Amazon bestreitet Verstöße gegen EU-Datenschutzverordnung

Im Streit um eine Geldbuße in Höhe von 746 Millionen Euro hat der weltgrößte Online-Händler Amazon den Vorwurf zurückgewiesen, gegen das EU-Datenschutzrecht verstoßen zu haben. Vor dem Verwaltungsgericht Luxemburg bezeichnete der Anwalt von Amazon eine entsprechende Sanktion durch die luxemburgische Datenschutzbehörde CNPD vom Sommer 2021 als «fehlerhaft aus vielerlei Gründen». Der Anwalt der Behörde warf Amazon hingegen eine unverhältnismäßige Sammlung von Kundendaten vor.

Das Bußgeld war mit Verstößen gegen die seit 2018 geltende Datenschutzgrundverordnung begründet worden. Es zählt zu den höchsten in der Geschichte der europäischen Datenschutzgrundverordnung. Das Urteil des Verwaltungsgerichts, gegen das eine Berufung vor dem Verwaltungsgerichtshof des Großherzogtums möglich ist, wird in einigen Monaten erwartet. Die luxemburgische Justiz ist zuständig, weil sich der Firmensitz von Amazon Europa in Luxemburg befindet.

Der Prozessbeauftragte von Amazon, Rechtsanwalt Thomas Berger, beklagte vor allem, dass die angeblichen Verstöße von der CNPD nicht konkretisiert und auch keine konkreten Änderungsmaßnahmen gefordert worden seien. Unter anderem deswegen hatte das Verwaltungsgericht im Dezember 2021 auf Antrag von Amazon die Bußgeldzahlung vorläufig ausgesetzt.

Berger bezeichnete die Vorwürfe des Verstoßes gegen die Datenschutzgrundverordnung als «vage»: «Es gibt bis auf den heutigen Tag keine Hinweise der CNPD darauf, wie sich Unternehmen verhalten müssen, um nicht gegen dieses Gesetz zu verstoßen.» Damit werde auch das Grundrecht auf die Klarheit und Vorhersehbarkeit von Recht und Unrecht missachtet. Zudem warf er der CNDP Verfahrensfehler vor. Es verstoße gegen rechtstaatliche Prinzipien, wenn eine Behörde Ermittler und Richter zugleich sei.

«Trotz unserer Bemühungen, konstruktiv an der Interpretation der bisher nicht erprobten Datenschutzgrundverordnung mitzuarbeiten, hat die CNPD stattdessen ein Bußgeld in bisher nicht gekannter Höhe auf der Grundlage einer subjektiven und zuvor nicht veröffentlichten Interpretation des Gesetzes verhängt», sagte Amazon-Sprecher Conor Sweeney unmittelbar vor Sitzungsbeginn.

Diese Vorwürfe wurden vom Anwalt der Datenschutzbehörde, Vincent Wellens, zurückgewiesen. «Ein Richter kann vor einer Sanktionsentscheidung keine Hinweise oder Ratschläge geben», sagte er unter Bezug auf die Entscheidungsfindung der CNPD. Es sei Sache des Unternehmens, ein bestehendes Gesetz umzusetzen.

Die CNPD bestreite nicht das Recht von Amazon, Kundendaten für Werbung zu sammeln. Es handele sich hier aber nicht um eine Pizzeria, die einem Stammkunden ein Sonderangebot für dessen Lieblingspizza unterbreiten wolle, sondern um ein riesiges weltweit agierendes Unternehmen mit verschiedenen Plattformen. In diesem Konzern würden von verschiedenen Quellen und auf unterschiedlichen Geräten gesammelte Kundeninformationen mit teils sehr persönlichen Daten ausgetauscht. Wellen kritisierte auch einen Mangel an Transparenz. Die Datensammlung von Amazon gehe über das Maß hinaus, was von den Kunden erwartet werde.

Das Verfahren in Sachen Datenschutz-Grundverordnung hat mit einem anderen wichtigen Rechtsstreit zwischen Amazon und der EU nichts zu tun. Dabei geht es um den sogenannten Digital Services Act, der am 1. November 2022 in Kraft trat. Amazon wurde von der Kommission als einer von sechs «Gatekeepers» identifiziert, die über insgesamt 22 Schlüsselplattformen eine besonders wichtige Rolle für die Beziehung zwischen Unternehmen und Kunden spielen. Für diese «Gatekeeper» gelten besondere Regeln beispielsweise für den Zugang zu den Handelsplattformen und dortige Werbung. Amazon hat gegen diese Einstufung Widerspruch eingelegt und im September 2023 vor dem EU-Gericht in Luxemburg gegen die EU-Kommission eine Einstweilige Anordnung erwirkt. Das Hauptsache-Verfahren ist noch nicht entschieden.