Wegen eines Verstoßes gegen die Datensicherheit hat der Landesbeauftrage für Datenschutz und Informationsfreiheit Baden-Württemberg mit Bescheid vom 21.11.2018 gegen den Social-Media-Anbieter Knuddels.de eine Geldbuße von 20.000,- Euro verhängt.

Wogegen hatte das Unternehmen verstoßen?

Nach Art. 32 der Datenschutz-Grundverordnung haben der Verantwortliche und der Auftragsverarbeiter unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen zu treffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.

Diese Maßnahmen umfassen unter anderem auch die Pseudonymisierung und Verschlüsselung personenbezogener Daten.

Das Unternehmen hatte jedoch Zugangsdaten dergestalt gespeichert, dass nicht veränderte Versionen von Passwörtern der einzelnen Nutzer/Mitglieder erhalten blieben. Zudem gab es einen Backupserver, auf dem nicht die neueste Version des Betriebssystems installiert war. Im Juli 2018 wurden durch einen Hackerangriff personenbezogene Daten von circa 330.000 Nutzern, darunter Passwörter und E-Mail-Adressen, entwendet und Anfang September 2018 veröffentlicht.

Durch die Speicherung der Passwörter im Klartext verstieß das Unternehmen wissentlich gegen seine Pflicht zur Gewährleistung der Datensicherheit bei der Verarbeitung personenbezogener Daten nach Art. 32 Abs. 1 lit a DSGVO.

Weiteres Vorgehen des Unternehmens und der Datenschutzbehörde

Nachdem das Unternehmen die Panne bemerkte, wandte es sich umgehend mit einer Datenpannenmeldung an den Landesbeauftragten. Die Nutzer wurden entsprechend der DSGVO sofort umfassend über den Hackerangriff informiert.

In Abstimmung mit dem Datenschutzbeauftragten setzte das Unternehmen in kurzer Zeit umfangreiche Maßnahmen zur Verbesserung ihrer IT-Sicherheitsarchitektur um und sicherte die Daten nach dem aktuellsten Stand der Technik.

Verhängung des Bußgeldes

Die Bußgeldstelle des Landesbeauftragten verhängte zunächst ein Bußgeld von 20.000,- Euro. Der Rahmen des für den gegenständlichen Verstoß maßgeblichen Art. 83 Abs. 4 DSGVO sieht Bußgelder von bis zu 10.000.000,00 Euro; im Fall eines Unternehmens von bis zu 2 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs, vor.

Für das Unternehmen hatte bei der Festlegung des eher noch geringen Bußgeldes die sehr gute Kooperation mit dem Landesbeauftragten, die Transparenz des Unternehmens und die Bereitschaft, die Vorgaben und Empfehlungen des Landesbeauftragten umzusetzen, gesprochen. Es konnte daher sehr schnell die Sicherheit bzgl. der Nutzerdaten verbessert werden.

Nach einer Pressemitteilung des Landesbeauftragten hat das Unternehmen infolge des Verstoßes wohl einen Gesamtbetrag im sechsstelligen Euro-Bereich zu tragen.

Fazit und Empfehlungen:

Wie zu erwarten, lassen es damit die Datenschutzbehörden nun nicht mehr bei Verwarnungen bewenden. Der Fall zeigt, dass künftig auch mit empfindlichen Bußgeldern zu rechnen ist.

Die Vorgaben der Datenschutz-Grundverordnung müssen zum 25.05.2018 erfüllt sein. Jedes Unternehmen, das mit personenbezogenen Daten von Kunden, Geschäftspartnern und Mitarbeitern arbeitet, sollte daher dringend entsprechend handeln und die weitreichenden Regelungen zur Datenschutz-Grundverordnung und dem neuen Bundesdatenschutzgesetz implementieren.

Rechtssichere Beratung und Informationen für Vermieter, Verwalter, Eigentümer und Makler

Sie benötigen eine individuelle Beratung? Stellen Sie hier Ihre Anfrage – wir nehmen mit Ihnen Kontakt auf.

Wir führen für Sie als Vermieter und Hausverwalter eine Ist-Analyse und Soll-Beschreibung Ihrer Datenschutzsituation durch, erstellen die erforderlichen Verfahrensverzeichnisse und unterstützen Sie als Datenschutzbeauftragter.

Eine Auswahl an Verfahrensverzeichnissen und Mustervorlagen zum Datenschutz finden Sie hier. Auf der LEWENTO Akademie finden Sie hierzu praxisrelevante und verständliche Webinare. Durch GROSS Rechtsanwaltsgesellschaft mbH kompakt und klar vermittelt.

Autor: GROSS Rechtsanwaltsgesellschaft mbH

Bildnachweis: Pixabay