Dass das Melden einer Datenpanne – auch Data Breach Notification genannt – unter gewissen Voraussetzungen sehr wichtig ist, kann gar nicht oft genug erwähnt werden. Wieso es außerdem von so großer Bedeutung ist, die dafür vorgeschriebene Frist von 72 Stunden einzuhalten, und was passieren kann, wenn diese versäumt wird, erfahren Sie in diesem Beitrag.

Datenpanne in Polen

Bei einer pädiatrischen Prüfung an der Medizinischen Universität Katowice in Polen hat sich eine Datenpanne ereignet. Die Studierenden wurden während dem Schreiben gefilmt und die Videoaufzeichnungen wurden versehentlich über die Lernplattform der Hochschule öffentlich zugänglich gemacht. Somit konnten nicht nur die Studierenden selbst sowie die Dozenten darauf zugreifen, sondern all jene, die für die Lehrveranstaltung registriert waren. Einige der Betroffenen konnten durch ihre bei der Prüfung vorgelegten Studien-Ausweise identifiziert werden. Insgesamt nahmen an der Prüfung sechs Klassen mit jeweils 26 Personen teil. Die polnische Datenschutzbehörde verhängte eine DSGVO-Strafe von 5.498,- €. Das interessante an dieser Entscheidung ist, dass das Bußgeld nicht aufgrund des Vorfalles an sich verhängt wurde, sondern deshalb, weil die Datenpanne nicht ordnungsgemäß und laut DSGVO-Vorschrift an die Datenschutzbehörde sowie an die Betroffenen gemeldet worden war. Einige der Studierenden erfuhren erst durch ihre Studienkollegen von dem Vorfall.

Diese Entscheidung zeigt deutlich, dass es besonders wichtig ist, die vorgeschriebene Frist einzuhalten. Eine Datenpanne muss innerhalb von 72 Stunden nach Bekanntwerden an die zuständige Datenschutzbehörde gemeldet werden. Einige prominente Fragen, die sich dazu häufig stellen, beantworten wir nun in diesem Beitrag:

Muss jede Datenpanne gemeldet werden?

Nein, eine Datenpanne muss nur dann an die Datenschutzbehörde gemeldet werden, wenn ein Risiko für Gesundheit, Ruf oder Vermögen der betroffenen Person(en) besteht. Aber auch Datenschutzverletzungen, die nicht meldepflichtig sind, müssen unbedingt unternehmensintern dokumentiert werden.

Wer informiert wen? Wer kontaktiert bei einer Datenpanne die Behörde?

Die Person im Unternehmen, die die Datenpanne zuerst bemerkt, sollte sich schnellstmöglich an die für den Datenschutz zuständige Person sowie gegebenenfalls an die Geschäftsführung wenden. Hat das Unternehmen einen Datenschutzbeauftragten, so sollte dieser im ersten Schritt kontaktiert werden. Geschäftsführung und alle für den Datenschutz zuständigen Personen entscheiden gemeinsam über die weiteren Schritte und evaluieren, ob eine Behördenmeldung sowie eine Kontaktaufnahme mit den betroffenen Personen notwendig ist.

Wie ist die Behörde nach einer Datenpanne zu kontaktieren?

Auf der Website der österreichischen Datenschutzbehörde „www.dsb.gv.at“ wird ein Formular zur Verfügung gestellt, das speziell für die Meldung von Datenpannen vorgesehen ist. Dieses wird vom Datenschutzbeauftragten oder, wenn keiner vorhanden ist, vom unternehmensinternen Datenschutzkoordinator ausgefüllt und fristgerecht, also innerhalb von 72 Stunden, abgeschickt.

Welche Informationen beinhaltet eine Behördenmeldung bei einer Datenpanne?

All diese Punkte müssen bei der Behördenmeldung angeführt werden:

• Art der Datenschutzverletzung,
• Betroffene Datenkategorien,
• Anzahl der betroffenen Personen mit den dazugehörigen Datensätzen,
• Eventuelle Folgen der Panne,
• Die Kontaktdaten eines Ansprechpartners, die des Datenschutzbeauftragten oder des Datenschutzkoordinators als auch die Kontaktdaten des Geschäftsführers,
• Beschreibung der betrieblichen Maßnahmen zur Risikoeindämmung und zukünftigen Verhütung eines solchen Vorfalls.

All diese Fragen sind im Formular auf der Webseite der österreichischen Datenschutzbehörde beinhaltet.

Unsere Praxistipps

• Bei einer Datenpanne muss schnellstmöglich die Behörde informiert werden. Setzen Sie sich sofort mit der Behörde in Verbindung und machen Sie eine Meldung.
• Kontaktieren Sie uns, wenn sich in Ihrem Unternehmen ein Datenschutzvorfall ereignet hat oder Sie dies auch nur vermuten. Wir unterstützen Sie bei allen notwendigen Schritten und leiten Sie fristgerecht und sicher durch Ihre Datenpanne.

Sensible Daten und illegale Datenweitergabe sind zwei Begriffe, die sich wohl kaum miteinander vereinbaren lassen. Das muss nun auch die Dating-App Grindr in Norwegen lernen, die einer DSGVO-Strafe von rund 10 Millionen Euro entgegenzusehen hat. Wie genau es zu dieser enorm hohen Summe kommt, erfahren Sie in diesem Beitrag.

Fall Gringr

Die Dating-App Grindr, die sich auf Vermittlung von Dates für nicht-hetero Männer spezialisiert hat, muss in Norwegen einer DSGVO-Strafe von 100 Mio.  norwegischen Kronen – umgerechnet rund 10 Mio. Euro – entgegensehen. Dem Unternehmen wird vorgeworfen, personenbezogene Nutzerdaten wie Standort- und Profildaten ohne jegliche rechtliche Grundlage zu Marketingzwecken an mehrere Drittparteien weitergegeben zu haben. Besonders heikel ist noch zu ergänzen, dass die bloße Tatsache, dass Personen auf Grindr registriert sind, Auskunft über sensible Daten gibt – nämlich über die sexuelle Orientierung der registrierten Männer. Informationen darüber sind besonders schützenswert, was den Verstoß gegen die DSGVO weiters verschärft.

Wie kommt es zu einer so hohen Strafe für Gringr?

Grundsätzlich gibt es zwei Arten, nach denen DSGVO-Bußgelder berechnet werden. Bei „kleineren“ Verstößen liegt der Betrag bei höchstens 10 Mio. Euro oder 2 % des Jahresumsatzes während die Höchststrafe bei den schweren Verstößen bei 20 Mio. Euro oder 4 % des Jahresumsatzes liegt – hierbei wird stets der höhere Betrag herangezogen.

In diesem Fall wurde das höhere Strafmaß gewählt, da es sich um eine ungesetzmäßige Weitergabe sensibler Daten handelte. Bei einem Jahresumsatz des Konzerns von rund 100 Mio. Euro würden die 4 % demnach 4 Mio. Euro betragen. Die Datenschutzbehörde hat sich hierbei auf den Höchstrahmen von bis zu 20 Mio. Euro berufen und die Strafe auf 10 Mio. Euro festgelegt.

Wie Sie also sehen können, erlaubt die DSGVO enorme Strafen aufgrund von Datenschutzverletzungen.

Unsere Praxistipps

• Lassen Sie es nicht darauf ankommen, investieren Sie lieber ein bisschen mehr in Ihren Datenschutz, als umgekehrt ein Vielfaches davon in eine Strafzahlung zu stecken.
• Wir unterstützen Sie gerne bei der Umsetzung und machen Sie datenschutzfit! Sie können uns direkt kontaktieren.

Wissen Sie, wann und wo Sie videoüberwachen dürfen und wie Sie mit den Aufnahmen umzugehen haben? Die Antwort darauf sowie eine Warnung, was bei einem Verstoß passieren kann, erhalten Sie in diesem Beitrag.

Fall Videoüberwachung der Mitarbeitenden

Das Unternehmen „notebooksbilliger.de“ hat über einen Zeitraum von mindestens zwei Jahren Mitarbeitende sowie Kunden am Arbeitsplatz, im Verkaufsraum, im Lager sowie in anderen Aufenthaltsbereichen videoüberwacht. Der Grund dafür war die Verhinderung von Diebstählen und die Nachvollziehbarkeit von Warenflüssen. Eine entsprechende Rechtsgrundlage gemäß DSGVO für die Videoüberwachung war jedoch nicht vorhanden. Die Erklärung des Unternehmens ließ die Datenschutzbehörde nicht durchgehen, da ebenso mit anderen Mitteln wie stichprobenartigen Taschenkontrollen vorgegangen werden hätte können. Ein Generalverdacht ist ebenso unzulässig. Um die Videoüberwachung zu rechtfertigen, hätte es tatsächliche Verdachtsfälle von Fehlverhalten geben müssen.

Aus diesem Grund hat der Landesbeauftragte für Datenschutz in Niedersachsen ein Bußgeld von 10,4 Mio. Euro verhängt. Auf den Umsatz von „notebooksbilliger.de“ umgerechnet sind das ungefähr 1,04 % bis 1,18 %. Grundsätzlich kann das Strafausmaß gemäß DSGVO bis zu 20 Millionen Euro oder bis zu 4 % des Jahresumsatzes betragen – je nachdem, welcher Betrag höher ist.

Unsere Praxistipps

Um solche Fehler zu vermeiden raten wir Ihnen:

• Stellen Sie sicher, dass Ihre Videoüberwachung auf einer gültigen Rechtsgrundlage basiert.
• Kennzeichnen Sie Videoüberwachungen richtig und an einer Stelle, an der Personen rechtzeitig – also bevor Sie bereits mitten im Bild sind – darüber informiert werden.
• Reicht eine Überwachung in Echtzeit aus? Oder haben Sie einen berechtigten Grund, die Aufzeichnungen aufzubewahren? Achtung, hierbei sind strenge Fristen einzuhalten. Nach 72 Stunden müssen Sie die Videos in jedem Fall löschen.
• Für weitere Informationen zu diesem Thema oder zur Unterstützung bei der Umsetzung in Ihrem Unternehmen können Sie uns sehr gerne kontaktieren – wir sehen uns an, wie, wo und ob eine Videoüberwachung zulässig ist.

Wissen Sie, wen Sie auf welche Art und Weise zu Marketingzwecken kontaktieren dürfen? Durch die DSGVO sind die Rechte und Pflichten von Unternehmen diesbezüglich genau definiert. Lesen Sie in diesem Beitrag, wie Sie eine Millionen-DSGVO-Strafe wie diese gegen Vodafone in Italien verhindern können.

DSGVO-Strafe für Vodafone

Gegen den Telekommunikationsanbieter Vodafone wurde von der italienischen Datenschutzbehörde eine Strafe in der Höhe von 12,25 Mio. Euro verhängt. Grund dafür waren zahlreiche Beschwerden von Konsumenten, die wiederholt aggressive Marketinganrufe des Anbieters erhalten hatten. Diese wurden von externen Call Centern durchgeführt. Die Untersuchung zeigte, dass dabei sogar Fake-Telefonnummern verwendet wurden. Des Weiteren wurde auf Kontaktlisten von Geschäftspartnern und anderen Unternehmen zurückgegriffen, ohne dass dafür eine Einwilligung der Betroffenen vorlag.
Zusätzlich zur Geldstrafe wurde Vodafone von der Datenschutzbehörde dazu angewiesen, Systeme zu implementieren, die sicherstellen, dass Telemarketing nur mit vorliegender Rechtsgrundlage betrieben wird.

Unsere Praxistipps

• Legen Sie klar fest, dass jeder Marketing-Kontaktschritt, den Sie unternehmen, datenschutzrechtlich zulässig ist. Kein Newsletter, kein Brief, kein Anruf oder sonstiges darf versendet beziehungsweise getätigt werden, ohne Rechtsgrundlage.
• Implementieren Sie Systeme, in denen klar vermerkt ist, welchem Kunden oder Interessierten Sie welche Informationen zusenden dürfen.
• Beachten Sie auch im Marketing den Grundsatz der DSGVO: So viele Daten wie nötig dürfen erhoben werden, jedoch gleichzeitig so wenige wie möglich!
• Bei weiteren Fragen zum Thema Datenschutz im Marketing können Sie uns jederzeit gerne kontaktieren.

Wissen Sie, dass eine Datenverarbeitung immer auf einer Rechtsgrundlage basieren muss, die diese rechtfertigt. Werden Daten ohne eine solche verarbeitet, ist der Vorgang unrechtmäßig und – wie man anhand dieses Beitrags erkennen kann – häufig sehr teuer.

DSGVO-Strafe gegen Telekommunikationsunternehmen

In diesem aktuellen Fall in Spanien wurden bereits seit Mai vergangenen Jahres vom spanischen Telekommunikationsunternehmen Telefónica Móviles España Rechnungsbeträge vom Bankkonto eines Betroffenen eingezogen. Dieser stand jedoch nie in einer vertraglichen Beziehung mit dem verantwortlichen Unternehmen. Mehrere Beschwerden beim Telekommunikationsanbieter bleiben jedoch erfolglos.

Aus diesem Grund wandte sich der Betroffene mit einer Beschwerde an die spanische Datenschutzbehörde. Diese sah in dem Vorgehen von Telefónica Móviles España einen Verstoß gegen die DSGVO, da der Beschwerdeführer kein Kunde des Unternehmens war und die Verarbeitung seiner personenbezogenen Daten daher unrechtmäßig war. Das Bußgeld belief sich auf 75.000,- Euro.

DSGVO-Strafe vermeiden und Rechtsgrundlagen einhalten

Was sind denn nun die Rechtsgrundlagen, die die Verarbeitung personenbezogener Daten gemäß DSGVO rechtfertigen?

• Sie haben eine Einwilligung der betroffenen Person in die Verarbeitung.
• Die Verarbeitung ist notwendig zur Erfüllung eines Vertrags.
• Die Verarbeitung ist notwendig, um ein Gesetz zu erfüllen.
• Die Verarbeitung ist notwendig, um lebenswichtige Interessen von Personen zu schützen.
• Die Verarbeitung ist notwendig, um eine Aufgabe zu erfüllen, die im öffentlichen Interesse liegt oder in der Ausübung öffentlicher Gewalt erfolgt.
• Die Verarbeitung ist notwendig, um berechtigte Interessen der verantwortlichen Person oder Dritter wahrzunehmen. Dabei dürfen jedoch keine Grundrechte und Grundfreiheiten verletzt werden.

Unsere Praxistipps

• Gehen Sie bei JEDER Datenverarbeitung sicher, dass diese auch zulässig ist. Sollte dies nicht der Fall sein, kann Ihr Unternehmen ein solcher Fehltritt teuer zu stehen kommen.
• Bei Fragen zu der Rechtmäßigkeit Ihrer Datenverarbeitungen können Sie uns jederzeit kontaktieren. Wir beraten Sie sehr gerne!