Die kroatische Aufsichtsbehörde zur Überwachung der Umsetzung der Datenschutz-Grundverordnung (DSGVO), nämlich die Agentur für den Schutz personenbezogener Daten (AZOP), gab am Freitag die Entscheidung bekannt, einer Bank eine administrative Geldstrafe aufzuerlegen, da sie sich kontinuierlich weigerte, personenbezogene Daten an Antragsteller bereitzustellen, die Zugang zu ihren Kreditunterlagen beantragt hatten. Trotz 34 vorheriger Entscheidungen der Aufsichtsbehörde, die die Bank anordneten, die angeforderten Daten allen Antragstellern zur Verfügung zu stellen, weigerte sich die Bank kontinuierlich, dies zu tun.
Bürger forderten die Bank auf, ihnen ihre personenbezogenen Daten und die Kreditunterlagen zu den in Schweizer Franken aufgenommenen Darlehensverträgen zur Verfügung zu stellen. Obwohl die Anfragen der Bürger legitim waren und auf der Annahme beruhten, das Recht auf Zugang zu ihren personenbezogenen Daten gemäß der DSGVO zu respektieren und anzuwenden, und die angeforderten Unterlagen tatsächlich ihre personenbezogenen Daten enthielten, weigerte sich die Bank, ihnen die Ausübung dieses Rechts zu ermöglichen. Die offizielle Erklärung der Bank war, dass es gemäß dem Verbraucherkreditgesetz und anderen speziellen Vorschriften nicht um den Zugang zu personenbezogenen Daten der Antragsteller gehe, sondern um Kreditunterlagen, für die keine Verpflichtung zur Bereitstellung besteht, da es sich um zurückgezahlte Darlehen handelt.
Im Rahmen des Verfahrens zur Feststellung der Verletzung von Rechten in einzelnen Bürgerbeschwerden stellte die Aufsichtsbehörde außerdem fest, dass dieselbe Bank über einen Zeitraum von fast einem Jahr, vom Datum der Umsetzung der DSGVO am 25. Mai 2018 bis zum 30. April 2019, über 2500 Anfragen von Bürgern erhielt, denen sie das Recht auf Erhalt von Kopien ihrer personenbezogenen Daten verweigerte.
Angesichts der Tatsache, dass die Bank bereits 34 zuvor erlassene mildere Korrekturmaßnahmen oder Anordnungen zur Bereitstellung personenbezogener Daten an Bürger, die Beschwerden eingereicht hatten, ignoriert hatte, entschied die Aufsichtsbehörde, eine Geldstrafe als einzige wirksame Maßnahme zu verhängen.
Obwohl die AZOP nicht den genauen Namen der Bank angibt oder den genauen Betrag der verhängten Geldstrafe, erklärte sie, dass sie bei der Festlegung der Höhe der Geldstrafe von den im DSGVO festgelegten Kriterien und den Umständen des Falls geleitet wurde. In der Entscheidung wurde festgehalten, dass berücksichtigt wurde, dass diese Verletzung der Rechte über 2500 Bürger der Republik Kroatien betraf, die Anträge auf Zugang zu ihren personenbezogenen Daten gestellt hatten, dass es sich um eine länger andauernde Verletzung handelte und vor allem, dass die Bank sich der Tatsache, dass sie das Recht auf Zugang zu personenbezogenen Daten der Bürger in der beschriebenen Weise durch die 34 vorherigen milderen Korrekturmaßnahmen verweigerte, ausdrücklich bewusst war.
