SAN-2022-018

Was passiert ist

Der beschlussfähige Ausschuss der CNIL verhängt gegen eine wirtschaftliche Interessengemeinschaft, die eine Webseite mit mehr als 3,7 Millionen Nutzerkonten betreibt, ein Bußgeld von 250.000 EUR. Die Prüfung ergab, dass die Daten von rund 946.000 Mitgliedern und 17.500 Abonnenten aufbewahrt wurden, deren letzte Bestellung oder Rechnung mehr als 36 Monate zurücklag, obwohl die Datenschutzerklärung eine solche Frist versprach; der Verstoß betraf über 25 % der Konten. Im Bereich der Sicherheit waren Passwörter auf acht Zeichen ohne Komplexitätsanforderungen begrenzt, wurden im Klartext per E-Mail versandt und Zugangsdaten unzureichend geschützt aufbewahrt, wodurch sämtliche Konten verwundbar waren. Festgestellt wurden Verstöße gegen Art. 5 Abs. 1 lit. e und Art. 32 DSGVO; die Entscheidung wird veröffentlicht.

Verfahrensgang

1. 08.09.2022 — Behörde
   festgesetzt · 250.000,00 €
   Geldbuße
   Art. 5Art. 32

   Rechtsgrundlage steht nur in der Délibération; die Liste nennt keine DSGVO-Artikel. Die CNIL stützt Bußen teils auf nationale Rechtsgrundlagen (z. B. Art. 82 loi Informatique et Libertés, Art. L. 34-5 CPCE) -- die gehören nach Konvention nicht in die Artikel-Liste. Name der wirtschaftlichen Interessengemeinschaft (GIE) und der Webseite sind in der veröffentlichten Fassung geschwärzt; Branche aus dem Sachverhalt (Webseite mit kommerziellen Daten, große Nutzerbasis). Querverarbeitung mit mehrstaatlichem Bezug; alle EU-Aufsichtsbehörden wurden nach Art. 56 DSGVO informiert. Strafe wurde auch angesichts der Bemühungen des Unternehmens im Verfahren und dessen wirtschaftlicher Lage auf 250.000 EUR bemessen.

   Amtliche Quelle (fr)

Quellen

• https://www.edpb.europa.eu/system/files/2024-03/7-fr-2022-09-decision-public.pdf — abgerufen 31.08.2026, Rolle: tragende Quelle
• https://www.cnil.fr/fr/les-sanctions-prononcees-par-la-cnil — abgerufen 22.09.2026, Rolle: tragende Quelle

Einen Fehler melden

Fehlt eine Instanz oder stimmt ein Betrag nicht? Korrektur zu SAN-2022-018 vorschlagen.