Rekordbußgeld gegen Amazon

Wie die Luxemburger Datenschutzbehörde am 16.07.2021 (CNPD) bekannt gab, soll die Amazon Europe Core S.à r. l. ein Bußgeld von 746 Millionen Euro zahlen. (Zum Vergleich: das höchste zuvor tatsächlich in der EU verhängte Bußgeld richtete sich gegen Google und bezifferte sich auf insgesamt 50 Millionen Euro.) Dies geht aus dem zweiten Quartalsbericht des laufenden Jahres des US-Konzerns hervor. Der Sachverhalt wird im Bericht nicht aufgegriffen, gleichwohl kündigte der Konzern an, die nach seiner Ansicht „unbegründete“ Entscheidung anzufechten. Inzwischen haben auch die anderen europäischen Datenschutzbehörden dem Bußgeld im Wege des Kohärenzverfahrens zugestimmt.

Nach aktuellen Angaben von LaQuadrature mit Verweis auf ein Schreiben der nationalen französischen Datenschutzbehörde (CNIL) erwarte Amazon außerdem ein zusätzliches Bußgeld in Höhe von 746.000€ pro Tag, sofern Amazon nicht innerhalb von 6 Monaten den Datenschutzgesetzen entspricht.

Auch die agierende Behörde hat noch keine Stellung dazu genommen. Das Verfahren gehe jedoch zurück auf eine Beschwerde der französischen NGO „LaQuadrature“, wie sich aus einem Statement derselben ergibt. In der Sache ging es um eine kollektive Massenbeschwerde, bei der die NGO sowie nach eigenen Angaben 10.000 weitere Personen beteiligt gewesen seien.

Nicht nur problematisches Targeting

Gegenstand der Beschwerde war das Online-Targeting von Amazon. Amazons Geschäftsmodell  basiert unter anderem auf gezielter personalisierter Werbung. Hierbei habe der Konzern gegen Einwilligungserfordernisse verstoßen und falsche Rechtsgrundlagen für Datenverarbeitungen gewählt. Denn die werbungsrelevanten Daten werden bekanntlich nicht lediglich auf den von Amazon betriebenen Webseiten erhoben. Mittels „Conversion-Tracking“ können Nutzerinteraktionen über mehrere Online-Präsenzen verfolgt, sortiert und Zielgruppen definiert werden. Dies führt zur Reduzierung von Streu-Effekten bei Werbemaßnahmen, jedoch auch zu einer erheblichen Erhöhung der verarbeiteten Daten.

Amazon zeigte sich angesichts der Ankündigung dieses Bußgelds unbeeindruckt. Nach Ansicht des Konzerns liege hier kein Datenschutzverletzung vor und es seien auch keine Kundendaten an Dritte weitergegeben worden. LaQuadrature sah in dieser Aussage eine Schutzbehauptung und einen vergeblichen Einwand: gerade das System des Targetings selbst sei datenschutzrechtlich in der von Amazon betriebenen Form nicht zulässig. Hier habe Amazon zum Zeitpunkt der Beschwerdeeinreichung vorgekreuzte Kästchen verwendet und es sei von einer Einwilligung der Webseitenbesuchenden ausgegangen worden, wenn diese die Seite nach einem kurzen datenschutzrechtlichen Hinweis weiterhin verwendeten. Dabei handele es sich aber nicht um aktive Einwilligungshandlungen. Denn dafür werde nebst einer hinreichenden datenschutzrechtlichen Belehrung auch ein autonomes Handeln gefordert – eine „freie Zustimmung“ werde hiermit jedoch nicht konstituiert, wenn mit der ausbleibenden Zustimmung negative Folgen zu erwarten wären.

Nebst dieser Argumentation werden auch weitere ebenfalls bekannte Datenschutzprobleme durch LaQuadrature bemängelt. So auch das behelfsmäßige Abstellen auf eine andere Rechtsgrundlage der Datenverarbeitung, wenn eine Einwilligung nicht gültig wäre – denn hiermit würde das Widerrufsrecht seine Wirksamkeit verlieren. Eine Datenverarbeitung zur Erfüllung von Vertragszwecken könne hier auch nicht angenommen werden, da die Datenverarbeitung zur Erstellung eines Interessenprofils über die konkrete Vertragsabwicklung (Lieferung von Waren) weit hinausgehe. Auch ein berechtigtes Interesse sei angesichts dringend schutzwürdiger Interessen nicht anzunehmen. Gerade mit der Verfolgung von Aktivitäten der Nutzenden entstehe ein Ungleichgewicht, das über einfache, nicht zielgerichtete Werbungsmaßnahmen weit hinausgehe. Hierbei wird auf Argumentationen der Artikel-29-Datenschutzgruppe verwiesen.

Die Argumentation sieht damit eine klare Stoßrichtung vor: je technisierter und komplizierter die Datenverarbeitungsvorgänge sind, desto schutzwürdiger sind die Betroffenen.

Implikationen des Verfahrens

Es bleibt abzuwarten, welche Argumente der LaQuadrature sich vor Gericht durchsetzen und ob mit dem Bußgeld auch eine Einstellung der rechtswidrigen Datenverarbeitungen in Zukunft einhergeht. Das Verfahren wird angesichts seines sich abzeichnenden Umfangs auch mehrere Jahre in Anspruch nehmen können. Zuletzt wurden verhängte Bußgelder massiv gekürzt oder vollständig abgelehnt, etwa im Verfahren 1&1. Nichtsdestotrotz ist dieses Verfahren bereits in vielerlei Hinsicht bemerkenswert. Zum einen handelt es sich um ein Bußgeld in Rekordhöhe, was auch am Umsatz des Konzerns orientiert ist. Zum anderen handelt es sich bei dem Konzern um Amazon. Es verwundert nicht, wenn LaQuadrature sich angesichts dieses Erfolgs freut: Seit der Einführung der DSGVO in 2018 war die Hoffnung, größere global agierende Konzerne belangen zu können, zwischenzeitlich bereits durch mehrere Niederlagen geschrumpft. Diese Konzerne sind jedoch für einen erheblichen Teil problematischer Datenverarbeitungen auf globaler Ebene verantwortlich und direkt beteiligt an der Entwicklung datenschutzrechtlich relevanter technologischer Neuerungen, etwa der Datensammlung zur Erstellung von Schattenprofilen.

Die kollektive Beschwerdeform

Zuletzt ist bemerkenswert, dass immer wieder NGOs und Aktivisten im Rampenlicht besonders einschlägiger Urteile stehen. Diese verfügen nämlich nicht zwingend über den politischen oder finanziellen Einfluss, um konsequent etwaige Sachverhalten aufzuarbeiten. Die DSGVO sieht nach Art. 80 vor, dass jede betroffene Person unter gewissen Voraussetzungen das Recht hat, eine Einrichtung, Organisation oder Vereinigung ohne Erwerbszweck mit der Wahrnehmung ihrer durch die DSGVO verliehenen Rechte zu beauftragen, sodass eine Beschwerde ihn Ihrem Namen eingereicht werden kann. Deutsche könnten also auch NGOs wie die LaQuadrature unterstützen. Dieser Teilerfolg kann daher als Hoffnungsschimmer betrachtet werden, dass bereits mit individueller Teilhabe ein markanter Erfolg erzielt werden kann.