Cookie-Einwilligung: Französisches Gericht bestätigt hohe Strafe gegen Google
Das oberste französische Verwaltungsgericht hat erneut eine Beschwerde von Google gegen ein Bußgeldverfahren der Datenschutzbehörde CNIL abgewiesen.
(Bild: Shutterstock.com/Asif Islam)
Google muss in Frankreich wegen undurchsichtiger Cookie-Einstellungen und dem Setzen solcher Browserdateien ohne die erforderliche Zustimmung der Nutzer mit insgesamt 100 Millionen Euro eine vergleichsweise hohe Strafe zahlen. Eine entsprechende Entscheidung der Commission Nationale de l’Informatique et des Libertés (CNIL) vom Dezember 2020 bestätigte der Conseil d'Etat am Freitag.
Mit dem Beschluss ließ das oberste französische Verwaltungsgericht die Einwände von Google gegen die Sanktionsmaßnahme nicht gelten. Es stellte fest, dass der US-Konzern seinen Verpflichtungen zum Einholen einer informierten Einwilligung der User vor dem Setzen von Cookies nicht nachgekommen ist.
Der Staatsrat entschied auch, dass die von der CNIL verhängten Geldbußen gegen den Hauptsitz des Unternehmens in Kalifornien und die Europazentrale in Irland nicht unverhältnismäßig sind. Er begründete dies vor allem mit den hohen Gewinnen, die der Suchmaschinenriese mit personalisierter Online-Werbung und den dafür gesammelten Daten erziele. Das Gericht verwies ferner auf die dominante Position Googles in Frankreich mit einem Marktanteil von über 90 Prozent und rund 47 Millionen Usern.
Strafen nach nationalem Gesetz
Die CNIL hatte bei einer Kontrolle im März 2020 herausgefunden, dass Google sieben Cookies automatisch auf den Computern der Nutzer ablegte, sobald diese auf die Website gelangten. Darunter waren vier entsprechende Browserdateien, die nur Werbezwecken und dem damit verknüpften Tracking dienten. Während der Untersuchung änderte der Konzern zwar seine Praktiken im August 2020, informierte die Nutzer aber weiterhin nicht direkt und ausdrücklich über den Zweck der Cookies und die Möglichkeiten, diese abzulehnen.
Die Strafen verhängte die Datenschutzbehörde nicht auf Basis der Datenschutz-Grundverordnung (DSGVO). Vielmehr stützte sie sich auf Artikel 82 des nationalen Gesetzes über Informatik und Freiheiten, mit dem der französische Gesetzgeber europäische E-Privacy-Richtlinie von 2002 umgesetzt hatte. Der Conseil d'Etat bestätigte jetzt zudem, dass das in der DSGVO vorgesehene System der einheitlichen Anlaufstelle (One-Stop-Shop) auf das Setzen von Cookies nicht anwendbar ist. Hier greifen demnach primär die nationalen Vorgaben.
Das erwähnte französische Gesetz war laut der Entscheidung auch deswegen anwendbar und die CNIL für die Durchsetzung zuständig, weil die französische Google-Niederlassung die Cookies ausspielte. Sie musste den Fall daher nicht an die irische Datenschutzbehörde DPC weiterleiten, die nach der DSGVO federführend für den Konzern zuständig ist. Die DPC gilt als ressourcenschwach und Flaschenhals bei der DSGVO-Durchsetzung.
Gericht bleibt Linie gegen Google treu
Die Richter waren ferner der Ansicht, dass der Ausschluss des One-Stop-Shop-Ansatzes in Bezug auf Cookies klar genug sei. Sie sahen sich daher nicht verpflichtet, den Europäischen Gerichtshof um eine Vorentscheidung zu ersuchen. Dies hatte Google mit seiner Klage gegen den CNIL-Beschluss gefordert.
Mit dem Urteil bleibt der Conseil d'Etat seiner bisherigen Linie treu. Schon im Juni 2020 hatte er eine 50-Millionen-Strafe der CNIL gegen Google mitgetragen, die zu ihrer Zeit die höchste auf Grundlage der DSGVO verhängte Sanktion war. Auch dabei ging es um intransparente Datenschutz-Einstelloptionen und personalisierte Werbung ohne ausreichende rechtliche Basis. Erst im Januar verurteilte die CNIL Google erneut wegen Verstoß gegen Artikel 82 des französischen E-Privacy-Gesetzes, diesmal zu einer Strafe von insgesamt 150 Millionen Euro. In diesem Fall stellten die Kontrolleure fest, dass Besucher von google.fr und youtube.com öfter klicken mussten, um Cookies abzulehnen als sie anzunehmen.
(bme)
