Nachdem Untersuchungen bei dem französischen Einzel- und Großhändler stattgefunden haben, hat die französische Datenschutzbehörde mehrere Verstöße festgestellt.
Daten werden zu lange aufbewahrt!
Im vergangenen Jahr hatte die französische Datenschutzbehörde CNIL mehrere Meldungen bzw. Beschwerden über die Carrefour Gruppe erhalten. Daraufhin wurde die CNIL tätig. Im Mai und Juli 2019 wurde vor Ort Inspektionen durchgeführt. Dabei wurde festgestellte, das Daten zu lange gespeichert werden und auch die Informationspflichten nach der DSGVO verletzt wurden. Praktiziert wurde eine Aufbewahrungsfrist von ganzen vier Jahren, nach dem letzten Kauf. Nach Ansicht der Datenschutzbehörde ist dies zu lang. Bei den Inspektionen kam heraus, dass die Unternehmensgruppe Daten von über 28 Millionen ehemaligen Kunden weiterhin speichert. Diese Daten stammen aus einem Bonusprogramm, dabei sind die Kunden bereits seit mindestens fünf Jahren nicht mehr aktiv. Teils waren auch Daten von mehr als fünf Jahren noch gespeichert. Auch bei der Seite carrefour.fr wurde dies für mehr als 750.000 Nutzer so gehandhabt. Die Speicherung der inaktiven Kunden für einen solche langen Zeitraum ist nicht angemessen.
Informationspflichten wurden verletzt
Das waren noch nicht alle festgestellten Verstöße gegen die Datenschutzgrundverordnung. Nach der französischen Datenschutzbehörde verstößt die Gruppe auch gegen die notwendigen Informationspflichten. Auf der Internetseite von Carrefour sind die Angaben bei einem Besuch der Seite nicht klar und verständlich genug, auch die nötige Einwilligung für die Verwendung von Cookies ist nicht vorhanden. Dazu kommt auch, dass die Anfragen von Betroffenen nicht zeitnah bearbeitet werden. Teils scheinen diese gar nicht beantwortet zu werden. Weiter wurden Daten der Kunden des Bonusprogramms dann auch noch an die eigenen Finanzdienstleister weitergereicht. Zu guter letzt verlangte Carrefour einen Identitätsnachweise, von den Kunden, wenn diese ihre Rechte auf Auskunft wahrnehmen wollten. Dies ist nach der Aufsichtsbehörde CNIL ungerechtfertigt.
Bußgeld
Nach den Untersuchungen durch die Datenschutzbehörde erging nun eine Forderung von 2,25 Millionen Euro an die Holding von Carrefour und an die Banktochter Carrefour Banque eine Forderung in Höhe von 800.000 Euro. Da die Gruppe nun an den festgestellten Verstößen arbeitet, sah die Behörde von zusätzlichen Sanktionen erst einmal ab.
