Wie aus einer Kundenbeschwerde wegen 1,50 EUR plötzlich 172.000 EUR Bußgeld wurden

28.06.2024

Die belgische Datenschutzbehörde (APD) hat einem Unternehmen eine Geldstrafe von über 172.000 EUR auferlegt. Der Grund: Das Unternehmen hatte trotz der Aufforderung einer Kundin, ihre personenbezogenen Daten im Zusammenhang mit der Zusendung von Direktwerbung zu löschen, dieser weiterhin Werbung zugeschickt. Die Kundin bat daraufhin die ADP um Unterstützung. Die Mangelhafte Zusammenarbeit mit der Aufsichtsbehörde führte letztendlich zum hohen Bußgeld.

NOVIDATA Updates

Newsletter Datenschutz & IT-Sicherheit

Mit unserem Newsletter erhälst du aktuelle Informationen zu den Themen Datenschutz & IT-Sicherheit regelmäßig bequem in dein Postfach!

Jetzt anmelden

Was war geschehen?

Eine Kundin kaufte 2022 ein Produkt und entdeckte auf der Rechnung eine unerwartete Gebühr von 1,50 EUR für einen „Energiebeitrag“. Sie forderte die Rückerstattung dieser Gebühr und die Löschung ihrer personenbezogenen Daten. Während der Verantwortliche die Rückerstattung ablehnte, bestätigte er den Erhalt des Löschantrags und versprach eine umgehende Bearbeitung.

Trotz dieser Zusicherung wurden die Daten nicht gelöscht und die Kundin erhielt weiterhin Werbenachrichten vom Unternehmen. Daraufhin wandte sich die Kundin an die APD und bat um Unterstützung. Der Verantwortliche reagierte nicht auf die Anfragen der APD, was die Kundin dazu veranlasste, eine formelle Beschwerde einzureichen.

Im Verlauf des Verfahrens gestand das Unternehmen Fehler des früheren Datenschutzbeauftragten ein und erklärte, dass weder der aktuelle Datenschutzbeauftragten noch die Geschäftsführung von diesen Problemen wussten. Der frühere Datenschutzbeauftragte hatte seine Aufgaben in Teilzeit erledigt und die Korrespondenz mit der APD und der Kundin weder bearbeitet noch intern weitergegeben. Das Unternehmen teilte mit, Maßnahmen zur Verbesserung der Reaktionsfähigkeit ergriffen zu haben, einschließlich der Einstellung eines neuen, vollzeitbeschäftigten Datenschutzbeauftragten mit einem Team von weiteren zwei Personen.

 

Die Entscheidung der Datenschutzbehörde

Die belgische Aufsichtsbehörde APD stellte Verstöße gegen Artikel 5 Absatz 2 und Artikel 24 der DSGVO fest. Besonders kritisiert wurde, dass der frühere Datenschutzbeauftragte nicht ausreichend Ressourcen zur Verfügung hatte, um seine Aufgaben zu erfüllen. Die APD betonte, dass das Unternehmen geeignete technische und organisatorische Maßnahmen ergreifen muss, um die Einhaltung der DSGVO sicherzustellen. Die Unfähigkeit des Unternehmens, die tatsächliche Löschung der personenbezogenen Daten zu überprüfen, warf Zweifel an der Wirksamkeit der bestehenden Maßnahmen auf.

Zusätzlich sah die APD in der Überlastung des ehemaligen Datenschutzbeauftragten einen Verstoß gegen Artikel 5 Absatz 1 und Artikel 24 der DSGVO. Das Unternehmen hatte es versäumt, notwendige Maßnahmen zur Sicherstellung der DSGVO-Konformität zu ergreifen.

Die Behörde verwies auch auf die Anforderungen des Artikels 38 Absatz 2 der DSGVO hinsichtlich der Unterstützungspflichten des internen Datenschutzbeauftragten. Das Unternehmen muss dem Datenschutzbeauftragten die erforderlichen Mittel zur Verfügung stellen, ihm genügend Zeit für seine Aufgaben einräumen, die Bestellung des Datenschutzbeauftragten allen Mitarbeitern bekannt machen und laufende Schulungen zur Aktualisierung der Kenntnisse des Datenschutzbeauftragten sicherstellen.

In der Überlastung und Teilzeittätigkeit des Datenschutzbeauftragten, die dessen Effektivität beeinträchtigten, sah die APD klare Verstöße gegen diese Vorgaben. So führte am Ende eine kleine Energiepauschale von 1,50 EUR zu einem massiven Bußgeld von 172.431 EUR aufgrund gravierender Mängel im Datenschutzmanagement des Unternehmens.


Datenschutz & IT-Sicherheit

Externer Datenschutzbeauftragter & Externer Informationssicherheitsbeauftragter

Schulungen & Workshops

Professionelle Inhouse und Online-Schulungen zu  
Datenschutz, IT-Sicherheit & Hinweisgeberschutz

Hinweisgeberschutzgesetz

Interne Meldestelle & Digitales 
Hinweisgebersystem NOVIBLOWER.PRO

Newsletter

Stets auf dem aktuellsten Stand mit 
unserem regelmäßigen Newsletter

Hinweis

Dieser Artikel wurde auf Basis der aktuell verfügbaren Literatur erstellt. Er dient als erste Einschätzung von potentiellen Problemen innerhalb der Datenschutzgrundverordnung (DSGVO). Es wird darauf hingewiesen, dass viele der hier behandelten Probleme noch nicht abschließend, insbesondere durch höchstrichterliche Rechtsprechungen, geklärt wurden und teilweise auch noch keine Stellungnahmen der Landesdatenschutzbehörden vorliegen, weshalb zu einigen Punkten unterschiedliche Auffassungen vertreten werden. Ich übernehme daher keine Haftung auf Richtigkeit und Vollständigkeit. Insbesondere ist darauf hinzuweisen, dass jeder Fall gesondert zu prüfen ist und keine individuelle Rechtsberatung ersetzt.


Weitere Artikel

16.07.2024

Seit Jahren stehen Unternehmen vor der Herausforderung, ihre IT-Systeme zu schützen und gleichzeitig den rechtlichen Anforderungen gerecht zu werden. Das Problem: Wird privates Surfen erlaubt oder geduldet, könnte das Unternehmen unter das Fernmeldegeheimnis fallen. Der Worst Case: das Unternehmen darf, beispielsweise im Vertretungsfall, ohne ausdrückliche Einwilligung des Beschäftigten nicht mehr auf den Computer oder das E-Mail-Postfach zugreifen. Jetzt hat die Aufsichtsbehörde NRW (LDI NRW) im neuesten Jahresbericht Stellung bezogen und weicht von der bisherigen Linie der Aufsichtsbehörden ab. Ist das das Ende des Fernmeldegeheimnisses im Kontext der privaten Nutzung von Internet und E-Mail am Arbeitsplatz?

Mehr erfahren ...
20.05.2024

Seit dem 14. Mai 2024 sind das Digitale-Dienste-Gesetz (DDG) und das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) in Kraft. Diese neuen Regelungen ersetzen das bisherige Telemediengesetz (TMG) bzw. das Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG) und bringen bedeutende Änderungen für Anbieter digitaler Dienste und Websitebetreiber mit sich. Drohnen bei ausbleibenden Änderungen nun neue Abmahnwellen?

Mehr erfahren ...
16.02.2024

Die Europäische Union hat die NIS2-Richtlinie eingeführt, um die Cybersicherheit innerhalb ihrer Mitgliedstaaten zu stärken und die Widerstandsfähigkeit kritischer Infrastrukturen gegenüber Cyberangriffen zu erhöhen. Diese aktualisierte Richtlinie erweitert den Anwendungsbereich der ursprünglichen NIS-Richtlinie (NIS1) erheblich und bringt neue Verpflichtungen und Anforderungen für eine breitere Palette von Unternehmen mit sich.

Mehr erfahren ...
05.02.2024

In der heutigen digital vernetzten Welt eröffnet der Fortschritt in der Künstlichen Intelligenz (KI) nicht nur bahnbrechende Möglichkeiten für Innovation und Effizienz, sondern birgt auch neuartige Risiken. Ein jüngstes Ereignis aus Hongkong illustriert, wie KI-gestützte Technologien, insbesondere Deepfakes, in die Hände von Cyberkriminellen geraten und zu beispiellosen Bedrohungen führen können.

Mehr erfahren ...

Externer Datenschutzbeauftragter

Sie benötigen einen externen Datenschutzbeauftragten für Ihr Unternehmen? Wir beraten Sie gerne. Kontaktieren Sie uns und fordern Sie ein unverbindliches Angebot an.

Unverbindliches Angebot anfordern
Inhalt wird geladen ...