AEPD verhängt 2.000.000 Euro Bußgeld gegen AMAZON ROAD TRANSPORT SPAIN, S.L.

Spanien: Die spanische Datenschutzbehörde hatte nach einer Beschwerde der Gewerkschaft Unión General de Trabajadores (UGT) Ermittlungen gegen das für Spanien zuständige Logistikunternehmen des US-amerikanischen Onlineversandhändlers Amazon aufgenommen. Grund der Beschwerde war die nicht datenschutzkonforme Verarbeitung der Daten von formal selbstständigen Fahrern, die Pakete für die Amazon-Plattform auslieferten.
Um von Amazon als Fahrer eingesetzt zu werden, mussten Betroffene über die Smartphone-App „Amazon Delivery“ ein Formular zur Überprüfung ihres Hintergrunds ausfüllen. Dadurch wurde (i) evaluiert, ob die Betroffenen die Voraussetzungen für eine Zusammenarbeit mit Amazon erfüllen, (ii) ein Benutzerkonto für die Fahrer angelegt und (iii) die Bereitstellungen von Dienstleistungen kontrolliert und weiterentwickelt. 
Für die Überprüfung wurde von den Fahrern die Vorlage diverser Dokumente verlangt, darunter ihr polizeiliches Führungszeugnis (ohne Einträge). Als personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten fallen letztere dabei unter Art. 10 DSGVO, der die Verarbeitung solcher Daten nur unter behördlicher Aufsicht oder wenn sie nach dem Unionsrecht bzw. dem Recht der Mitgliedsstaaten erfolgt erlaubt. Amazon vertrat hierbei fälschlicherweise die Auffassung, dass der Nachweis über die Abwesenheit von Vorstrafen nicht Art. 10 DSGVO unterliegt. Entsprechend hatte es diese Daten unrechtmäßig verarbeitet, ohne den besonderen Anforderungen aus Art. 10 DSGVO zu genügen.
Ebenso mussten sie in die Übermittlung ihrer Daten an jedes Unternehmen des Amazon-Konzerns außerhalb des Europäischen Wirtschaftsraums einwilligen. Eines der Unternehmen, an das die Daten der Betroffenen in diesem Zusammenhang übermittelt wurden, war die Amazon Background Inc. mit Sitz in den USA. Wie die Datenschutzbehörde im Laufe ihrer Untersuchung feststellte, hatte sich AMAZON ROAD TRANSPORT SPAIN bei der Datenübermittlung an Amazon Background auf das Privacy-Shield-Abkommen zwischen der EU und den USA gestützt. Dieses war vom Gerichtshof der Europäischen Union in seiner Entscheidung vom 16. Juli 2020 jedoch für ungültig erklärt worden. Entsprechend wertete die Behörde die Übermittlung als unrechtmäßig. .

Verwandter Beitrag  Autoriteit Persoonsgegevens verhängt 150.000 Euro Bußgeld gegen Sociale Verzekeringsbank SVB

Veröffentlicht am: 14-02-2022

Quelle von dsgvo-portal.de