Orange, Frankreichs führender Telekommunikationsbetreiber, verkaufte Werbeflächen innerhalb seines E-Mail-Dienstes Mail Orange. Die Werbeanzeigen wurden zwischen echte eingehende E-Mails eingefügt und so gestaltet, dass sie wie echte Nachrichten aussahen. Die Nutzer hatten ihrer Zusendung nicht zugestimmt. Über 7,8 Millionen Menschen sahen die Anzeigen in ihren Posteingängen, bevor Orange diese Praxis im November 2023 einstellte.
Unabhängig davon wurden auf der Website orange.fr Cookies von Orange und seinen Partnern weiterhin ausgelesen, auch nachdem die Nutzer ihre Einwilligung widerrufen hatten. Die CNIL stellte fest, dass das Auslesen gespeicherter Daten vom Gerät eines Nutzers nach dem Widerruf der Einwilligung unzulässig ist, unabhängig davon, ob die Daten anschließend verwendet werden.
Am 14. November 2024 verhängte der Ausschuss der CNIL gegen Orange eine Geldbuße von 50 Mio. €. Er verwies auf die Größe des Publikums (7,8 Millionen), die Marktstellung von Orange und den aus dem Verstoß gezogenen finanziellen Vorteil. Orange wurde verpflichtet, das Auslesen von Cookies nach dem Widerruf der Einwilligung innerhalb von drei Monaten einzustellen, andernfalls droht ein Zwangsgeld von 100.000 € pro Tag der Nichteinhaltung.
Orange wurde mit einer Geldbuße von 50 Mio. € belegt, weil das Unternehmen Anzeigen in 7,8 Millionen Posteingänge eingeschmuggelt und die Cookie-Einwilligung missachtet hatte, verbunden mit einem Zwangsgeld von 100.000 € pro Tag der Nichteinhaltung.
Orange behandelte den privaten Posteingang seiner E-Mail-Nutzer als zu verkaufendes Werbeinventar – die CRM-Beziehung wurde zum Werbekanal
Die Anzeigen waren so gestaltet, dass sie echten E-Mails glichen, und nutzten das Vertrauen der Nutzer in ihren Posteingang aus, statt Aufmerksamkeit durch ein klar gekennzeichnetes Format zu gewinnen
Für die Posteingangs-Anzeigen gab es keinen Einwilligungsmechanismus: Die Nutzer wurden nicht gefragt, und das Format machte ein Widersprechen strukturell unmöglich
Der Cookie-Verstoß zeigte dasselbe Muster auf Website-Ebene: Der Widerruf der Einwilligung wurde erfasst, aber nicht durchgesetzt, sodass die Nachverfolgung stillschweigend weiterging
Der Posteingang eines Kunden ist kein Werbeinventar. Wer sowohl den Kanal als auch die Anzeigen kontrolliert, gerät in Versuchung, direkt zu monetarisieren – die Einwilligung existiert, weil der Kanal privat ist.
Orange hatte das Format der Posteingangs-Anzeigen bereits im November 2023 eingestellt, noch vor der Entscheidung der CNIL. Die neuere Werbedarstellung des Unternehmens unterscheidet Anzeigen von echten E-Mails. Der Fall wird in europäischen Datenschutzdiskussionen als höchste französische Geldbuße wegen Verstößen gegen das Direktmarketing und als Warnung an jede Plattform angeführt, die sowohl einen Kommunikationskanal als auch ein Werbegeschäft kontrolliert.
DEN BELEGEN FOLGEN