[ziesell]

Verstoß gegen DSGVO: Spotify muss Millionenstrafe zahlen

Die schwedische Datenschutzbehörde ist zunächst mehrere Jahre untätig geblieben und erst durch gerichtlichen Zwang gegen Spotify vorgegangen.



Die schwedische Datenschutzbehörde hat Spotify zu einer Strafzahlung von 58 Millionen schwedischen Kronen verurteilt, das sind umgerechnet rund 5,03 Millionen Euro. Laut der Behörde verstieß Spotify gegen Artikel 15 der Datenschutz-Grundverordnung (DSGVO). Im konkreten Fall ging es darum, wie Spotify mit persönlichen Daten umging und wie der Zugriff der Kunden auf diese Daten geregelt wurde.

Die Integritetsskyddsmyndigheten (IMY) stellte fest, dass Spotify den Nutzern zwar auf Anfrage personenbezogene Daten zur Verfügung stellte, allerdings "nicht deutlich genug darüber informiert, wie diese Daten von dem Unternehmen verwendet werden". Spotify müsse transparenter machen, "wie und zu welchen Zwecken die personenbezogenen Daten der Nutzer verarbeitet werden", fordert die Behörde.

Die mangelnde Transparenz und Verständlichkeit sorgte laut IMY dafür, dass "es für den Einzelnen schwierig war zu verstehen, wie die eigenen personenbezogenen Daten verarbeitet werden". Dadurch habe es Spotify Kunden erschwert, "zu überprüfen, ob der Umgang mit den eigenen personenbezogenen Daten rechtmäßig ist".

Die schwedische Datenschutzbehörde wollte die Beschwerde nicht untersuchen

Anfang 2019 reichte der österreichische Datenschutzverein Noyb des Juristen Max Schrems Beschwerde gegen Spotify in Schweden in Österreich ein. Da Spotify ein schwedisches Unternehmen ist, wurde der Fall an die dort zuständige Behörde weitergeleitet. In der Beschwerde behauptete Noyb unter anderem, dass Spotify den Nutzern auf Anfrage nicht alle personenbezogenen Daten nach der DSGVO zur Verfügung stelle und die Gründe für die Verarbeitung dieser Informationen nicht offenlege.

Die schwedische Datenschutzbehörde reagierte zunächst nicht auf die Beschwerde. Das führte dazu, dass Noyb im Sommer 2022 Klage gegen die Behörde einreichte und der IMY Untätigkeit vorwarf. Im November 2022 gab es eine Gerichtsentscheidung, dass die IMY gesetzlich verpflichtet sei, Beschwerden nachzugehen und bestätigte damit die Rechtsauffassung von Noyb.

Stefano Rossetti, der Datenschutzjurist bei Noyb kommentierte die Entscheidung folgendermaßen: "Wir freuen uns, dass die schwedische Behörde endlich gehandelt hat. Es ist ein Grundrecht jedes Nutzenden, vollständige Informationen über die Daten zu erhalten, die über sie oder ihn verarbeitet werden. Leider hat der Fall mehr als vier Jahre gedauert und wir mussten gegen die IMY klagen, um eine Entscheidung zu erwirken. Die schwedische Behörde muss ihre Verfahren definitiv beschleunigen."

Noyb wird prüfen, ob Spotify die DSGVO nun einhält

Die IMY stufte die Probleme als "wenig schwerwiegend" ein und erklärte, dass Spotify Schritte unternommen habe, um die Fehler zu beheben. Aufgrund dieser Faktoren sei die Höhe der Geldbuße festgelegt worden. Die Höhe der Geldstrafe richte sich auch nach dem Umsatz von Spotify und der Menge an Kunden. Die Entscheidung sei mit Hilfe anderer Datenschutzbehörden der EU getroffen worden, da Spotify Nutzer in vielen Ländern Europas habe, in denen die DSGVO gilt.

Nach eigener Aussage will Noyb die Entscheidung der IMY nun im Detail prüfen. Dabei geht es um die Frage, ob die Datenschutzbehörde die Rechte der Nutzer vollständig durchgesetzt hat.

[ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]