Noyb: Werbeunternehmen Criteo muss 40 Millionen Euro Strafe für DSGVO Verstöße zahlen

Noyb: Werbeunternehmen Criteo muss 40 Millionen Euro Strafe für DSGVO Verstöße zahlen

Wien, 22. Juni 2023

Die französische #Datenschutzbehörde (CNIL) hat Criteo, ein großes Unternehmen für Online Werbung und Tracking in Europa, wegen Verstößen gegen die #DSGVO mit einer Geldstrafe von 40 Millionen Euro belegt. Diese Entscheidung basiert auf Beschwerden, die von Noyb und Privacy International im Dezember 2018 eingereicht wurden. Die CNIL stellte fest, dass das Unternehmen die Rechte der betroffenen Personen gemäß der DSGVO nicht einhielt und nicht nachweisen konnte, dass es eine gültige Einwilligung erhalten hatte.

• Original Pressemitteilung der CNIL (englisch)

• Original Beschwerde von Noyb und Privacy International (Dezember 2018)

• Brief der CNIL an Noyb (französisch)

Criteo – großer Player in der Ad #Tech Branche. Das französische Unternehmen #Criteo bietet auf Tausenden von Websites »Behavioral Retargeting« Dienste an. Zu diesem Zweck platziert das Unternehmen #Tracking #Cookies auf Websites, um die Surfgewohnheiten der User zu analysieren und festzustellen, welche Produkte und Dienstleistungen diese Person interessieren könnte um gezielt Werbung auszuspielen. Das Unternehmen verfügt über die Daten von rund 370 Millionen Menschen in #Europa.

Die Beschwerde führte zu weiteren Ermittlungen. Im Dezember 2018, also vor mehr als 4,5 Jahren, reichten Noyb und Privacy International eine Beschwerde gegen Criteo ein, weil das Unternehmen den Nutzer:innen keine angemessene Möglichkeit zum Widerruf der Einwilligung gegeben hatte. Diese Beschwerde löste eine umfassende Untersuchung durch die CNIL aus, die für Criteo zuständige Datenschutzbehörde. Die #CNIL weitete die Untersuchung auch auf andere Bereiche aus und stellte weitere Verstöße gegen die DSGVO fest: unter anderem mangelnde Transparenz, Nichteinhaltung des Rechts auf Löschung und Verstöße gegen des Rechts auf Auskunft.

Romain Robert, Datenschutzanwalt bei Noyb: »Wir freuen uns über die Untersuchung und Entscheidung der CNIL. Sie ist ein starkes Signal an die Ad-Tech-Branche, dass sie bei Verstößen gegen das Gesetz mit ernsten Konsequenzen rechnen muss.«

Schwerer Schlag für das Geschäftsmodell von Criteo

Die französische Datenschutzbehörde hat eine eingehende Untersuchung des Geschäftsmodells von Criteo durchgeführt. Dabei wurden zahlreiche Verstöße gegen die DSGVO aufgedeckt.Da eine sehr große Anzahl von Menschen von diesen Verstößen betroffen ist und riesige Datenmengen gesammelt und verarbeitet werden, beschloss die CNIL eine beträchtliche Geldstrafe von 40 Mio. Euro. Die Entscheidung wurde auch von allen anderen Datenschutzbehörden in Europa bestätigt.

Noyb.eu – Europäisches Zentrum für Digitale Rechte. Der Verein Noyb.eu [Aussprache] treibt seit Mai 2018 die Durchsetzung von Europäischen Datenschutzrechten voran und hat bisher rund 800 Verfahren gegen zahlreiche vorsätzliche Verstöße eingebracht – unter anderem gegen Unternehmen wie #Google, #Apple, #Facebook und #Amazon. Mehr als 5.000 Fördermitglieder ermöglichen die Arbeit von noyb.eu.

Stellungnahme von Criteo

»Criteo hat den finalen Sanktionsbescheid der CNIL vom 21. Juni 2023 zur Kenntnis genommen und beabsichtigt, vor den zuständigen Gerichten Berufung einzulegen. Die CNIL hat die Höhe der Sanktion von den ursprünglich angelegten 60 Millionen Euro auf 40 Millionen Euro herabgesetzt. Die finale Sanktion bleibt jedoch mit Blick auf die vermeintlichen Verstöße völlig unverhältnismäßig und entspricht nicht der gängigen Marktpraxis in solchen Sachverhalten. Zudem sind wir der Auffassung, dass eine Reihe von Auslegungen und Anwendungen der #DSGVO durch die CNIL weder der Rechtsprechung des Europäischen Gerichtshofs noch den eigenen Leitlinien der CNIL entsprechen. Wir bleiben der Ansicht vorher getroffener Statements, dass die von der CNIL erhobenen Vorwürfe weder ein Risiko für Einzelpersonen noch einen Schaden für sie beinhalten. Criteo sieht sich dem Schutz der Privatsphäre und der Daten der Nutzer absolut verpflichtet und verwendet folglich in seinen Geschäftsaktivitäten einzig vollständig pseudonymisierte, nicht direkt identifizierbare und nicht-sensible Daten. Der Entscheid bezieht sich auf vergangene Sachverhalte und enthält keinerlei Verpflichtung für Criteo die aktuellen Geschäftspraktiken anzupassen; auf das Dienstleistungsniveau und die Performance, die wir unseren Kunden bieten, hat er keine Auswirkungen. Wir werden auch weiterhin die höchsten Standards in diesem Bereich wahren und weltweit gänzlich transparent sowie regelkonform operieren. Zum jetzigen Zeitpunkt geben wir keine weiteren Erklärungen ab«, so Ryan Damon, Chief Legal Officer bei Criteo.