40 Millionen Euro DSGVO Strafe wegen personalisierter Werbung (Update)

Die Online-Werbefirma Criteo, die auf „Werbe-Retargeting“ spezialisiert ist, soll in zahlreichen Fällen gegen die DSGVO verstoßen haben. Nachdem die Datenschutzorganisationen Noyb und Privacy International Beschwerde gegen das Unternehmen eingereicht haben, wurde jetzt von der französischen Datenschutzbehörde CNIL eine Strafe verhängt, wie Heise berichtete. 

Criteo sammelt Browserdaten von Internetnutzern mittels Cookies, damit diesen personalisierte Werbung ausgespielt wird. Über Cookies, die auf den Endgeräten der Nutzer gespeichert werden, analysiert das Surfverhalten, um herauszufinden, welche Werbung den Nutzern ausgespielt werden soll. Im Jahr 2022 hat Criteo einen Umsatz von gut zwei Milliarden Dollar eingespielt.

Daten von 370 Millionen EU-Bürgern gesammelt

Criteo soll nach Angaben der CNIL gegen Opt-In-Pflichten verstoßen haben, sowie gegen das Auskunftsrecht der DSGVO und gegen Regelungen zwischen gemeinsamen Datenverantwortlichen nach Artikel 26 der DSGVO. Auch gegen Rechte auf Widerruf der Einwilligung und der Löschung der Daten sollen missachtet worden sein. 

Bei der Höhe der Strafe wurde vor allem berücksichtigt, dass das Unternehmen eine enorm große Menge von Daten sammelt. So soll Criteo die Daten von etwa 370 Millionen EU-Bürgern sammeln und dabei sehr viele Details über deren Konsumverhalten hat. Auch wenn Criteo nicht immer über den Namen der Nutzer verfügt, sind die Daten hinreichend präzise, sodass eine Identifizierung der Person in manchen Fällen möglich wäre. 

„Starkes Signal an die AdTech-Branche“

Romain Robert, Anwalt der von Noyb, sieht den Beschluss als „starkes Signal an die AdTech-Branche, dass sie bei Verstößen gegen das Gesetz mit ernsten Konsequenzen rechnen muss“

Nicht nur Criteo hat die CNIL unter die Lupe genommen. Auch beim Microsoft-Werbenetzwerk Xandr hat die Behörde vor kurzem eine Liste gefunden, die sensible Informationen über Nutzerdaten enthielt, die auf „spionierende Werbung“ hinwies. 

Criteo hat bereits erklärt, dass sie gegen den Beschluss beim zuständigen Gericht Berufung einlegen werden. Ryan Damon, Chefjustiziar bei Criteo gab an, dass die Strafe völlig unverhältnismäßig sei. Auch sei die Auslegung die DSGVO Auslegung der CNIL nicht mit Rechtsprechung des Europäischen Gerichtshof vereinbar, so Damon. 

Update vom 28. Juni: Stellungnahme von Criteo

Wie einer aktuellen Stellungnahme von Ryan Damon zu entnehmen ist, betrug die ursprüngliche Sanktion eine Höhe 60 Millionen Euro. Diese wurde jedoch mittlerweile auf 40 Millionen Euro gesenkt. Doch selbst diese Summe empfinde man als „mit Blick auf die vermeintlichen Verstöße völlig unverhältnismäßig und entspricht nicht der gängigen Marktpraxis in solchen Sachverhalten“ entsprechend. 

Hinsichtlich der durch CNIL erhobenen Vorwürfe betont Damon, dass diese „weder ein Risiko für Einzelpersonen noch einen Schaden für sie beinhalten. Criteo sieht sich dem Schutz der Privatsphäre und der Daten der Nutzer absolut verpflichtet und verwendet folglich in seinen Geschäftsaktivitäten einzig vollständig pseudonymisierte, nicht direkt identifizierbare und nicht-sensible Daten.“