EDPBI:FR:OSS:D:2021:279

Was passiert ist

Nach einer Prüfung bei einem Online-Händler stellte die französische Datenschutzbehörde sechs Verstöße fest: Es gab keine definierten und eingehaltenen Löschfristen (Daten von mehr als 130.000 Personen ohne Kontonutzung seit über fünf Jahren), die Informationspflichten nach Art. 13 DSGVO waren unvollständig (Kontaktdaten des Datenschutzbeauftragten, Löschfristen, Rechtsgrundlagen und einzelne Betroffenenrechte fehlten), Löschanträge wurden nur durch Deaktivierung des Kontos statt durch Löschung erfüllt, und die Sicherheitsmaßnahmen waren unzureichend (sechsstellige rein numerische Passwörter, veralteter MD5-Hash, unverschlüsselt gespeicherte Datenbankpasswörter, geteilte Dienstkonten). Hinzu kamen Verstöße gegen französisches Recht bei Cookies ohne Einwilligung und Direktwerbung per E-Mail ohne vorherige Zustimmung. Das eingeschränkt besetzte Gremium verhängte eine Geldbuße von 500.000 EUR (300.000 EUR für die DSGVO-Verstöße, 200.000 EUR für die Verstöße gegen französisches Recht), ordnete eine Abhilfe mit Tagessanktion an und machte die Entscheidung öffentlich.

Verfahrensgang

1. 14.06.2021 — Behörde
   festgesetzt · 500.000,00 €
   Art. 5Art. 13Art. 17Art. 32

   Name des Unternehmens sowie Nutzer-/Umsatzzahlen sind in der veröffentlichten Fassung durchgängig geschwärzt; erkennbar nur eine einfache Aktiengesellschaft mit einzelnem Aktionär (gegr. 2012). Bußgeld von EUR 500.000 setzt sich aus EUR 300.000 (Verstöße gegen Art. 5 Abs. 1 lit. e, 13, 17 und 32 DSGVO) und EUR 200.000 (Art. 82 des französischen Datenschutzgesetzes sowie Art. L. 34-5 CPCE – kein DSGVO-Verstoß, daher nicht im articles-Feld) zusammen; zusätzlich Abhilfeanordnung mit bedingter Tagessanktion von 500 EUR nach dreimonatiger Frist. Beschlussdatum im Dokumentkopf: 14. Juni 2021 (Register nennt 2021-06-16 – geringe Abweichung, Dokument Vorrang). Artikel 6 (Register) wurde nicht als verletzt festgestellt; Art.-32-Verstoß als Gesamtverstoß ohne zitierten Buchstaben. Diese Entscheidung ist eine Erstbuße im One-Stop-Shop-Verfahren; betroffene Aufsichtsbehörden hatten keinen begründeten Einwand erhoben. KORRIGIERT durch Gegenprüfung 2026-09: decisionDate 2021-06-14 laut Dokumentkopf ("SAN-2021-008 of 14 June 2021"); der Register-Wert 2021-06-16 war damit widerlegt.

   Amtlicher Bescheid (PDF, en)

Quellen

• https://www.edpb.europa.eu/system/files/2022-02/fr_2021-06_decisionpublic_0.pdf — abgerufen 31.08.2026, Rolle: tragende Quelle

Einen Fehler melden

Fehlt eine Instanz oder stimmt ein Betrag nicht? Korrektur zu EDPBI:FR:OSS:D:2021:279 vorschlagen.