CDON AB

Was passiert ist

Die schwedische Datenschutzbehörde untersuchte nach einer Beschwerde aus Österreich den Einsatz von Google Analytics auf der Webseite des Unternehmens. Sie stellte fest, dass durch das Tool übermittelte Daten – eindeutige Kennungen, URL- und Browserinformationen sowie IP-Adressen – personenbezogene Daten sind, und dass die Übermittlung in die USA seit dem 14.08.2020 gegen Art. 44 DSGVO verstieß, da Standardvertragsklauseln und die von Google bzw. dem Unternehmen ergriffenen ergänzenden Maßnahmen (u. a. IP-Kürzung) den Zugriff US-amerikanischer Geheimdienste nicht wirksam verhindern. Das Unternehmen erhielt eine Geldbuße von 300.000 SEK sowie die Anordnung, die Verarbeitung an Kapitel V DSGVO anzupassen und die eingesetzte Google-Analytics-Version einzustellen.

Verfahrensgang

1. 30.06.2023 — Behörde
   festgesetzt · 25.411,88 € (300.000,00 € SEK, Kurs 0.084706280971 vom 30.06.2023)
   Art. 44

   Inoffizielle englische Übersetzung; nur die schwedische Fassung ist authentic (im Dokument vermerkt). Zusätzlich zur Geldbuße Abhilfeanordnung nach Art. 58 Abs. 2 lit. d mit Ein-Monats-Frist. Festgestellter Verstoß allein gegen Art. 44; Register nennt zusätzlich Artikel 4 und 46 – Art. 4 diente nur der Begriffsklärung und Art. 46 wurde als nicht ausreichendes Übermittlungsinstrument bewertet, kein eigenständiger Art.-46-Verstoß festgestellt. Gegenstandsberechnung: Jahresumsatz 2022 ca. 461 Mio. SEK, daher Obergrenze EUR 20 Mio.; als sachgerecht wurden geringer Schweregrad und die nach Schrems II unsichere Rechtslage als mildernd gewertet. Register-Entscheidungsdatum stimmt mit Dokument überein (2023-06-30).

   Amtlicher Bescheid (PDF, en)

Quellen

• https://www.edpb.europa.eu/system/files/2023-10/se_2023-06decisionpublic_redacted.pdf — abgerufen 31.08.2026, Rolle: tragende Quelle

Einen Fehler melden

Fehlt eine Instanz oder stimmt ein Betrag nicht? Korrektur zu EDPBI:SE:OSS:D:2023:824 vorschlagen.