{"id":1017,"date":"2019-05-14T15:18:04","date_gmt":"2019-05-14T13:18:04","guid":{"rendered":"https:\/\/lam.unisg.ch\/blog\/?p=1017"},"modified":"2019-05-14T15:18:04","modified_gmt":"2019-05-14T13:18:04","slug":"was-passiert-bei-nichteinhaltung-der-eu-dsgvo-zwei-aktuelle-beispiele","status":"publish","type":"post","link":"https:\/\/lam.unisg.ch\/blog\/was-passiert-bei-nichteinhaltung-der-eu-dsgvo-zwei-aktuelle-beispiele","title":{"rendered":"Was passiert bei Nichteinhaltung der EU DSGVO \u2013 zwei aktuelle Beispiele"},"content":{"rendered":"

220’000 EUR Geldstrafe in Polen<\/strong><\/p>\n

Laut der Datenschutzbeh\u00f6rde UODO soll das polnische Unternehmen Bisnode AB seine Pflichten aus der Datenschutzgrundverordnung in Rund 6 Millionen F\u00e4llen verletzt haben. Konkret geht es dabei um 3,6 Millionen Datens\u00e4tze gesch\u00e4ftst\u00e4tiger nat\u00fcrlicher Personen, sowie 2,33 Millionen solcher, die ihre Wirtschaftst\u00e4tigkeit aufgegeben haben. Bei der Bisnode AB handelt es sich um eine Wirtschaftsauskunft, die ihre Datens\u00e4tze aus \u00f6ffentlich zug\u00e4nglichen Quellen bezieht.<\/p>\n

Die Datenschutzbeh\u00f6rde UODO wirft dem Unternehmen nun die Verletzung von Informationspflichten vor: Laut Art. 14 DSGVO h\u00e4tte das Unternehmen die betroffenen Personen \u00fcber die Verwendung der Daten informieren m\u00fcssen. Und zwar in allen 6 Millionen F\u00e4llen. Dieser Pflicht ist das Unternehmen in der Realit\u00e4t aber nur bei den Datens\u00e4tzen nachgekommen, die auch eine E-Mail-Adresse des Betroffenen enthalten. Alle anderen h\u00e4tte das Unternehmen laut Meinung der Datenschutzbeh\u00f6rde eben telefonisch oder postalisch informieren m\u00fcssen.<\/p>\n

Die Datenschutzbeh\u00f6rde fordert daher ein Bu\u00dfgeld in H\u00f6he von 219.500 Euro. Das entspricht fast einer Millionen Zloty. \u201eDer Verantwortliche war sich seiner Informationspflicht bewusst. Daher die Entscheidung, gegen dieses Unternehmen eine Geldstrafe in dieser H\u00f6he zu verh\u00e4ngen\u201c, hei\u00dft es dazu von der Pr\u00e4sidentin der Datenschutzbeh\u00f6rde.<\/p>\n

Das Unternehmen beruft sich auf eine Ausnahme von der Informationspflicht in der DSGVO. Nach der DSGVO gilt diese Pflicht nicht, wenn \u201edie Erteilung dieser Informationen sich als unm\u00f6glich erweist oder einen unverh\u00e4ltnism\u00e4\u00dfigen Aufwand erfordern w\u00fcrde\u201d (Art. 14 Abs. 5 b). In einer Stellungnahme des Unternehmens hei\u00dft es dazu:<\/p>\n

\u201eWir stellen die Auslegung der DPA in Frage, was als verh\u00e4ltnism\u00e4\u00dfige Anstrengung angesehen wird. In den F\u00e4llen, in denen wir E-Mail-Adressen hatten (679 000 Adressen), haben wir dort Informationen nach Artikel 14 per E-Mail versandt, aber zus\u00e4tzlich zu verlangen, dass 5,7 Millionen Datens\u00e4tze per Post oder Telefon informiert werden, kann nicht als verh\u00e4ltnism\u00e4\u00dfiger Aufwand angesehen werden.\u201c<\/p>\n

160\u2019000 EUR Geldstrafe in D\u00e4nemark<\/strong><\/p>\n

In D\u00e4nemark verh\u00e4ngt Datatilsynet dem Taxiunternehmen Taxa 4\u00d735 eine Geldstrafe von fast 160\u2019200 Euro, weil es vers\u00e4umt hatte, Datens\u00e4tze von 9 Millionen Taxifahrten zu l\u00f6schen, nachdem sie nicht mehr ben\u00f6tigt wurden. Artikel 5 der EU DSGVO hindert Unternehmen daran, Daten, die sie nicht mehr ben\u00f6tigen, aufzubewahren.<\/p>\n

Im Fall Taxa 4\u00d735 soll das Unternehmen versucht haben, Artikel 5 einzuhalten, indem es die Daten nach zwei Jahren anonymisiert hat. In der Praxis hat das Unternehmen lediglich Kundennamen aus seiner Datenbank entfernt und andere Datenpunkte wie Kundenrufnummern und Fahrgeschichten f\u00fcr f\u00fcnf Jahre zum Zweck der Gesch\u00e4ftsanalyse aufbewahrt.<\/p>\n

Die Datatilsynet sagte, das sei nicht genug. Die Datenschutzbeh\u00f6rde stellte fest, dass Telefonnummern immer noch die Identifizierung einer betroffenen Person erm\u00f6glichen, was bedeutet, dass Taxa 4\u00d735 seine Datens\u00e4tze nicht ordnungsgem\u00e4ss anonymisiert hat. Dar\u00fcber hinaus lehnte das Datatilsynet die Erkl\u00e4rung von Taxa 4\u00d735 ab, dass seine technischen Systeme die Speicherung von Fahrgeschichtsdaten ohne zugeh\u00f6rige Telefonnummer nicht zuliessen. „Man kann keine L\u00f6schfrist setzen, die drei Jahre l\u00e4nger als n\u00f6tig ist, nur weil das System des Unternehmens es schwierig macht, die Regeln der Datenschutzverordnung einzuhalten“, schrieb die Datenschutzbeh\u00f6rde.<\/p>\n

Zwischenbilanz<\/strong><\/p>\n

Da die EU DSGVO noch kein Jahr alt ist, fehlen noch gr\u00f6ssere Durchsetzungen. Aber es gibt Anzeichen daf\u00fcr, dass die Regulierungsbeh\u00f6rden sich darauf vorbereiten, auch an dieser Front ebenso feste Linien zu ziehen.<\/p>\n

Im Falle von Verst\u00f6ssen gegen die EU DSGVO kann das zust\u00e4ndige DPA bestimmte Regulierungsmassnahmen vorschreiben:<\/p>\n

–\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 Warnungen oder Verweise aussprechen<\/p>\n

–\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 Vor\u00fcbergehende oder endg\u00fcltige Beschr\u00e4nkungen der Datenverarbeitung<\/p>\n

–\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 Ein Verbot der Datenverarbeitung<\/p>\n

–\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 Geldbussen bis zu 4% des weltweiten Jahresumsatzes oder 20 Millionen Euro<\/p>\n

Diese Massnahmen der d\u00e4nischen und polnischen Beh\u00f6rden sind nur die j\u00fcngsten einer wachsenden Zahl von Durchsetzungsmassnahmen im Zusammenhang mit der EU DSGVO im Jahr 2019.<\/p>\n

 <\/p>\n

Picture from pixabay<\/a><\/em><\/p>\n

 <\/p>\n\n

\n
\n
\n

Newsletter Signup<\/h3><\/div>\n
<\/div>\n
\n
\n