Eine Geldbuße von 300.000 Euro, verhängt am 21. Juli 2026
Am 21. Juli 2026 verhängte die CNIL, die französische Behörde für den Datenschutz, eine Geldbuße von 300.000 Euro gegen EXTIA. Das Unternehmen ist in der IT-Beratung und im Engineering tätig und vermittelt Berater an Kundenunternehmen. Die rechtliche Grundlage des Verwaltungsaktes sind die Artikel 12 und 17 der Verordnung (EU) 2016/679, der DSGVO, die seit dem 25. Mai 2018 in Kraft ist.
Die Zuständigkeit liegt bei den französischen Behörden; die angewandte Norm gilt in allen siebenundzwanzig Mitgliedstaaten.
Das beschränkte Gremium der CNIL, das Organ, das Bußgelder verhängt, warf dem Unternehmen zwei unterschiedliche Verhaltensweisen vor: Löschanträge, die nicht bearbeitet wurden, und Personen, die nicht über das Ergebnis informiert wurden. Das EDPB-Register veröffentlichte den Fallbericht am 11. September 2026.
Die Akte stammt aus Beschwerden von ehemaligen Mitarbeitern und Kandidaten, die 2024 bei der CNIL eingingen. Die Überprüfung des Unternehmens fand im April 2025 statt und bezog sich auf den gesamten Datenverwaltungszyklus von Auswahlkandidaten.
Artikel 12 und 17: Die Verpflichtung und die Zahlen des Falles
Artikel 17 erkennt das Recht auf Löschung an, das sogenannte Recht auf Vergessenwerden. Artikel 12 legt eine andere und oft übersehene Verpflichtung auf: Die betroffene Person innerhalb eines Monats nach Erhalt des Antrags zu beantworten.
Die beiden Verpflichtungen haben ein eigenständiges Leben. Die Löschung der Daten ist die erste. Die Mitteilung an die Person über die getroffene Maßnahme ist die zweite und bleibt bestehen, auch wenn die Löschung stattgefunden hat.
2024 erhielt EXTIA 265 Löschanträge, überwiegend von Kandidaten und in geringerem Umfang von ehemaligen Mitarbeitern: Mehr als drei Viertel blieben unbearbeitet oder wurden ordnungswidrig bearbeitet, wie in dem vom EDPB veröffentlichten Fallbericht[1] dargelegt.
Die Aufschlüsselung wiegt mehr als die Summe. Zwölf Anträge wurden überhaupt nicht bearbeitet. Hundertschsechsundsechzig Personen wurden nicht über das Ergebnis informiert, und siebenundzwanzig weitere erhielten die Antwort nach der gesetzlichen Frist, mit Verzögerungen bis zu mehreren Monaten.
Die Höhe berücksichtigt drei von der Behörde erklärte Faktoren: die wesentliche Natur der verletzten Grundsätze, die Anzahl der betroffenen Personen und zwei vorherige Verwarnungen gegenüber demselben Unternehmen. Die Wiederholung ist der dritte Faktor und der teuerste.
Die europäische koordinierte Maßnahme zum Recht auf Löschung
Die Überprüfung im April 2025 hat einen doppelten Ursprung. Zum einen individuelle Beschwerden, zum anderen die vom Europäischen Datenschutzausschuss 2025 eingeleitete koordinierte Maßnahme zum Recht auf Löschung.
Das Coordinated Enforcement Framework ist das Instrument, mit dem der EDPB jedes Jahr ein Thema auswählt und dieses von den nationalen Behörden parallel überprüfen lässt. 2025 war das Thema das Recht auf Vergessenwerden.
Dies ändert die Art des Risikos. Eine französische Entscheidung über das Recht auf Löschung wird zum lokalen Ergebnis eines kontinentalen Kontrollrasters. Die gleichen Fragen werden an Verantwortliche in Italien, Spanien, Deutschland und den Niederlanden mit der gleichen Methodik und im gleichen Zeitrahmen gestellt.
Der Fall sollte als Stichprobe einer europäischen Überprüfung gelesen werden, nicht als französische Ausnahme.
Das Governance-Signal: Die fehlende Rolle hat einen Namen
Das Governance-Signal: Wenn das Recht der betroffenen Person keinen namentlich benannten internen Verantwortlichen hat, bleibt die Compliance auf dem Papier.
Ein Löschantrag durchläuft mehrere Systeme. Das ATS des Recruitings, das kommerzielle CRM, die Postfächer einzelner Recruiter, die Sicherungen, die lokal verwalteten Tabellenkalkulationen. Jeder Schritt hat einen anderen Leiter, und die Koordination ist das schwache Glied.
Welche Rolle, namentlich und schriftlich bestimmt, antwortet für das Ergebnis eines jeden Löschantrags, bevor der Antrag eingeht? Dies ist die Frage, die der General Counsel dem Datenschutzbeauftragten stellt, und die Antwort muss in einem datierten Dokument festgehalten werden.
Ein Framework ohne diesen Namen erzeugt Dokumentation: Governance ist etwas anderes. Der Fall EXTIA misst in Euro den Abstand zwischen den beiden.
Kandidaten, Auswahlarchive und automatisierte Systeme
Die hier betroffene Gruppe besteht überwiegend aus Kandidaten. Es ist die Kategorie von betroffenen Personen mit der schwächsten vertraglichen Bindung und dem längsten digitalen Gedächtnis.
Ein Lebenslauf gelangt in ein Auswahlarchiv und bleibt dort jahrelang. Er speist interne Suchen, Übereinstimmungswerte und automatisch sortierte Bewerbungsschlangen. Die Löschung berührt also auch die Daten, die diese Systeme als Rohmaterial verwenden.
Anhang III der Verordnung (EU) 2024/1689, des AI Act, ordnet die für die Auswahl und Bewertung von Personal verwendeten Systeme unter die mit hohem Risiko ein. Der Umsetzungskalender dieser Verpflichtungen bleibt auf europäischer Ebene in Bewegung, und vorsichtige Organisationen behandeln ihn als laufende Umsetzung.
Der Verwaltungsakt der CNIL bezieht sich auf das Recht auf Löschung und lässt das Thema der automatisierten Entscheidungen aus. Die beiden Regelungen konvergieren jedoch auf demselben Archiv, und die erforderliche Prüfung ist eine.
Der Einwand zur Höhe und die Antwort des Falles
Ein wiederkehrender Einwand betrifft die Summe: 300.000 Euro wiegen wenig in der Gewinn- und Verlustrechnung einer Beratungsgruppe. Das Argument trifft das falsche Ziel.
Der Wert des Verwaltungsaktes liegt in der Begründung. Eine nationale Behörde hat schriftlich festgehalten, dass das Schweigen gegenüber der betroffenen Person ein eigenständiger Verstoß ist, der auch dann gerügt werden kann, wenn die Daten gelöscht worden sind.
Eine zweite Lesart beschreibt den Fall als ein Ressourcenproblem: 265 Anträge pro Jahr sind eine bewältigbare Last mit dedizierten Mitarbeitern. Die Zahlen tragen diese Interpretation teilweise, schwächen sie aber im Detail: 166 Personen warteten auf eine Nachricht, nicht auf einen komplexen technischen Vorgang.
Die CNIL-Sanktion gegen EXTIA erfolgt nach zwei Verwarnungen, und dieses Detail verschiebt den Schwerpunkt der Analyse. Die Behörde hat die Personen gezählt und die Arbeitsstundenzählung beiseite gelegt.
Drei Entscheidungen für den Board
Die Akte lässt drei Entscheidungen auf dem Tisch, und jede hat einen bestimmten Adressaten.
Eins, für den General Counsel und den Chief Compliance Officer: Die Löschanträge der letzten vierundzwanzig Monate zählen, mit Eingangsdatum, Antwortdatum und Ergebnis. Ein unvollständiges Register ist bereits in sich selbst ein Beanstandungspunkt.
Zwei, für den Chief Risk Officer: Die Risikomatrix aktualisieren, indem zwischen unterlassener Löschung und unterlassener Mitteilung unterschieden wird. Dies sind zwei separate Verstöße, mit zwei separaten Kontrollen und zwei unterschiedlichen Eigentümern.
Drei, für den Board Audit & Risk Committee: Den Namen der Rolle anfordern, die für die Rechte der betroffenen Personen verantwortlich ist, und das Datum ihrer Benennung. Dieser Name gehört zur internen Offenlegung, schon vor der Offenlegung gegenüber dem Markt.
Rechtlicher Horizont
Die Artikel 12 und 17 der DSGVO sind seit dem 25. Mai 2018 in Kraft und gelten unmittelbar in allen Mitgliedstaaten. Die Antwortfrist beträgt einen Monat, verlängerbar um zwei Monate für komplexe Anfragen, mit begründeter Mitteilung an die betroffene Person.
Die koordinierte Maßnahme des EDPB zum Recht auf Löschung hat 2025 die Prüfungsphase eingeleitet und führt 2026 zu nationalen Entscheidungen. Der Fall EXTIA, entschieden am 21. Juli 2026 und veröffentlicht am 11. September 2026, gehört zu dieser Abfolge.
Bei automatisierten Auswahlsystemen bleibt die Verordnung (EU) 2024/1689 in der Umsetzungsphase mit noch in Bewegung befindlichem europäischem Kalender. Organisationen, die jetzt das Register der Anfragen und die Verantwortungskette aufbauen, kommen zu dieser Frist mit der Arbeit bereits erledigt an.
Die Frage zum Recht auf Löschung hat eine Antwort erhalten. Eine zweite Frage hat sich geöffnet: Wer antwortet namentlich auf die Antwort?
Dieser Artikel wurde von einem redaktionellen KI-Autor mit menschlicher Aufsicht verfasst, in Übereinstimmung mit den Transparenzverpflichtungen der Verordnung (EU) 2024/1689 (AI Act, Art. 50). Die Quellen sind im Text verlinkt.
Article by ATLAS
Quellen
- dem vom EDPB veröffentlichten Fallbericht 11 Sep 2026 (edpb.europa.eu)