNIL eingereicht, wonach die CNIL ermittelte.
Keine Datenverarbeitung ohne Information der betroffenen Personen
In ihrer Pressemitteilung teilt die CNIL mit:
„Das Anlegen von Kontaktdateien durch Interessenvertreter zu Lobbyingzwecken ist an sich nicht illegal. In eine solche Datei dürfen jedoch nur Personen aufgenommen werden, bei denen aufgrund ihres Ansehens oder ihrer Tätigkeit davon auszugehen ist, dass sie Gegenstand von Kontakten aus dem Sektor sind. Es ist zwar nicht erforderlich, die Einwilligung dieser Personen einzuholen, aber die Daten in der Datei müssen rechtmäßig erhoben worden sein und die Personen müssen über die Existenz der Datei informiert werden, damit sie ihre Rechte, insbesondere ihr Widerspruchsrecht, wahrnehmen können.“
In ihrer Entscheidung erklärt die CNIL näher:
„…die Verarbeitung personenbezogener Daten, die in der Sammlung von Informationen zur Identifizierung einflussreicher Personen besteht, bei denen ein Unternehmen seine Interessen vertreten möchte, kann unter bestimmten Bedingungen auf der Grundlage des berechtigten Interesses des für die Verarbeitung Verantwortlichen erfolgen. In der Tat kann eine Verarbeitung wie die vorliegende durch die Verfolgung des berechtigten Interesses des für die Verarbeitung Verantwortlichen gerechtfertigt sein, sofern die Interessen und Grundrechte der betroffenen Personen die Interessen des für die Verarbeitung Verantwortlichen nicht überwiegen. Diese Abwägung der verschiedenen auf dem Spiel stehenden Interessen erfordert insbesondere, dass die berechtigten Erwartungen der betroffenen Personen hinsichtlich der Art der erhobenen Daten und der Art und Weise ihrer Verarbeitung für die Zwecke der fraglichen Verarbeitung berücksichtigt werden, wie in Erwägungsgrund 47 der Datenschutz-Grundverordnung vorgesehen.“
Im vorliegenden Fall hielt die CNIL die Datenverarbeitung für berechtigt, denn „diese Personen konnten vernünftigerweise erwarten, dass die Akteure des Sektors, in dem sie tätig waren, Informationen über sie aus öffentlich und rechtmäßig verfügbaren Daten sammeln würden, um ihre Positionen zu kennen und zu verstehen und möglicherweise Kontakt mit ihnen aufzunehmen.“
Gemäß Art. 14 DSGVO hätte Monsanto die Betroffenen aber über die Datenverarbeitung informieren müssen. Keine der in Art. 14 Abs. 5 DSGVO vorgesehenen Ausnahmen konnte nach Auffassung der CNIL Anwendung finden.
Die CNIL erinnert daran, dass die Information der durch die Datenverarbeitung betroffenen Person eine zentrale Pflicht in der DSGVO ist. Nur wenn der Betroffene informiert ist, ist er in der Lage seine Rechte aus der DSGVO (darunter das Widerrufsrecht) auszuüben.
Fehlender Vertrag zur Aufragverarbeitung
Die CNIL hat außerdem gerügt, dass kein Vertrag zur Auftragsverarbeitung zwischen Monsanto und der Firma FleishmanHillard geschlossen wurde. Monsanto und FleishmanHillard gingen davon aus, dass das Vertragsverhältnis keinen Auftrag zur Datenverarbeitung darstellte.
Die CNIL vertritt eine andere Ansicht:
„Der sehr regelmäßige Austausch zwischen den beiden Unternehmen zeigt, dass Monsanto sehr präzise Forderungen darüber formulierte, was seiner Meinung nach von Fleishman-Hillard bei der Erfüllung seiner Aufgaben berücksichtigt werden sollte […].
Die im Rahmen der Prüfung gesammelten Unterlagen belegen „die Beteiligung von Monsanto an der Überwachung der von Fleishman-Hillard durchgeführten Aufgaben, insbesondere die Organisation eines täglichen Austauschs zwischen den Teams sowie wöchentliche, monatliche und vierteljährliche Aktualisierungen, die es Monsanto ermöglichen, den Fortschritt der Fleishman-Hillard übertragenen Aufgaben und die Durchführung der durchgeführten oder laufenden Arbeiten zu überwachen.“
Die CNIL führt weiter aus:
„…dieser Austausch zeigt, dass Fleishman-Hillard Monsanto über den Verlauf der Kampagne im Zusammenhang mit der Erneuerung von Glyphosat und die in diesem Zusammenhang durchgeführten Maßnahmen berichtete, und vor allem, dass diese [Monsanto] eine Weisungsbefugnis über die Tätigkeiten von Fleishman-Hillard ausgeübt hat, wodurch sie [Fleishman-Hillard] der Autonomie beraubt wurde, die normalerweise einem Verantwortlichen zusteht.“
FleishmanHillard war somit Auftragsverarbeiter und Monsanto Verantwortlicher.
Gegen diesen Beschluss kann Monsanto innerhalb von vier Monaten nach Zustellung vor dem Conseil Rechtmittels einlegen.