Über die Nachricht vom 19.09.19, dass lieferando.de bzw. die dahinter stehenden Delivery Hero Germany GmbH von der Berliner Aufsichtsbehörde mit einem Bußgeld von knapp 200.000 Euro bestraft wurde, war ich zugleich überrascht und erfreut. Die Überraschung rührte aus dem bisher ungekannten Mut einer Aufsichtsbehörde, tatsächlich abschreckende Bußgelder zu verhängen. Ein Meilenstein für den deutschen Datenschutz! Und ich war erfreut, dass ein großes, bekanntes Unternehmen überprüft wurde und man sich nicht nur an den Kleinen übt. Schließlich ist die vom Bußgeld ausgehende Ausstrahlung für andere Unternehmen groß und der positive Effekt für den Datenschutz daher nicht zu unterschätzen. Abschreckung hilft häufig im Rechtsstaat. Insofern meinen Respekt, lieber Berliner!
Zahlreiche Tracker im Einsatz
Aber meine Freude währte leider nur kurz, als ich kurz darauf die Website von Lieferando besuchte. Meldete doch mein Privacy Badger im FireFox, dass sich zahlreiche Tracker – unter anderem von Google und Facebook auf der Startseite tummeln. Und dies, ohne eine Einwilligung vor dem Trackingvorgang einzuholen, wie es die Aufsichtsbehörden in ihrer Orientierungshilfe der DSK vorgeben.
Meine Enttäuschung über diese Entdeckung war groß, denn ich hatte eigentlich erwartet, dass eine Aufsichtsbehörde den Hauptvertriebsweg, über den die meisten personenbezogenen Daten anfallen, in jedem Fall auch prüft. Schließlich wurden alleine 2018 rund 32,6 Millionen Bestellungen über Lieferando abgewickelt, so dass sicher Millionen Betroffene unrechtmäßig getrackt werden.
Aufsichtsbehörde sieht weg
Obwohl die Aufsichtsbehörde im Rahmen Ihrer Prüfung von “wiederholten Verstößen” und “grundsätzlichen, strukturellen Organisationsproblemen” bei Lieferando spricht, hat sie es offenbar nicht für nötig erachtet – oder vielleicht nicht den Mut gehabt – hier genauer hinzuschauen. Zum Glück ist der TÜV bei Fahrzeugprüfungen nicht so schlampig. Sonst könnte es passieren, dass das Abblendlicht bemängelt, aber der Bremsschaden durchgewunken wird. Eine Katastrophe für den TÜV und den Straßenverkehr. Aber offenbar nur eine Lappalie für die Berliner Aufsicht – nur sicher nicht für den Datenschutz und die Betroffenen.
Weil das EuGH-Urteil hinsichtlich der Einwilligung in das Setzen von Cookies unmittelbar bevor stand, wollte ich den Ausgang zunächst abwarten, bevor ich weitere Schritte unternehme. Am 01.10.19 bestätigte dann das höchste Gericht die Auffassung der Aufsichtsbehörden, dass auch in Deutschland die explizite Einwilligung für das Setzen von Tracking-Cookies einzuholen ist. Eine konkludente Akzeptanz durch Weitersurfen oder nur ein OK-Button sind damit ganz klar unzulässig.
Verstöße auch gegen EuGH Urteil
lieferando.de verstößt also nicht nur gegen die Orientierungshilfe der DSK, sondern auch gegen das Urteil des EuGH. Ein guter Grund bei der aus meiner Sicht doch etwas nachlässigen Aufsichtsbehörde Beschwerde einzulegen.
Per E-Mail versandte ich – natürlich PGP verschlüsselt – am 03.10.19 meine Beschwerde und habe der Aufsichtsbehörde bis zum 15.10.19 die Möglichkeit eingeräumt, vor der Veröffentlichung Stellung zu nehmen. Leider hat mich bis heute, 17.10.19 nicht einmal eine Eingangsbestätigung erreicht.
Nach 14 Tagen: nicht mal Eingang bestätigt
Weil ich aber nicht von “grundsätzlichen, strukturellen Organisationsproblemen” bei der Berliner Behörde ausgehe, sondern eher vermute, dass PGP-verschlüsselte E-Mails vielleicht doch noch ein Problemchen sind, habe ich mir erlaubt, die Beschwerde nochmals per “Einschreiben Rückschein” postalisch zu versenden.
Selbstverständlich habe ich alles technisch schön protokolliert und der Beschwerde angehängt.
Fortsetzung folgt
Diesen Artikel werde ich weiter ergänzen, sobald es Neuigkeiten von der Behörde gibt. Wenn Sie zu den ersten zählen möchten, die wissen wollen wie es weitergeht, abonnieren Sie einfach unseren Web Push Kanal am Fuß der Seite. Wir informieren über jede Neuerung in Echtzeit – datenschutzkonform und ganz ohne E-Mail.
[Update 22.10.2019] Die Berliner Aufsichtsbehörde hat den Eingang bestätigt, hält sich jedoch nicht für zuständig.