Aktuelles – Bußgeld gegen Deutsche Wohnen SE
Was ist passiert?
Die Berliner Beauftragte für Datenschutz und Informationsfreiheit hat am 05. November 2019 ein Rekordbußgeld gegen einen deutschen Immobilienkonzern erlassen. Die Deutsche Wohnen SE erhielt ein Bußgeld in Höhe von 14,5 Mio. Euro. Im Rahmen von Vor-Ort-Prüfungen im Juni 2017 und März 2019 stellte die zuständige Datenschutzaufsichtsbehörde fest, dass das verwendete Archivsystem, welches für die Speicherung von personenbezogenen Daten von Mieterinnen und Mietern eingesetzt wurde, keine Option enthält, nicht mehr erforderliche Daten zu löschen. Darüber hinaus wurde bemängelt, dass personenbezogene Daten gespeichert wurden, ohne zu prüfen, ob diese gespeichert werden durften oder überhaupt erforderlich waren. Obwohl der Zweck für die ursprüngliche Speicherung dieser Daten entfallen war, wurden private Angaben dennoch weiter gespeichert. Hierzu gehören Informationen wie Gehaltsbescheinigungen, Sozialversicherungsdaten und Kontoauszüge.
Im Ergebnis wurden Verstöße gegen Art. 25 Abs. 1 DSGVO und Art. 5 DSGVO geahndet. Hinzu kamen allerdings noch weitere Bußgelder von der zuständigen Datenschutzaufsichtsbehörde in Berlin wegen der unzulässigen Speicherung von personenbezogenen Daten von Mieterinnen und Mietern in 15 Fällen. Diese Bußgelder bezifferten sich auf Beträge zwischen 6.000 € und 17.000 €.
So werden Bußgelder berechnet
Grundsätzlich ist jede europäische Aufsichtsbehörde für den Datenschutz verpflichtet, sicher zu stellen, dass die Verhängung von Geldbußen in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist. Geldbußen werden je nach den Umständen des Einzelfalls zusätzlich zu oder anstelle von Maßnahmen nach Artikel 58 Abs. 2 lit. a) – h) und j) DSGVO verhängt. Nach den folgenden Kriterien wird die Höhe des Bußgeldes bestimmt:
- Art, Schwere und Dauer des Verstoßes unter Berücksichtigung der Art, des Umfangs oder des Zwecks der betreffenden Verarbeitung sowie der Zahl der von der Verarbeitung betroffenen Personen und des Ausmaßes des von ihnen erlittenen Schadens;
- Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes;
- jegliche von dem Verantwortlichen oder dem Auftragsverarbeiter getroffenen Maßnahmen zur Minderung des den betroffenen Personen entstandenen Schadens;
- Grad der Verantwortung des Verantwortlichen oder des Auftragsverarbeiters unter Berücksichtigung der von ihnen gemäß den Art. 25 DSGVO und Art. 32 DSGVO getroffenen technischen und organisatorischen Maßnahmen;
- etwaige einschlägige frühere Verstöße des Verantwortlichen oder des Auftragsverarbeiters;
- Umfang der Zusammenarbeit mit der Aufsichtsbehörde, um dem Verstoß abzuhelfen und seine möglichen nachteiligen Auswirkungen zu mindern;
- Kategorien personenbezogener Daten, die von dem Verstoß betroffen sind;
- Art und Weise, wie der Verstoß der Aufsichtsbehörde bekannt wurde, insbesondere ob und gegebenenfalls in welchem Umfang der Verantwortliche oder der Auftragsverarbeiter den Verstoß mitgeteilt hat;
Bei Nichtbefolgung einer Anweisung der Aufsichtsbehörde gemäß Art. 58 Abs. 2 DSGVO werden im Einklang mit Art. 83 Abs. 2 DSGVO Geldbußen von bis zu 20 000 000 EUR oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist.
Herr Dipl.-Jur. Serkan Taskin hat an der Westfälischen-Wilhelms-Universität (WWU) in Münster Rechtswissenschaften studiert und ist seit seinem Abschluss als externer Datenschutzbeauftragter und Consultant für Datenschutz tätig. Gleichzeitig besitzt Herr Taskin eine Zertifizierung als Datenschutzbeauftragter (TÜV Rheinland). Als externer Datenschutzbeauftragter und Consultant für Datenschutz unterstützt er Unternehmen aus verschiedenen Branchen in der Umsetzung datenschutzrechtlicher Vorgaben. Darüber hinaus ist Herr Taskin als Auditor für Konzerne, kleine und mittelgroße Unternehmen (KMU) sowie Startups tätig. Herr Taskin zeichnet sich durch seine juristische Expertise im Datenschutzrecht aus und konfiguriert die Umsetzung und Einhaltung des Datenschutzes derart, dass auch wirtschaftliche Interessen der Unternehmen dennoch berücksichtigt werden.
