DSGVO-Strafen – Warum die Schule, das Krankenhaus, der Telekommunikationsanbieter und die Bank drastisch bestraft wurden

Im Rahmen der Reihe „DSGVO – was und wie“, die sich mit der Arbeit der europäischen nationalen Aufsichtsbehörden befasst, präsentiere ich Ihnen einen statistischen Überblick über die im Februar 2020 verhängten DSGVO-Strafen sowie nützliche Ratschläge zu ausgewählten Strafen, damit Sie aus deren Beispielen lernen und diese vermeiden können.

Laut CMS EEIG sind die zehn aktivsten Länder hinsichtlich der insgesamt verhängten Strafen zum 4. März 2020: das Vereinigte Königreich (315.310.200 €), Frankreich (51.100.000 €), Italien (39.420.000 €), Deutschland (25.085.725 €), Österreich (18.070.100 €), Bulgarien (3.198.460 €), Spanien (2.267.260 €), die Niederlande (1.935.000 €), Polen (934.330 €) und Griechenland (735.000 €).

In Bezug auf die Gesamtzahl der verhängten Strafen in den zehn aktivsten Ländern führt Spanien mit 65 Strafen, gefolgt von Deutschland (22), Rumänien (21), Bulgarien (16), Ungarn (14), der Tschechischen Republik (11), Österreich (8), Zypern (8), Italien (7) und Belgien (6).

Die fünf häufigsten Gründe für die Verhängung von Strafen waren:

• unzureichende technische und organisatorische Maßnahmen zur Gewährleistung der Informationssicherheit
• unzureichende oder falsch definierte rechtliche Grundlage für die Datenverarbeitung
• Nichteinhaltung der allgemeinen Grundsätze der Datenverarbeitung, die von der DSGVO vorgeschrieben sind
• unzureichende Erfüllung oder Unfähigkeit zur Erfüllung der Rechte der betroffenen Personen
• unzureichende Erfüllung der Pflicht, die betroffenen Personen über die Datenverarbeitung zu informieren

Bei der Betrachtung des tatsächlichen Niveaus der Einhaltung der DSGVO durch eine Organisation hinsichtlich technischer und organisatorischer Maßnahmen zum Datenschutz und der Vermeidung von Strafen in diesem Bereich bietet der Inhalt des internationalen Standards ISO 27001 (Managementsysteme für Informationssicherheit) sehr konkrete Einblicke. Der rechtliche Rahmen für Informationssicherheit im kroatischen Rechtssystem bezieht sich erheblich auf Teile dieses Standards.

Ausgewählter Überblick über die im Februar 2020 verhängten DSGVO-Strafen

Im vergangenen Monat verhängte nur die spanische Aufsichtsbehörde Strafen. Insgesamt wurden 20 Strafen verhängt, von denen ich ausgewählte aufliste.

Eine Geldstrafe in Höhe von 3.000 € wurde gegen eine Schule verhängt, weil die Bestimmungen des Artikels 6 verletzt wurden, da keine gültige rechtliche Grundlage für die Datenverarbeitung vorlag. Die Schule leitete Fotografien, die personenbezogene Daten von Personen enthielten, an Dritte weiter, die ohne gültige rechtliche Grundlage veröffentlicht wurden. Das Originaldokument finden Sie hier.

EMPFEHLUNG: Bei der Datenverarbeitung, die das Teilen mit Dritten umfasst, sollte Ihr erster Schritt vor der Datenweitergabe die Überprüfung der rechtlichen Grundlage für diese Verarbeitung sein. Wenn die rechtliche Grundlage für die Datenverarbeitung die Einwilligung war, überprüfen Sie, ob die betroffene Person bei der Erteilung ihrer Einwilligung vollständig über diese Aktivitäten informiert wurde, ihnen zugestimmt hat und ob alle vorgeschriebenen Rechte gewährleistet waren.

Aufgrund unzureichender Informationen, die den betroffenen Personen bereitgestellt wurden, der Nichterfüllung der Pflicht zur Veröffentlichung einer Datenschutzerklärung und der unzureichenden Bereitstellung von Identifikationsdaten über sich selbst und ihr Geschäft auf ihrer Website gemäß Artikel 13 der DSGVO wurde ein Unternehmen, das mit dem Verkauf von elektronischen Geräten beschäftigt ist, mit 1.500 € bestraft. Das Originaldokument finden Sie hier.

EMPFEHLUNG: Artikel 13 der Datenschutz-Grundverordnung legt fest, über was die betroffene Person zum Zeitpunkt der Erhebung ihrer Daten informiert werden muss. Der Link zum vollständigen Text der Verordnung ist hier.

Eine Geldstrafe in Höhe von 48.000 € wurde gegen ein Krankenhaus verhängt, weil die Bestimmungen des Artikels 6 verletzt wurden, da keine gültige rechtliche Grundlage für die Datenverarbeitung vorlag. Das Krankenhaus verlangte von dem Patienten, bei der Aufnahme ein Formular auszufüllen, und deutete an, dass, wenn er keine der angebotenen Optionen auswählte, er der Übermittlung seiner personenbezogenen Daten an Dritte zustimmte. Die Aufsichtsbehörde erklärte in der Begründung der Strafe, dass eine durch Untätigkeit der betroffenen Person erlangte Einwilligung nicht gültig ist. Das Originaldokument finden Sie hier.

EMPFEHLUNG: Eine der grundlegenden Regeln bezüglich der Einwilligung: Die Untätigkeit der betroffenen Person kann nicht als bestätigende Handlung angesehen werden. Sie sollten sicherstellen, dass die betroffene Person die Möglichkeit hat, zu wählen, wenn Sie die Einwilligung mit mehreren definierten Zwecken gleichzeitig verwenden, wobei Sie auch sicherstellen müssen, dass technische Maßnahmen zum Widerruf aller oder eines einzelnen Teils der Einwilligung gewährleistet sind. In der Praxis stellt dies oft eine erhebliche Herausforderung dar, daher sollten Sie vor der Entscheidung über die Art der Einwilligung alle Aspekte Ihrer technischen Möglichkeiten überprüfen. 

Der Telekommunikationsanbieter Vodafone España wurde mit sieben Strafen in Höhe von insgesamt 470.000 € belegt. Die Strafen wurden wegen Nichteinhaltung der Grundsätze der Datenverarbeitung gemäß Artikel 5, Absatz 1, Punkt f, wegen Verletzung der Bestimmungen des Artikels 6, da keine gültige rechtliche Grundlage für die Datenverarbeitung vorlag, und wegen Verletzung der Bestimmungen des Artikels 32 verhängt, da keine geeigneten organisatorischen und technischen Maßnahmen zur Gewährleistung der Informationssicherheit getroffen wurden. In der Begründung der Strafen listete die Aufsichtsbehörde eine Reihe von Mängeln auf, wie:

• Versand von monatlichen Rechnungen an ehemalige Kunden, deren vertragliche Verpflichtungen abgelaufen waren, das Original ist hier
• Versand von Rechnungen mit allen personenbezogenen Daten an den Nachbarn des Kunden, das Original ist hier
• Versand einer E-Mail mit einer Rechnung für Dienstleistungen, die der Kunde nie bestellt hat, was zur Verarbeitung ihrer Daten ohne Einwilligung und zur Unfähigkeit führte, nachzuweisen, dass der Kunde seine Einwilligung gegeben hat, das Original ist hier
• das Telekommunikationsunternehmen schloss einen Vertrag mit einem Dritten über die Übertragung eines Telefonabonnements ohne die Einwilligung der betroffenen Person ab, was dazu führte, dass die betroffene Person eine E-Mail von diesem Dritten für einen Kauf erhielt, den sie getätigt hatte, das Original ist hier
• die betroffene Person reichte eine Beschwerde ein, dass sie Zugang zu einem anderen persönlichen Vodafone-Profil hatte, das Original ist hier
• das Telekommunikationsunternehmen konnte nicht nachweisen, dass die betroffene Person ihre Einwilligung zur Verarbeitung ihrer personenbezogenen Daten zum Zweck der telefonischen Vertragsabschlüsse verschiedener Dienstleistungen gegeben hat und hat die personenbezogenen Daten der betroffenen Person rechtswidrig an eine Reihe von Kreditagenturen weitergeleitet, das Original ist hier
• Mängel in den organisatorischen und technischen Maßnahmen im Zusammenhang mit der Informationssicherheit, da in einem Fall nachgewiesen wurde, dass derselbe Sicherheitszugangscode zwei Personen zugewiesen wurde, das Original ist hier

EMPFEHLUNG: Der Umfang des Geschäfts des Telekommunikationsunternehmens ist durch eine große Anzahl von miteinander verflochtenen aktiven Prozessen in der Dienstleistungserbringung, äußerst anspruchsvollen Aspekten der organisatorischen und technischen Maßnahmen aufgrund der organisatorischen Struktur selbst und häufigem Datenaustausch mit Dritten gekennzeichnet. Die verhängten Strafen weisen auf Mängel auf Prozessebene hin; nicht nur bei der Gewährleistung des Informationssicherheitssystems als spezifisches Gebot dieses Sektors, sondern auch bei den Mängeln einzelner organisatorischer Einheiten im Umgang mit den personenbezogenen Daten der Nutzer, die die Quelle von Verletzungen der Rechte der betroffenen Personen in diesem Fall sind. Die Einhaltung der DSGVO im Telekommunikationssektor ist ein Prozess, der im Allgemeinen die bisherige Art und Weise des Umgangs mit Daten sowohl organisatorisch als auch technisch verändert, mit dem viele Telekommunikationsunternehmen Schwierigkeiten haben.

Im Bankensektor wurde eine Geldstrafe in Höhe von 6.670 € verhängt, weil die Bestimmungen der Artikel 5 und 6 nicht eingehalten wurden, da die Grundsätze der Datenverarbeitung nicht respektiert wurden und keine gültige rechtliche Grundlage für die Datenverarbeitung vorlag, sowie wegen der Verletzung der Bestimmungen des Artikels 21, da den betroffenen Personen nicht das Recht auf Widerspruch eingeräumt wurde. Die Bank setzte den Versand von Marketingnachrichten fort, obwohl die betroffene Person Widerspruch gegen die weitere Verarbeitung ihrer Daten eingelegt hatte. Das Original ist hier verfügbar hier.

EMPFEHLUNG: Stellen Sie sicher, dass die betroffenen Personen alle ihre vorgeschriebenen Rechte ausüben können, um Beschwerden bei der Aufsichtsbehörde dieser Art zu vermeiden. Der Versand von Marketingnachrichten nach einem Widerspruch der betroffenen Person gegen die Verarbeitung ihrer Daten und die Unfähigkeit, die Einwilligung zu widerrufen, stellt einen erheblichen Verstoß gegen die Bestimmungen dieser Verordnung dar. Respektieren Sie die Wahl des Einzelnen in ihrem Wunsch, ihre Privatsphäre zu wahren. 

—

—