Themen
Tipp des Monats
Machen Sie in nur zehn Minuten den IT-Sicherheitscheck von Deutschland sicher im Netz. Der Test liefert Handlungsempfehlungen, mit denen Sie die eigene IT-Sicherheitslage verbessern können.
Newsletter
Um neue Beiträge regelmäßig zu erhalten, können Sie hier unseren Newsletter abonnieren:
Welche Lehren können wir daraus ziehen?
Erstes Bußgeld nach DS-GVO in Baden-Württemberg verhängt
Das LfDI Baden-Württemberg hat am 22.11.2018 über seine erste Verhängung eines Bußgeldes nach der EU-Datenschutz-Grundverordnung informiert.
Laut der Pressemitteilung der Datenschutzaufsichtsbehörde Baden-Württemberg wurde am 21.11.2018 ein Bußgeld in Höhe von € 20.000,- gegen einen baden-württembergischen Social-Media-Anbieter verhängt. Ob bzw. ab wann der Bußgeldbescheid rechtskräftig ist bzw. wird, ist der Veröffentlichung nicht zu entnehmen.
Das betroffene Unternehmen war offenbar im Juli 2018 Opfer eines Hackerangriffs geworden, bei dem unter anderem Passwörter und E‑Mail-Adressen von ca. 330.000 Nutzern entwendet und dann im September 2018 veröffentlicht worden waren.
Der Bußgeldbescheid sanktioniert aber NICHT die Tatsache, dass das Unternehmen erfolgreich angegriffen wurde, sondern dass die dem Unternehmen überlassenen Nutzerpasswörter ohne ausreichenden Schutz (hier: im Klartext) gespeichert wurden. Damit hat das Unternehmen gegen seine Pflicht zur Gewährleistung der Datensicherheit gem. Art. 32 Abs. 1 Lit a DS-GVO verstoßen.
Interessant an dem Fall ist, dass die den Bußgeldbescheid begründenden Umstände der Aufsichtsbehörde erst im Rahmen der weiteren Aufklärung nach der pflichtgemäßen Meldung der Datenpanne, die das betroffene Unternehmen gem. Art. 33 Abs. 1 bzw. Art. 34 Abs. 1 DS-GVO an die Aufsichtsbehörde und die Betroffenen unverzüglich nach Bekanntwerden der Datenpanne durchgeführt hat, bekannt wurden.
Aus meiner Sicht können aus dem Vorfall zwei wesentliche Lehren gezogen werden:
- Eine gem. Art. 33 Abs. 1 DS-GVO notwendige, unverzügliche Meldung einer Datenpanne an die zuständige Datenschutzaufsichtsbehörde führt nicht automatisch zu einer Sanktionsbefreiung, wenn im Rahmen der Aufklärung des Sachverhalts Verstöße gegen datenschutzrechtliche Pflichten des Verantwortlichen festgestellt werden. Ggf. muss der Verantwortliche abwägen, welche Angaben er im Rahmen einer Meldung gem. Art. 33 Abs. 1 DS-GVO macht. Die grundsätzliche Unterlassung einer pflichtgemäßen Meldung, z. B. um sich nicht selbst zu belasten, kann nicht der richtige Weg sein. Eine unterlassene Meldung ist natürlich auch bußgeldbewehrt, wenn diese gem. Art. 33 Abs. 1 DS-GVO hätte durchgeführt werden müssen.
- Die noch im ersten Halbjahr 2018 für erhebliche Verunsicherung oder gar Panik in Unternehmen sorgende Befürchtung, es würden zukünftig nur noch Bußgelder in Millionenhöhe verhängt, hat sich (natürlich) nicht bewahrheitet. Die in diesem Fall verhängten € 20.000,- sind aus meiner Sicht bei der Anzahl der Betroffenen und der vermutlichen Größe des Unternehmens, das immerhin mind. 330.000 „Kunden” hat, nicht extrem hoch und sogar im Rahmen des alten Bundesdatenschutzgesetzes aus der Vor-DS-GVO-Zeit. Das LfDI Baden-Württemberg hat aber auch ganz klar erklärt, dass die sehr gute Kooperation des Unternehmens mit der Datenschutzaufsicht ganz wesentlich zu Gunsten des Unternehmens berücksichtigt wurde. Wenn also Ermittlungen der Datenschutzaufsicht gegen ein Unternehmen laufen, empfiehlt sich immer die uneingeschränkte Kooperation.
Abschluss der Ausbildung mit dem zweiten juristischen Staatsexamen 1997. Seitdem in unterschiedlichen Bereichen bei der DATEV eG in Nürnberg tätig. Praktische Erfahrung im IT-Umfeld hat er insbesondere in seiner zehnjährigen Tätigkeit in der Softwareentwicklung gesammelt. Hierbei war er u.a. mit der Einrichtung und Aktualisierung von Netzwerkumgebungen in Steuerberater- und Rechtsanwaltskanzleien betraut. Seit fünf Jahren ist Bernd Bosch als externer Datenschutzberater für Kanzleien tätig.
Für DATEV sind Datenschutz und Datensicherheit seit Gründung des Unternehmens zentrale Elemente in der Geschäftspolitik. Daher engagiert sich DATEV mit dem Blog für mehr IT-Sicherheit im Mittelstand.
Neueste Kommentare