Der Internetriese Amazon wurde in Luxemburg wegen eines Verstoßes gegen die DSGVO zu einer Strafe von 746 Millionen Euro verurteilt. Wir haben das Urteil und die Hintergründe im Detail analysiert.
Die Luxemburger Datenschutzbehörde CNPD (Commission Nationale pour la Protection des Données) hat dem US-Konzern eine Strafe von fast einer Dreiviertel Milliarde Euro auferlegt. Ausschlaggebend soll ein bislang nicht von offizieller Seite erläuterter Verstoß gegen die DSGVO sein. Das Großherzogtum Luxemburg ist Sitz der Europäischen Tochtergesellschaft von Amazon, daraus ergibt sich auch die Zuständigkeit der Behörde.
Hintergründe zum Urteil
Auslöser für das aktuelle Urteil ist eine mehr als drei Jahre zurückliegende und durch die Aktivisten der französischen Organisation La Quadrature du Net initiierte Sammelklage. Mehr als 10.000 in Frankreich ansässige Personen schlossen sich der Klage an. In einem Blogpost vom 30. Juli 2021 begrüßt die Organisation die Entscheidung und sieht sich durch das aktuelle Urteil final bestätigt: zielgerichtete Werbung auf Amazon beruhe nicht auf freier Zustimmung des Nutzers und verstoße deswegen gegen die DSGVO.
Was wird Amazon genau vorgeworfen?
Amazon listet in seiner Datenschutzerklärung Beispiele für Informationen, die bei der Nutzung seiner Dienste verarbeitet werden. Dazu zählen (amazon.de Datenschutzerklärung Stand 04.12.2020):
gesuchte Produkte und Dienstleistungen in den Stores
- heruntergeladene, gestreamte oder angezeigte Inhalte
- Bilder, Videos und andere Dateien, die auf Prime Photos, Amazon Drive oder andere Amazon-Services hochgeladen oder gestreamt werden
- Logins, Email Adressen und Passwörter
- IP-Adressen
- URL Clickstream, d.h. Reihenfolge der Seiten, die aufgerufen werden, einschließlich Datum und Zeit, sowie Interaktion zwischen den Seiten (z.B. Scrolling, Klicken, Mouse-overs)
Die Erfassung und Weiterverarbeitung dieser Daten sei laut Anklage weder durch berechtigte Interessen gedeckt, noch durch eine Notwendigkeit im Zuge der Vertragserfüllung. Außerdem werde durch Amazon vom Nutzer keine explizite Zustimmung zum Ad-Tracking eingeholt.
Mit dem Urteil bestätigt nun die luxemburgische Datenschutzbeh , dass Amazon personenbezogene Daten rechtswidrig weiterverarbeitet. Die ursprüngliche Klage vom 28. Mai 2018 ist auf der Webseite von La Quadrature du Net als Download in französischer Sprache .
Wer ist La Quadrature du Net?
La Quadrature du Net wurde 2008 von fünf französischen Aktivisten gegründet und hat seine Wurzeln in der Opposition der Urheberrechts-Gesetzgebung in Frankreich. Auf ihrer Webseite präsentiert sich die Organisation als „Verteidiger der Grundfreiheiten in der digitalen Welt“. Ziel sei es, gegen „Zensur und Überwachung, sowohl von stattlicher Seite als auch von privaten Unternehmen“ zu kämpfen und für ein „freies, dezentrales und ermächtigendes Internet“ zu arbeiten.
Amazon widerspricht den Anschuldigungen
Publik gemacht hat die Entscheidung Amazon selbst, in einem Quartalsbericht für die Börsenaufsichtsbehörde SEC (Securities and Exchange Commission). Dort finden sich unter Rubrik „Legal Proceedings“ ein paar Zeilen zum Sachverhalt. Neben der Höhe der Strafzahlung wird als Datum für das Urteil der 16. Juli 2021 genannt. Außerdem wird kurz angemerkt, dass neben der Zahlung auch eine entsprechende Überarbeitung der Geschäftspraxis (corresponding practice revisions) Teil der Auflagen sei. Die exakte Art des Verstoßes bleibt auch hier weitgehend im Unklaren, es wird lediglich erwähnt, bei den Vorwürfen gehe es um die nicht DSGVO-konforme Verarbeitung persönlicher Daten.
Auch hierzu hat sich La Quadrature du Net im bereits erwähnte Blogpost geäußert: es gehe bei der Klage auch gar nicht um gelegentliche Verletzungen der Sicherheitsstandards, sondern um das System der gezielten Werbung an sich .
Rekordzahlung möglich
Sollte Amazon mit seiner Berufung erfolglos bleiben, würde es sich um die höchste Strafe handeln, die je ein Unternehmen wegen eines Verstoßes gegen die DS-GVO zahlen muss. Rund 15 mal mehr, als die 50 Millionen Euro, zu denen Google im Jahr 2019 verurteilt wurde.
Aber man muss die Summe von 746 Millionen Euro auch in den Gesamtkontext einordnen und den möglichen Strafrahmen betrachten. Laut DS-GVO können Strafzahlungen bis zu vier Prozent des Jahresumsatzes betragen und der lag bei Amazon im Jahr 2020 bei rund 380 Milliarden Dollar. 746 Millionen Euro entsprächen da gerade einmal 0,22 Prozent.
Die Datenschützer von La Quadrature du Net jedenfalls feiern die Entscheidung, die Geldstrafe sei historisch und treffe direkt ins Herz des „Raubtiersystems Big Tech“. Gleichzeitig kritisieren sie die Irische Datenschutzbehörde, die es in drei Jahren nicht geschafft habe, eine ihrer anderen Beschwerden gegen Facebook, Microsoft, Apple und Google zum Abschluss zu bringen.
Letztendlich bleibt es spannend, wie sich das Ringen zwischen Datenschützern und Tech-Giganten zukünftig gestalten wird. Noch höhere Strafen sind durchaus wahrscheinlich.
