Rekordbußgeld gegen Amazon

Ein Bußgeld in der Höhe von 746 Millionen Euro (umgerechnet 888 Millionen Dollar) hat die Luxemburger Datenschutzbehörde gegen Amazon Europe Core S. à r. l.  verhängt. Ein Rekord – Das höchste zuvor in der EU verhängte Bußgeld, damals gegen Google, belief sich auf 50 Millionen Euro.

Amazon kündigte an, die Entscheidung anzufechten und wies diese als unbegründet zurück. Zeitgleich wurde dem Bußgeld im Wege des Kohärenzverfahrens durch die anderen europäischen Datenschutzbehörden zugestimmt. Zudem könnte ein weiteres Bußgeld von 746.000 Euro pro Tag anfallen, sollte Amazon entsprechende, bislang versäumte Anforderungen an den Datenschutz nicht innerhalb von sechs Monaten entsprechen.

Was ist passiert?

Die französische NGO LaQuadrature hatte sich mit 10.000 weiteren Personen (Angabe LaQuadrature) kollektiv gegen die US-Konzerne Amazon, Google, Apple, Microsoft und Facebook beschwert (RkuXoFxl2j (laquadrature.net)). Gegenstand der Beschwerde gegen Amazon ist das betriebene Online-Targeting, um personalisierte Werbung auszuspielen. Hierbei bemängelten die Beschwerdeführer, dass zugrunde legen einer falschen Rechtsgrundlage für die Verarbeitung der Daten und den Verstoß gegen das Einwilligungserfordernis.

Hinzu kommt, dass die für die personalisierte Werbung relevanten Daten nicht ausschließlich nur auf der Amazon-Webseite erhoben werden, sondern im Rahmen des sogenannten Conversion – Trackings Interaktionen von Webseitenbesuchern über mehrere Webseiten verfolgt werden können. Mit den gewonnenen Informationen können die Webseitenbesuchern unterschiedlichen Gruppen zugeordnet und gruppenspezifische Werbung ausgespielt werden. Die Werbung hat folglich eine höhere „Interessenquote“, das Vorgehen führt jedoch auch dazu, dass im Vorfeld signifikant mehr Daten über die Personen erhoben werden.

Amazons Reaktion auf das angekündigte Bußgeld fiel unbeeindruckt aus. Der Konzern wies jegliche Vorwürfe zurück. Die Beschwerdeführer hielten dem entgegen, dass schon in der durch Amazon betriebenen Art und Weise des Targetings selbst ein Datenschutzverstoß läge. Zum Zeitpunkt der Beschwerde sollte die Einwilligung des Webseitenbesuchers durch eine vorangekreuzte Checkbox eingeholt werden. Zudem sei von einer Einwilligung in die Datenverarbeitung zu diesem Zweck automatisch ausgegangen worden, wenn die Webseitenbesucher den Datenschutzhinweis ignorierten und die Webseite weiter besuchten. Hierbei handele es sich jedoch nicht um eine aktive Einwilligung, wie sie die DSGVO in Art. 6 Abs. 1 S. 1 lit. a) DSGVO fordert. Eine aktive Einwilligung setzt neben einem hinreichenden Datenschutzhinweis ein autonomes Tun voraus. Dies sei hier nicht gegeben, da auch bei einer ausbleibenden Zustimmung eine Datenverarbeitung zum Zweck des Targetings stattfände.

Auch der hilfsweise Verweis auf mehrere Rechtsgrundlagen für ein und dieselbe Datenverarbeitung, sofern keine Einwilligung erteilt wurde, wurde durch den Beschwerdeführer bemängelt. Dies hätte zur Folge, dass das Widerrufsrecht der Einwilligung ausgehebelt werde. Zudem wäre die Benennung von anderen Rechtsgrundlagen hier unzutreffend. Die Datenverarbeitung auf Art. 6 Abs. 1 S. 1 lit. b) DSGVO zu stützen, könne im Fall des Targetings nicht zutreffen, da die Erstellung eines Interessenprofils zu Werbezwecken über die Warenlieferung zur Vertragsabwicklung weit hinausgehe. Ebenso könne das berechtigte Interesse im Rahmen von Art. 6 Abs. 1 lit. f) DSGVO keine zutreffende Rechtsgrundlage darstellen, weil schutzwürdige Interessen des Betroffenen in einer durchzuführenden Interessenabwägungen über die Interessen an den Werbemaßnahmen hinausreichen würden.

Die Luxemburger Datenschutzbehörde folgte wie zu erwarten diesen Ausführungen und verhängte ein entsprechendes Bußgeld.

Wie geht es weiter?

Sofern es zu einer gerichtlichen Auseinandersetzung kommt, ist ein langwieriges Verfahren  anzunehmen. Es könnte mehrere Jahre in Anspruch nehmen. Auch der Ausgang ist fraglich. Vergleichbare Verfahren führten zuletzt zu massiven Kürzungen des verhängten Bußgeldes oder sogar zur vollständigen Aufhebung, wie bei dem Dienstleister 1&1.

Nicht nur wegen des hohen Bußgeldes, das sich an dem Vorjahresumsatz von Amazon orientiert, ist das Verfahren beachtlich. Auch sind große, global tätige Unternehmen seit Einführung der DSGVO im Jahr 2018 nur seltener als erwartet belangt worden, obwohl diese den größten Teil der weltweiten Daten verarbeiten.