Datenschutzrecht: Risiko "Datenfriedhof"

Nach der Veröffentlichung des neuen Konzepts der deutschen Datenschutzbehörden zur Bußgeldbemessung bei Datenschutzverstößen hat nunmehr erstmals auch eine deutsche Datenschutzbehörde ein Bußgeld im zweistelligen Millionenbereich ausgesprochen.

Datenschutzwidriges Verhalten

Die Berliner Beauftragte für Datenschutz und Informationsfreiheit hat am 30. Oktober 2019 gegen die Deutsche Wohnen SE einen Bußgeldbescheid in Höhe von rund 14,5 Millionen Euro wegen Verstößen gegen mehrere Grundsätze für die Verarbeitung personenbezogener Daten (Art. 5 DSGVO) und unzureichende technische Absicherung personenbezogener Daten (Art. 25 DSGVO) erlassen. 

Die Deutsche Wohnen SE ist eine deutsche Wohnungsgesellschaft mit Sitz in Berlin. Zu ihrem Immobilienbestand zählen über 150.000 Wohnungen und Gewerbeimmobilien, davon rund 110.000 in Berlin.

Die Berliner Datenschutzbeauftragte teilte in einer Pressemitteilung mit, dass die Aufsichtsbehörde bei Prüfungen im Juni 2017 und im März 2019 festgestellt habe, die Deutsche Wohnen SE archiviere personenbezogene Daten von Mieterinnen und Mietern, ohne dabei die Erforderlichkeit der Speicherung zu prüfen. In Einzelfällen sei es daher möglich gewesen, teilweise Jahre alte private Angaben der betroffenen Personen zu ihren persönlichen und insbesondere finanziellen Verhältnissen einzusehen, ohne dass es hierfür (noch) eine Rechtsgrundlage gegeben hätte.

Angesichts des im Geschäftsbericht der Deutsche Wohnen SE für 2018 ausgewiesenen Jahresumsatzes von über einer Milliarde Euro lag der gesetzlich vorgegebene Rahmen zur Bußgeldbemessung bei ca. 28 Millionen Euro. Belastend wirkte sich für das Unternehmen aus, dass die beanstandete Archivstruktur bewusst angelegt wurde und die betroffenen Daten über einen langen Zeitraum unzulässig verarbeitet wurden. Entlastend war zu berücksichtigen, dass kein missbräuchlicher Zugriff auf die unzulässig gespeicherten Daten nachgewiesen werden konnte. Daher wurde im Ergebnis ein Bußgeld im mittleren Bereich des vorgegebenen Bußgeldrahmens festgelegt.

Der Bußgeldbescheid ist nicht bestandskräftig. Die Deutsche Wohnen SE hat bereits angekündigt, dagegen Einspruch einzulegen.

Anmerkung

Es ist zu erwarten, dass „Datenfriedhöfe“ wie der der Deutsche Wohnen SE künftig noch häufiger Gegenstand von Bußgeldverfahren werden könnten. Die nach der DSGVO erforderlichen Löschkonzepte, mit denen der Grundsatz der Datensparsamkeit durchgesetzt werden soll, werden in vielen Unternehmen bislang nur unzureichend umgesetzt. Ein vergleichbares Beispiel in diesem Zusammenhang ist die Speicherung von Daten zu erfolglosen Bewerbern. In der Regel besteht hier sechs Monate nach Abschluss des Bewerbungsverfahrens kein Grund mehr für eine entsprechende Speicherung, sofern der Bewerber hierin nicht eingewilligt hat.

Vor diesem Hintergrund gilt es als Unternehmen insbesondere sicherzustellen, dass das eigene Datenarchiv die Möglichkeit vorsieht, nicht mehr erforderliche Daten zu entfernen. Die Systeme sind auf mögliche „Datenleichen“ zu kontrollieren und diese ggf. umgehend zu entfernen.