Cookie-Einwilligung: Microsoft muss 60 Millionen Euro in Frankreich zahlen

Microsoft soll in Frankreich wegen umständlicher Cookie-Einstellungen und dem Setzen solcher Browserdateien über die Webseite der Suchmaschine Bing ohne die erforderliche Zustimmung der Nutzer eine Strafe von 60 Millionen Euro zahlen. Einen entsprechenden Beschluss vom 19. Dezember hat die französische Datenschutzbehörde CNIL am Donnerstag veröffentlicht. Sie begründet die Höhe des Bußgelds mit dem Umfang der erfolgten Datenverarbeitung und der Anzahl der betroffenen Personen.

Eingepreist hat die Aufsichtsinstanz auch Gewinne, die der US-Konzern mit europäischem Hauptsitz in Irland aus Werbeeinnahmen erzielt habe. Berücksichtigt hat die CNIL dabei nach eigenen Angaben nur Einkünfte, die indirekt auf Daten beruhen, die Microsoft mithilfe von Cookies gesammelt hat.

Cookie: Kontrollen der Datenschützer

Vorausgegangen waren Kontrollen der Datenschützer auf bing.com im September 2020 und Mai 2021. Sie stellten dabei fest, dass bei Nutzern Cookies ohne Zustimmung auf den Endgeräten landeten, obwohl sie unter anderem Werbezwecken dienten. Es habe keine Schaltfläche gegeben, mit der Besucher das Setzen der Browserdateien "ebenso einfach ablehnen, wie akzeptieren" hätten können. Um über den Banner alle Cookies zurückzuweisen, waren zwei Klicks erforderlich; um sie entgegenzunehmen nur einer. Dieser verkomplizierte Ablehnungsmechanismus verleitete User den Prüfern zufolge dazu, aus Bequemlichkeit die Zustimmungsschaltfläche im ersten Fenster zu bevorzugen.

Zusätzlich zu der Geldstrafe erließ die CNIL auch eine Anordnung, wonach das Unternehmen auf bing.com innerhalb von drei Monaten die Zustimmung von Personen einholen muss, die die Suchmaschine aus Frankreich ansteuern, bevor es auf ihrem Endgerät Cookies zu Werbezwecken ablegt und Tracker einsetzt. Bei einer verspäteten Umsetzung dieser Auflage droht Microsoft ein Zwangsgeld in Höhe von 60.000 Euro pro Tag. Die Behörde verweist darauf, dass die Bedingungen für das Einholen der Zustimmung der Nutzer lange rechtswidrig gewesen seien. Erst am 29. März 2022 habe der Konzern eine Schaltfläche "Alles ablehnen" eingeführt.

Die Sanktion verhängte die CNIL nicht auf Basis der Datenschutz-Grundverordnung (DSGVO). Sie stützte sich auf Artikel 82 des nationalen Gesetzes über Informatik und Freiheiten, mit dem der französische Gesetzgeber die E-Privacy-Richtlinie der EU von 2002 umgesetzt hatte. Die französischen Kontrolleure mussten den Fall so nicht an die irische Datenschutzbehörde DPC weiterleiten, die nach der DSGVO federführend für Microsoft zuständig ist. Die CNIL verhängte zuvor aus vergleichbaren Gründen eine Strafe in Höhe von 100 Millionen Euro gegen Google, die der Conseil d'Etat im Januar abschließend bestätigte. Auch Facebook musste in Frankreich schon 60 Millionen wegen Opt-in-Problemen zahlen.

(mho)