CNIL: 23 neue vereinfachte Sanktionen für Videoüberwachung, Cookies und Rechte

Hintergrund

Die französische CNIL hat seit Januar 2026 23 neue Sanktionen im Rahmen ihres vereinfachten Verfahrens verhängt, in Höhe von insgesamt 133.750 Euro an Bußgeldern. Davon gingen 19 auf Beschwerden zurück. Das vereinfachte Verfahren, das 2022 für Fälle ohne besondere rechtliche Komplexität eingeführt wurde, ermöglicht es der CNIL, schneller zu handeln. Die Höchststrafen betragen 20.000 Euro, und die Namen der Organisationen werden nicht offengelegt. Die vom französischen Staatsschatzamt eingezogenen Bußgelder fließen in den Staatshaushalt ein. Die Hauptverstöße betreffen Videoüberwachung, Cookies und die Nichteinhaltung der Rechte von Personen, oft verbunden mit einer mangelnden Zusammenarbeit mit der CNIL. Im Bereich der Videoüberwachung wurden Unternehmen wie Schnellrestaurants, Stadtverkehrsunternehmen und Geschäfte in Bahnhöfen bestraft, weil sie ihre Mitarbeiter ohne Rechtfertigung kontinuierlich filmten und damit gegen den Grundsatz der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO) und deren Privatsphäre verstießen, oder weil sie Geräte ohne präfektorale Genehmigung installierten. Bezüglich der Cookies stellte die CNIL auf Online-Ticketverkaufsseiten oder im Telemarketing fest, dass Informationsbanner unvollständig über die Zwecke und den Verantwortlichen der Verarbeitung informierten oder dass es nicht möglich war, die Einwilligung mit der gleichen Leichtigkeit zu verweigern, mit der sie erteilt wurde. Viele Organisationen setzten einwilligungspflichtige Cookies (z. B. Werbe-Cookies) vor jeder Nutzeraktion. Schließlich betreffen 8 der Sanktionen die Nichteinhaltung der Zugangs- oder Löschrechte (Art. 15 und 17 DSGVO), wobei 4 davon auch mit einem Mangel an Zusammenarbeit mit der CNIL zusammenhängen, wie die ausbleibende oder verspätete Beantwortung von Anfragen der Datenverantwortlichen oder Aufforderungen der Behörde selbst (Art. 18 des Gesetzes 'Informatique et Libertés').

Warum es wichtig ist

Wer Mitarbeiter per Videoüberwachung filmt oder Cookie-Banner betreibt, sollte diese Bußgeldwelle ernst nehmen: die CNIL sanktioniert im vereinfachten Verfahren gerade Alltagsverstöße wie Dauerüberwachung am Arbeitsplatz oder Banner, bei denen Ablehnen schwerer ist als Zustimmen. Betroffen waren Schnellrestaurants, Geschäfte und Verkehrsbetriebe, nicht nur Großkonzerne. Prüfen Sie, ob Ihre Kameras wirklich nötig und begründet sind und ob Nutzer Cookies genauso leicht ablehnen wie annehmen können.

Was zu tun ist

• Überprüfung der Videoüberwachungsrichtlinien am Arbeitsplatz, um die Achtung der Privatsphäre und die Datenminimierung zu gewährleisten.
• Überprüfung der Konformität von Cookie-Bannern, um vollständige Informationen und einfache sowie gleichwertige Zustimmungs-/Ablehnungsmechanismen zu gewährleisten.
• Implementierung robuster und zeitnaher Prozesse zur Bearbeitung von Anfragen zur Ausübung der Rechte der betroffenen Personen (Zugang, Löschung).
• Sicherstellung einer schnellen und transparenten Zusammenarbeit mit der Aufsichtsbehörde bei Anfragen oder Kontrollen.
• Schulung des Personals in den relevanten Datenschutzvorschriften für ihre Aufgaben, insbesondere im Hinblick auf die Verwaltung sensibler Daten und die Interaktion mit betroffenen Personen.

Was zu vermeiden ist

• Kontinuierliche Aufnahmen von Mitarbeitern ohne gerechtfertigte Notwendigkeit oder Genehmigung.
• Cookie-Banner mit unvollständigen Informationen oder solchen, die die Ablehnung schwieriger machen als die Annahme.
• Ignorieren oder Verzögern von Anfragen zur Ausübung der Rechte der betroffenen Personen.
• Nichtzusammenarbeit mit der Aufsichtsbehörde während Ermittlungen oder Verfahren.

Praktische Auswirkungen

Organisationen müssen robuste Systeme und Prozesse implementieren, um die Einhaltung der DSGVO in den von der CNIL sanktionierten kritischen Bereichen zu gewährleisten. Die Schnelligkeit und Wirksamkeit des vereinfachten Verfahrens bedeutet, dass selbst weit verbreitete oder scheinbar 'geringfügige' Verstöße zu erheblichen Sanktionen führen können, sowohl finanziell als auch reputativ, wodurch ein proaktiver Ansatz zur Compliance unerlässlich wird.

Zu vermeidende Fehler

• Fortsetzung intrusiver oder nicht durch legitime Zwecke gerechtfertigter Videoüberwachungspraktiken.
• Verwendung von Cookies ohne eine gültige, informierte und leicht widerrufbare Einwilligung der Nutzer.
• Vernachlässigung von Anfragen betroffener Personen oder ungerechtfertigte Verzögerung der Kommunikation mit der Aufsichtsbehörde.

Fragen zur Selbsteinschätzung

• Respektieren unsere Kameras am Arbeitsplatz den Grundsatz der Datenminimierung und die Privatsphäre der Mitarbeiter?
• Bietet unser Cookie-Banner vollständige Informationen und ermöglicht es, die Einwilligung mit der gleichen Einfachheit zu verweigern, mit der sie erteilt wird?
• Haben wir wirksame und zeitnahe Verfahren zur Bearbeitung von Anträgen auf Zugang und Löschung personenbezogener Daten?
• Sind wir bereit, bei Kontrollen oder Beschwerden voll und zeitnah mit der Aufsichtsbehörde zusammenzuarbeiten?

Verweise

Nationales Recht: GDPR art. 5.1.a (liceità del trattamento) · GDPR art. 5.1.c (minimizzazione dei dati) · GDPR art. 12 (trasparenza e modalità di esercizio dei diritti) · GDPR art. 15 (diritto di accesso) · GDPR art. 17 (diritto all'effacemento o diritto all'oblio) · Legge Informatique et Libertés art. 18 (cooperazione con la CNIL) · Legge Informatique et Libertés art. 82 (regole relative ai cookie e altri traccianti) · Codice Civile francese art. 9 (diritto alla vita privata)