DSGVO-Verstöße: Über drei Millionen Euro Strafe für Carrefour

Der französische Einzel- und Großhandelsriese Carrefour muss wegen mehrerer Verstöße gegen die Datenschutz-Grundverordnung (DSGVO) insgesamt 3,05 Millionen Euro zahlen. Eine entsprechende Sanktion hat die Datenschutzbehörde CNIL verhängt, nachdem sie mehrere Beschwerden gegen die Gruppe erhalten und zwischen Mai und Juli 2019 Inspektionen vor Ort durchgeführt hatte. Eine Forderung von 2,25 Millionen Euro geht nun an den Mutterkonzern, die Banktochter Carrefour Banque soll 800.000 Euro berappen.

Daten zu lange gespeichert

Bei ihrer Untersuchung stellten die Prüfer unter anderem fest, dass der französische Marktführer noch die Daten von mehr als achtundzwanzig Millionen früherer Kunden im Rahmen eines Bonusprogramms speicherte, obwohl diese seit fünf bis zehn Jahren inaktiv waren. Dasselbe galt für 750.000 Nutzer der Website carrefour.fr. Die praktizierte Aufbewahrungsfrist von vier Jahren für Kundendaten nach dem letzten Kauf sei zu lang gewesen.

Carrefour hat der CNIL zufolge zudem gegen Informationspflichten aus der DSGVO verstoßen. Die Angaben, die das Unternehmen den Besuchern der Stammwebseite und von carrefour-banque.fr sowie den Inhabern der Bonuskarte zur Verfügung stellte, seien schwer zugänglich, kaum verständlich und lückenhaft gewesen. Ferner seien Cookies ohne die erforderliche Einwilligung gesetzt worden.

Schärfere Sanktionen abgewehrt

Carrefour habe auch ungerechtfertigt einen Identitätsnachweis verlangt, wenn Kunden ihre verbrieften Kontrollrechte ausüben wollten, kritisiert die Aufsichtsinstanz. Mehreren Auskunftsersuchen sei der Konzern zu spät oder gar nicht nachgekommen. Für das Treueprogramm habe er persönliche Kontaktangaben erhoben und – entgegen der Zusage – an den hauseigenen Finanzdienstleister weitergegeben. Von weiteren und schärferen Sanktionen sah die CNIL ab, da Carrefour "erhebliche Anstrengungen unternommen" habe, um alle festgestellten Verstöße zu beheben.

(mho)