Der Adtech-Riese Criteo wurde von der französischen Datenschutzbehörde wegen Verstößen gegen die DSGVO mit einer Geldstrafe von 40 Millionen Euro belegt.

Der französische Werbetechnologieriese Criteo hat eine überarbeitete Geldbuße in Höhe von 40 Millionen Euro (44 Millionen US-Dollar) verhängt, weil er die Einwilligung der Nutzer für zielgerichtete Werbung nicht eingeholt hat.

Der fragliche Fall geht auf das Jahr 2018 zurück, als Privacy International eine formelle Beschwerde einreichte Das Nationale Komitee für Informatik und Freiheiten (CNIL), Frankreichs Datenschutzbehörde, nutzt kürzlich eingeführte DSGVO-Vorschriften in der gesamten Europäischen Union. Privacy International sagte, es sei „zutiefst besorgt“ über die Datenverarbeitungsaktivitäten mehrerer Akteure in der Datenvermittlungs- und Werbetechnologiebranche, darunter Criteo. None of Your Business (NOYB), eine in Österreich ansässige gemeinnützige Organisation, die vom Datenschutzanwalt und Aktivisten Max Schrems mitbegründet wurde, fügte der Beschwerde später ihren Namen hinzu.

Der Kern der Beschwerde konzentrierte sich auf das, was Privacy International als „Manipulationsmaschine“ bezeichnete, und bezog sich darauf, wie verschiedene Tracking- und Datenverarbeitungstechnologien dazu dienen, Profile von Internetnutzern für eine präzisere Anzeigenausrichtung zu erstellen, beispielsweise um das Internet zu nutzen, um vorab vorherzusagen, welche Produkte und Produkte verwendet werden Online-Käufer kaufen möchte – Dies wird als „Behavioral Retargeting“ bezeichnet. Privacy International und NOYB behaupteten, Criteo verfüge nicht über eine geeignete Rechtsgrundlage für diese Nachverfolgung, woraufhin die CNIL im Jahr 2020 eine förmliche Untersuchung einleitete.

Vorentscheidung

Spulen wir vor bis zum August 2022: Die Independent National Publishing Commission ist zu einem vorläufigen Ergebnis gelangt, dass Criteo tatsächlich gegen die DSGVO verstoßen hat, und hat gegen das in Paris ansässige Unternehmen eine Geldstrafe in Höhe von 60 Millionen Euro verhängt. Aber in den Monaten seitdem hat Criteo versucht, die Zahl zu reduzieren.

Tatsächlich scheint Criteo in einem heute veröffentlichten kurzen Dokument argumentiert zu haben, dass seine Handlungen unbeabsichtigt waren und kein Schaden entstanden sei. Sie sagte (Übersetzung über DeepL):

Das Unternehmen ist der Ansicht, dass es die in Art. 83 Abs. 2 DSGVO genannten Kriterien besser berücksichtigen sollte, insbesondere im Hinblick auf das Fehlen von Beweisen für einen Schaden, die Unbeabsichtigtheit der Verstöße, die ergriffenen Maßnahmen zur Schadensminderung und die Zusammenarbeit damit sagt, es habe mit der Behörde gezeigt, dass die Aufsicht und die Kategorien der betroffenen personenbezogenen Daten, die einen geringen Eingriff darstellen, es rechtfertigen würden, dass, wenn der Beschränkungsausschuss beschließt, eine Geldbuße zu verhängen, die vom Berichterstatter vorgeschlagenen 60 Millionen Euro erheblich gekürzt würden.

Darüber hinaus sagte Criteo, dass die anfängliche Geldbuße die Hälfte seines Gewinns und 3 % seines weltweiten Umsatzes ausmacht, was „Nahe an der gesetzlichen Höchstgrenze, die gemäß der DSGVO zulässig ist, war sie im Vergleich zu anderen Geldbußen, die die CNIL gegen Unternehmen wie Google und Facebooks Muttergesellschaft Meta verhängte, die jeweils nur 0,07 % bzw. 0,06 % des weltweiten Umsatzes ausmachten, überhöht.

Somit hat sich die CNIL den Beschwerden von Criteo angenommen und die Geldbuße um ein Drittel herabgesetzt. Der Abschlussbericht der CNIL zeichnet jedoch immer noch ein hartes Bild der Missachtung des Datenschutzes durch Criteo.