Seit Einführung der DSGVO werden Verstöße immer wieder mit hohen Bußgeldern geahndet. Auch die Deutsche Wohnen erhielt 2019 ein Bußgeld, welches nun vom Landgericht Berlin aufgehoben wurde.
Sachverhalt
Bei der Deutsche Wohnen handelt es sich um einen der größten Immobilienkonzerne in Deutschland. Im Rahmen der Vermietung werden viele personenbezogene Daten von Mietern und Interessenten verarbeitet.
Bereits im Jahr 2017 wurde die Deutsche Wohnen von der Aufsichtsbehörde auf Mängel hinsichtlich des Archivsystems hingewiesen. Bei einer erneuten Prüfung im Jahr 2019 konnte die Aufsichtsbehörde jedoch weiterhin gravierende Mängel feststellen.
Zum einen verstoße das Archivsystem der Deutsche Wohnen gegen den Grundsatz Privacy by Design gemäß Art 25 DSGVO, da das System die Löschung der personenbezogenen Daten nicht vorsieht. Dadurch befinden sich im Archivsystem Informationen, wie Gehaltsabrechnungen, Informationen aus den Arbeitsverträgen und Selbstauskünfte der Mieter. Der Vorwurf der Aufsichtsbehörde lautet weiter, dass von der Deutsche Wohnen nicht geprüft wurde, ob die Speicherung der personenbezogenen Daten rechtmäßig und erforderlich ist.
Die Aufsichtsbehörde verhängte daraufhin ein Bußgeld in Höhe von 14,5 Mio EUR gegen die Deutsche Wohnen. Dagegen legte die Deutsche Wohnen Einspruch ein, sodass das Landgericht Berlin mit dem Fall befasst war.
Entscheidung des Landgerichts Berlin
Das Landgericht Berlin stellte das Verfahren ein, weil der Bußgeldbescheid unwirksam sei (LG Berlin, Beschluss der 26. Großen Strafkammer v. 18.2.2021, Az.: 526 AR). Begründet hat das Landgericht Berlin die Unwirksamkeit damit, dass im Bußgeldbescheid keine Angaben zu konkreten Tathandlungen eines Organs des Unternehmens enthalten seien. Zu den Datenschutzverletzungen an sich hat sich das Landgericht Berlin dabei nicht geäußert.
Diese Entscheidung wirft jedoch auch neue Rechtsfragen auf. Insbesondere muss geklärt werden, ob eine konkrete Handlung von Leitungspersonen oder gesetzlichen Vertretern nachgewiesen werden muss, um entsprechende Verstöße gegen die DSGVO ahnden zu können.
Die Berliner Beauftragte für Datenschutz und Informationsfreiheit hat in der Presseerklärung vom 03. März 2021 bereits zu bedenken gegeben, dass viele Verstöße gegen die DSGVO in diesen Fällen nicht mehr geahndet werden können, da der Nachweis einer konkreten Handlung eines Organs des Unternehmens - insbesondere bei Unternehmen mit komplexen Konzernstrukturen - nicht möglich sein wird. In diesem Zusammenhang würden jedoch Unternehmen mit weniger komplexen Strukturen (v.a. kleine und mittelständische Unternehmen) benachteiligt werden.
Ausblick
Auch wenn das Landgericht Berlin das Verfahren eingestellt hat, bedeutet das noch nicht, dass die Deutsche Wohnen nicht doch noch ein Bußgeld zahlen muss.
Denn die Staatsanwaltschaft hat gegen die Entscheidung des Gerichts bereits Beschwerde eingelegt. Im weiteren Verfahren ist zu hoffen, dass das Gericht das Verhältnis zwischen DSGVO und dem deutschen Ordnungswidrigkeitenrecht klärt.
Laura Piater
Justiziarin
Consultant für Datenschutz
Die große Bußgeldwelle nach Inkrafttreten der europäischen Datenschutzgrundverordnung im Jahr 2018 ist ausgeblieben. Jetzt, fast drei Jahre danach steigt die Zahl der erfassten Verstöße und die damit verbundenen Bußgelder stetig. Im Jahr 2020 verhängten die europäischen Bußgeldbehörden gemeinsam Bußgelder in Höhe von 158,5 Millionen € wegen Verstößen gegen das europäische Datenschutzrecht.
Schaut man sich die Zahlen der erfassten Verstöße an, sieht man einen deutlichen Zuwachs im Vergleich zu den Jahren zuvor, seit Mai 2018. Tatsächlich stieg die Zahl um 39%!
Im europäischen Vergleich sind, wie auch vor der DSGVO deutliche Unterschiede zu erkennen. Nicht nur die Zahlen der Verstöße, gerade der unterschiedliche Umgang mit diesen wird deutlich.
Die meisten Verstöße sind mit 77.747 Fällen in Deutschland dokumentiert. Bezieht man die gemeldeten Verstöße aber auf die Einwohnerzahl, liegt Dänemark mit 155,6 gemeldeten Verstößen pro 100.000 Einwohner vor allen anderen Mitgliedstaaten. Aus diesen Zahlen sollte man allerdings nicht voreilig folgern, dass in Deutschland oder Dänemark ein besonders niedriges Datenschutzniveau herrscht.
Zum Vergleich: Im gleichen Zeitraum gab es in Frankreich 5389 und in Italien lediglich 3460 geahndete Fälle. Interessanterweise belegt Italien aber bei der Gesamtsumme von verhängten Bußgeldern den ersten Platz mit insgesamt 69 Millionen Euro.
Dies macht deutlich wie unterschiedlich die DSGVO durch die Datenschutz- und Bußgeldbehörden ausgelegt wird. Denn oftmals bedeutet die Meldung eines Datenschutzvorfalls nicht gleich ein Bußgeld für den Verantwortlichen.
Fazit:
Die Höhe und der Anstieg der geahndeten Fälle und die Summe der verhängten Bußgelder zeigt, dass die Zeit der nachsichtigen Aufsichts- und Bußgeldbehörden ein Ende nimmt. Unternehmen hatten ausreichend Zeit ihr Datenschutzmanagement aufzustellen und damit die Rechte der betroffenen Personen zu schützen.
Im Jahr 2021 ist davon auszugehen, dass es erneut zu mehr Bußgeldern kommen wird. Die Probleme, welchen sich Unternehmen aufgrund des Coronavirus gegenübersahen, werden dieses Jahr nicht mehr als Ausrede taugen, sodass gegen datenschutzrechtliche Verstöße konsequenter vorgegangen werden muss.
Jan Brinkmann
Consultant für Datenschutz
Volljurist
Die Landesbeauftragte für den Datenschutz (LfD) Niedersachsen hat der notebooksbilliger.de AG ein Bußgeld in Höhe von 10,4 Millionen Euro wegen Verstößen gegen die Datenschutzgrundverordnung (DSGVO) auferlegt.
Das Unternehmen hat seine Beschäftigten über einen Zeitraum von mindestens zwei Jahren per Video überwacht, wobei die Kameras u.a. Lager, Verkaufsräume, Arbeitsplätze und Aufenthaltsbereiche erfassten. Eine Rechtsgrundlage für diese Überwachung gab es nicht.
Ziel der Videoüberwachung sei laut dem Unternehmen die Verhinderung und Aufklärung von Straftaten sowie eine Nachverfolgung des Warenflusses in den Lagern gewesen. Eine Videoüberwachung zur Aufdeckung von Straftaten kann jedoch nur rechtmäßig sein, wenn tatsächliche Anhaltspunkte den Verdacht begründen, dass eine konkrete Person eine Straftat begangen hat. Ein Generalverdacht reicht nicht aus. Ferner ist bei einem begründeten Verdacht nur eine zeitlich begrenzte Überwachung angezeigt. Die Videoüberwachung bei notebooksbilliger.de war jedoch weder auf einen bestimmten Zeitraum noch auf konkrete Personen beschränkt. Die Aufzeichnungen wurden zudem teilweise 60 Tage gespeichert und damit laut LfD Niedersachsen deutlich länger als erforderlich. In der Regel sind die Daten innerhalb von 2 bis 3 Tagen (max. 72 Stunden) nach Erhebung zu löschen, da es zumutbar ist, in diesem Zeitraum zu klären, ob eine Sicherung des Materials notwendig ist.
Einige Kameras waren auch auf Sitzgelegenheiten im Verkaufsraum gerichtet, sodass von der unzulässigen Videoüberwachung neben den Beschäftigten auch Kunden und Kundinnen des Unternehmens betroffen waren. Die Landesbeauftragte führte aus, dass die betroffenen Personen in Bereichen, in denen sich Menschen typischerweise länger aufhalten, z.B. um die angebotenen Geräte ausgiebig zu testen, hohe schutzwürdige Interessen haben. Dies gelte besonders für Sitzbereiche, die offensichtlich zum längeren Verweilen einladen sollen.
Sie betonte außerdem, dass es sich hierbei um einen schwerwiegenden Fall der Videoüberwachung im Betrieb handele und Unternehmen verstehen müssen, dass sie damit massiv gegen die Rechte ihrer Mitarbeiter und Mitarbeiterinnen verstoßen.
Bei dem Bußgeld in Höhe von 10,4 Millionen handelt es sich um das bisher höchste Bußgeld, das Niedersachsen seit Inkrafttreten der DSGVO ausgesprochen hat. Der Bußgeldbescheid ist jedoch noch nicht rechtskräftig, da notebooksbilliger.de hiergegen Einspruch eingelegt hat.
Nach der Verhängung des bisher höchsten Bußgeldes in Deutschland in Höhe von 35,3 Millionen Euro im letzten Jahr, zeichnet sich auch durch diese Entscheidung der LfD Niedersachsen ab, dass die Aufsichtsbehörden ihr Vorgehen bei Datenschutzverstößen verschärfen. Prüfen Sie daher auch in Ihrem Unternehmen sorgfältig, ob Sie die Vorgaben der DSGVO einhalten.
Julia Eisenacher
Juristin (Univ.)
Consultant für Datenschutz
Die Berliner Beauftragte für Datenschutz und Informationsfreiheit hat ein Bußgeld in bis zu zweistelliger Millionenhöhe wegen Verstößen gegen die Datenschutzgrundverordnung (DSGVO) angekündigt. Aus rechtlichen Gründen im laufenden Verfahren konnte die Sprecherin der Berliner Datenschutzbeauftragten jedoch nicht sagen, um welches Unternehmen es sich handelt.
Erst kürzlich hat die Berliner Datenschutzbeauftragte gegen ein ebenfalls nicht genanntes Unternehmen zwei Bußgelder in Höhe von insgesamt 200.000 Euro verhängt.
Bislang wurden durch die Datenschutzbeauftragten der Länder deutlich geringere Bußgelder erlassen. Die bislang höchsten Bußgelder wurden in Baden-Württemberg (80.000 Euro) und Berlin (50.000 Euro) verhängt. In Baden-Württemberg waren Gesundheitsdaten betroffen, in Berlin hatte eine Online-Bank unbefugt Daten ehemaliger Kunden verarbeitet.
Vielen Unternehmen ist gar nicht klar, welche Verstöße gegen die DSGVO überhaupt bußgeldbewehrt sind. Dies ist im Bußgeldkatalog der Art. 83 Abs. 4-6 DSGVO geregelt.
Art. 83 Abs. 4 DSGVO sieht ein Bußgeld in Höhe von bis zu 10 Millionen Euro oder 2% des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres eines Unternehmens vor. Entscheidend ist dabei der höhere von beiden Beträgen. Ein solches Bußgeld kommt u.a. bei den folgenden Verstößen in Betracht:
- Nichtvorhandensein datenschutzfreundlicher Technikgestaltung und Voreinstellungen
- Fehlen von Joint-Control- oder Auftragsverarbeitungsverträgen
- Fehlendes Verzeichnis von Verarbeitungstätigkeiten
- Mangelnde Zusammenarbeit mit der Aufsichtsbehörde
- Unzureichende technische und organisatorische Maßnahmen
- Unterlassene Meldungen von Datenschutzverletzungen
- Nicht durchgeführte Datenschutz-Folgenabschätzung
- Fehlende Bennenung eines Datenschutzbeauftragten und fehlende Veröffentlichung der Kontaktdaten und Meldung an die Aufsichtsbehörde
Art. 83 Abs. 5 DSGVO gibt einen Bußgeldrahmen von bis zu 20 Millionen Euro oder 4% des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres eines Unternehmens vor, wobei auch hier der höhere Betrag entscheidend ist. Ein solches Bußgeld kommt u.a. bei den folgenden Verstößen in Betracht:
- Nichteinhaltung der Grundsätze der Verarbeitung (Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz, Zweckbindung, Datenminimierung, Datenrichtigkeit, Speicherbegrenzung, Integrität und Vertraulichkeit)
- Nichteinholen einer erforderlichen Einwilligung
- Verstoß gegen die Rechte der betroffenen Personen (Informationspflichten, Recht auf Auskunft, Datenübertragung, Berichtigung, Löschung, Einschränkung der Verarbeitung, Widerspruchsrecht)
- Übermittlung personenbezogener Daten an Empfänger in Drittländer
- Nichtbefolgung einer Anweisung der Aufsichtsbehörde
Die Höhe des Bußgeldes orientiert sich u.a. nach den folgenden Kriterien:
- Art, Schwere und Dauer des Verstoßes (berücksichtigt wird Art, Umfang oder Zweck der Verarbeitung, Zahl der betroffenen Personen, Ausmaß des erlittenen Schadens)
- Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes
- Maßnahmen zur Minderung des den betroffenen Personen entstandenen Schadens
- Grad der Verantwortlichkeit unter Berücksichtigung der getroffenen technischen und organisatorischen Maßnahmen
- Frühere Verstöße
- Umfang der Zusammenarbeit mit der Aufsichtsbehörde
- Kategorieren betroffenener personenbezogener Daten
- Art und Weise, wie der Verstoß der Aufsichtsbehörde bekannt wurde
- Einhaltung der in Bezug auf denselben Gegenstand bereits angeordneten Maßnahmen
Die Einhaltung der Vorschriften der DSGVO ist daher zur Vermeidung von Bußgeldern unerlässlich.
Julia Eisenacher
Juristin (Univ.)
Consultant für Datenschutz
Die Datenschutzgrundverordnung (DSGVO) ist gut ein halbes Jahr alt. Die anfängliche Aufregung war spürbar, doch seit ein paar Monaten ist es ruhiger geworden um die DSGVO. Nun wurde aber das erste ernstzunehmende europäische Bußgeld für Google erlassen.
Google soll in Frankreich insgesamt 50 Millionen Strafe zahlen. Die französische Datenschutzbehörde CNIL stellte eine Vielzahl von Verstößen gegen die DSGVO fest.
Informationen zur Verarbeitung der erhobenen Daten und der Speicherdauer sind für die Nutzer nur schwer zugänglich, erklärte die französische Datenschutzbehörde am Montag. Die Informationen sind in mehreren Dokumenten verteilt. Auch ist Vieles unklar formuliert.
Zudem ist nach Ansicht der Aufsichtsbehörde die von Google eingeholte Einwilligung zur Anzeige von personalisierter Werbung nicht rechtskonform. Die Einwilligenden werden nicht ausreichend informiert.
Google wolle nun nach einer ausführlichen Prüfung des Bescheides die Transparenz bzgl. der Daten erhöhen.
Dr. Bettina Kraft
Teamleitung und Senior Consultant für Datenschutz
Volljuristin
Was ist Whistleblowing?
Beim Whistleblowing geht es darum, Mitarbeitern in einem Unternehmen die Möglichkeit zu geben, zu melden, wenn sie bei Kollegen verbotenes Verhalten feststellen. Banken sind verpflichtet, einen Whistleblowing-Prozess einzuführen. Andere Branchen müssen dies im Rahmen der Korruptionsbekämpfung.
Was hat Whistleblowing mit Datenschutz zu tun?
Mit der Meldung von Verstößen müssen üblicherweise personenbezogene Daten erhoben, verarbeitet und genutzt werden. So kommt eine Meldung nicht ohne Angabe der Beschuldigten, etwaiger Zeugen und ggf. auch des Meldenden aus. Neben der möglichen Weiterleitung an Strafverfolgungsbehörden kann es sein, dass die so erhobenen Daten innerhalb des Konzerns und damit verbunden in Drittstaaten übermittelt werden.
Rechtsgrundlagen
Auch für den Datenverarbeitungsvorgang des Whistleblowings muss eine Rechtsgrundlage gegeben sein. Dafür kann Art. 88 Abs.1 DSGVO, § 26 Abs. 1 S. 2 BDSG herangezogen werden, wonach zur Aufdeckung von Straftaten Beschäftigtendaten unter bestimmten Voraussetzungen erhoben und verarbeitet werden dürfen. Nach Auffassung der Aufsichtsbehörden sollte der Hinweisgeber anonym bleiben oder seine Daten nur mit seiner informierten Einwilligung verarbeitet werden, Art. 6 Abs. 1 lit. a) DSGVO, § 26 Abs. 2 BDSG.
Mitarbeiterinformation
Regelungen über das Whistleblowing (z.B. Betriebsvereinbarungen) müssen im Unternehmen bekannt gemacht werden und zwar so, dass es für alle Arbeitnehmer möglich ist, ohne großen Aufwand vom Inhalt der Regeln Kenntnis zu bekommen. Die Betroffenenrechte wie Auskunftsrecht, das Berichtigungsrecht und das Löschungsrecht sind in diesem Zusammenhang nochmal deutlich zu erwähnen.
Information der Beschuldigten
Über Ermittlungen aufgrund von Whistleblower-Meldungen sind beschuldigte Personen gem. Art. 14 DSGVO umfassend zu informieren. Die Information an den Beschuldigten darf nach Art. 14 Abs. 5 lit. b) DSGVO zurückgehalten werden, wenn der Ermittlungserfolg durch eine frühzeitige Information gefährdet wäre. Allerdings muss der Verantwortliche seine Informationspflicht nachholen, wenn die Gefährdungslage nicht mehr gegeben ist. Dies ergibt sich aus Art. 14 Abs. 5 lit. b) S. 2 DSGVO, wonach der Verantwortliche geeignete Maßnahmen zum Schutz der Rechte und Freiheiten sowie der berechtigten Interessen des Beschuldigten ergreifen muss.
Löschung
Unverzügliche Datenlöschung bei unbegründeter Meldung, ansonsten spätestens 2 Monate nach Beendigung des Untersuchungsverfahrens. Eine längere Speicherung ist nur bei der Durchführung eines Disziplinar- oder Strafverfahrens möglich. Wird ein Sachverhalt gemeldet, der den Verdacht einer Straftat begründet, dürfen die Daten für die Dauer der Untersuchung bzw. solange aufbewahrt werden bis sich daran anschließende rechtliche Maßnahmen und Verfahren abgeschlossen sind.
Maßnahmen vor Einführung des Whistleblowings
- Datenschutz-Folgenabschätzung nach Art. 35 DSGVO
- Aufnahme ins Verzeichnis von Verarbeitungstätigkeiten, Art. 30 Abs.1 DSGVO
- Erfüllung von Informationspflichten Art. 13, 14 DSGVO
- Betriebsrat beteiligen
- Falls ein Dienstleister beteiligt ist (Anbieter eine Hotline) ADV mit dem Dienstleister nach Art. 28 DSGVO abschließen
- Regellöschfristen festlegen
Michaela Dötsch
Rechtsanwältin