DSFA

Das Warten hat ein Ende
Ailance™ DSFA ist da!

Rekordbußgeld gegen Amazon: Verwaltungsgericht bestätigt CNPD-Entscheidung in Höhe von 746 Millionen Euro

Das Verwaltungsgericht Luxemburg bestätigt ein Rekordbußgeld gegen Amazon.
Kategorien:

Die luxemburgische Datenschutzaufsichtsbehörde Commission Nationale pour la Protection des Données (CNPD) hat am 15. Juli 2021 Amazon Europe Core S.à r.l. eine Rekordgeldbuße in Höhe von 746 Millionen Euro auferlegt. Das Verwaltungsgericht Luxemburg hat diese Entscheidung am 18. März 2025 in vollem Umfang bestätigt.

CNPD verhängt Rekordbußgeld gegen Amazon

Der Ausgangspunkt für das Verfahren war die umfassende Analyse der datengestützten Werbemaßnahmen von Amazon Europe Core S.à r.l. durch die luxemburgische Datenschutzaufsichtsbehörde CNPD. Im Rahmen einer langjährigen Untersuchung wurden unter anderem die Prozesse zur Erhebung, Speicherung, Analyse und Weiterverarbeitung personenbezogener Daten durch Amazon überprüft. Im Mittelpunkt stand dabei insbesondere die Verwendung dieser Daten für interessenbasierte Werbung, also die personalisierte Ausspielung von Werbeinhalten basierend auf dem Nutzerverhalten, bisherigen Käufen und anderen digitalen Spuren.

Die CNPD stellte fest, dass Amazon keine wirksame Einwilligung der betroffenen Personen für die Verarbeitung ihrer personenbezogenen Daten zu Werbezwecken eingeholt hatte. Stattdessen stützte sich Amazon auf ein berechtigtes Interesse gemäß Artikel 6 Absatz 1 lit. f DSGVO, das jedoch im konkreten Fall nicht als hinreichend angesehen wurde. Die Behörde befand, dass die Interessen, Grundrechte und Grundfreiheiten der betroffenen Nutzer gegenüber dem wirtschaftlichen Interesse von Amazon überwiegen.

Zudem wurden gravierende Defizite im Bereich der Transparenz festgestellt. Die betroffenen Personen seien weder ausreichend noch verständlich über den Zweck der Datenverarbeitung informiert worden. Auch die Struktur der Datenschutzerklärung und die Erreichbarkeit relevanter Informationen seien aus Sicht der Behörde unzureichend gewesen. Dies stelle eine Verletzung der Artikel 12 bis 14 DSGVO dar.

Des Weiteren wurden Amazon schwerwiegende Mängel in der Umsetzung der Betroffenenrechte vorgeworfen. Anfragen zur Auskunft gemäß Artikel 15 DSGVO seien nicht oder nur unvollständig beantwortet worden. Ebenso habe das Unternehmen die Rechte auf Berichtigung, Löschung und Widerspruch nicht angemessen berücksichtigt. Die CNPD sah darin systematische Verstöße gegen Artikel 16, 17 und 21 DSGVO.

746.000 Euro Zwangsgeld pro Tag bei Nichtumsetzung

Aufgrund dieser Verstöße verhängte die CNPD im Juli 2021 ein Bußgeld in Höhe von 746 Millionen Euro. Darüber hinaus wurden Amazon konkrete Abhilfemaßnahmen auferlegt. Für den Fall der Nichtumsetzung wurde ein tägliches Zwangsgeld von 746.000 Euro angedroht. Zudem ordnete die Behörde die Veröffentlichung der Entscheidung an, um eine abschreckende Wirkung zu erzielen und Transparenz für die Öffentlichkeit herzustellen.

Amazon erhob daraufhin Klage gegen die Entscheidung – mit dem Ziel, die Sanktionen aufzuheben oder zumindest herabzusetzen. Diese Klage wurde nun vom Verwaltungsgericht Luxemburg mit Urteil vom 18. März 2025 in vollem Umfang abgewiesen.

Lese-Tipp: Mega-Strafe gegen Meta – fast 800 Millionen Euro Bußgeld

Kernaussagen des Urteils

Das Verwaltungsgericht Luxemburg hat in seiner Entscheidung alle zentralen Feststellungen der CNPD bestätigt. Nach eingehender Prüfung kam das Gericht zu dem Schluss, dass Amazon Europe Core S.à r.l. gegen grundlegende Bestimmungen der Datenschutz-Grundverordnung verstoßen hat. Im Mittelpunkt stand dabei insbesondere die rechtswidrige Verarbeitung personenbezogener Daten zum Zwecke der personalisierten Werbung.

Das Gericht stellte klar, dass eine Verarbeitung zu Werbezwecken grundsätzlich zulässig sein kann – allerdings nur, wenn sie auf einer gültigen Rechtsgrundlage beruht. Diese war im Fall Amazon nicht gegeben. Die Berufung auf ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO sei angesichts der Eingriffsintensität der Verarbeitung und des Fehlens einer wirksamen Einwilligung nicht tragfähig gewesen. Der wirtschaftliche Nutzen für Amazon rechtfertige keinesfalls die tiefgreifende Profilbildung und das umfassende Tracking der Nutzer über mehrere Plattformen hinweg.

Besonderen Wert legte das Gericht auf die Transparenzpflichten. Es bestätigte die Auffassung der CNPD, dass die von Amazon zur Verfügung gestellten Informationen zur Datenverarbeitung unzureichend, unklar und teilweise irreführend seien. Dies stelle nicht nur einen formalen Mangel dar, sondern behindere die Ausübung der Rechte der Betroffenen in substanzieller Weise.

Auch im Hinblick auf die Umsetzung der Betroffenenrechte zeigte das Gericht keine Nachsicht. Auskunftsersuchen seien unvollständig oder verspätet beantwortet worden. Berichtigungs- und Löschungsansprüche seien nur schleppend oder gar nicht umgesetzt worden, was auf strukturelle Defizite im Datenschutzmanagement bei Amazon hindeute. Gleiches gelte für den Umgang mit Widersprüchen gegen die Datenverarbeitung.

Ein weiterer zentraler Aspekt war die fehlende Reaktion von Amazon auf die von der CNPD angeordneten Maßnahmen. Das Unternehmen habe über einen langen Zeitraum hinweg keine ausreichenden Anstrengungen unternommen, um die Datenschutzverstöße abzustellen. Diese anhaltende Untätigkeit wertete das Gericht als fortgesetzte Missachtung des europäischen Datenschutzrechts, was die Höhe der Sanktion zusätzlich rechtfertige.

Bedeutung der Amazon-Entscheidung für die Praxis

Mit diesem Urteil sendet das Verwaltungsgericht Luxemburg ein Signal in Richtung großer Tech-Unternehmen: Selbst globale Marktführer müssen sich den Anforderungen an eine transparente, faire und rechtmäßige Datenverarbeitung unterwerfen – insbesondere bei der Profilbildung zu Werbezwecken.

Das Urteil verdeutlicht zudem die Bedeutung der Compliance mit Betroffenenrechten. Unternehmen, die in großem Umfang personenbezogene Daten verarbeiten, sind gut beraten, ihre Informationspflichten, Auskunftsprozesse und Widerspruchsmöglichkeiten regelmäßig zu überprüfen und entsprechend zu dokumentieren. Datenschutz durch Technikgestaltung (Privacy by Design) und datenschutzfreundliche Voreinstellungen (Privacy by Default) sollten von Beginn an integriert werden.

Für Datenschutzbeauftragte bedeutet dieses Urteil: Die Einhaltung der DSGVO ist nicht nur rechtlich verpflichtend, sondern auch wirtschaftlich hochrelevant. Regelmäßige Audits, ein dokumentiertes Rechte-Management sowie technische und organisatorische Maßnahmen (TOMs) sind unerlässlich – insbesondere bei datengetriebenen Geschäftsmodellen. Ein risikobasierter Ansatz im Datenschutzmanagement hilft, potenzielle Schwachstellen frühzeitig zu identifizieren und abzustellen.

Ausblick: Amazon kann auf Zeit spielen

Amazon hat nun die Möglichkeit, gegen das Urteil Berufung vor dem Cour administrative einzulegen. Bis zur Entscheidung der nächsten Instanz wurde dem Berufungsverfahren eine aufschiebende Wirkung zuerkannt. Ob das Unternehmen diesen Weg beschreiten wird, bleibt abzuwarten. 

Quelle: Mitteilung des Verwaltungsgerichts Luxemburg

Tipp: Riskieren Sie keine Bußgelder! Mit Ailance können Sie den Großteil Ihrer Datenschutz- und Compliance-Aufgaben automatisieren. Nehmen Sie Kontakt zu uns auf, wir stellen Ihnen unsere Lösungen gerne vor.
☎️ +49 (228) 926165-100
📧  info@2b-advice.com

Tags:
Share this post :
de_DEGerman