Fünf aktuelle Bußgeldentscheidungen aus Norwegen, Spanien, Irland und Kroatien zeigen, wonach Aufsichtsbehörden derzeit gezielt suchen. Betroffen sind Unternehmen jeder Größe, vom Elektronikkonzern bis zur kleinen Immobilienagentur. Die Summen reichen von 100.000 Euro bis 1,8 Millionen Euro, und die Begründungen liefern eine klare Checkliste für die eigene Datenschutzorganisation.
Die fünf Fälle im Überblick
* Die zuständige Datenschutzaufsichtsbehörde in Norwegen verhängte 20 Millionen NOK, rund 1,8 Millionen Euro, gegen einen Elektronikhändler. Grund war eine gebündelte Einwilligung im Kundenclub, bei der Kunden nicht getrennt zustimmen oder widersprechen konnten. Betroffen waren über sechs Millionen Mitglieder.
* In Spanien entschied die Aufsichtsbehörde auf 1.050.000 Euro gegen ein Telekommunikationsunternehmen für drei Verstöße: zwei fehlende Rechtsgrundlagen nach Artikel 6 Absatz 1 DSGVO sowie unzureichende technische und organisatorische Sicherheitsmaßnahmen, etwa bei Verschlüsselung, Zugriffskontrolle und Risikobewertung (Artikel 32 DSGVO). Allein der Sicherheitsverstoß macht mit 750.000 Euro rund 71 Prozent des Bußgelds aus.
* Ebenfalls in Spanien musste ein Energieanbieter 220.000 Euro zahlen, weil ein beauftragter Dienstleister personenbezogene Daten ohne Rechtsgrundlage und ohne Transparenz für Vertriebszwecke nutzte.
* In Irland verhängte die Datenschutzbehörde 300.000 Euro gegen einen öffentlichen Gesundheitsdienstleister nach einem Ransomware-Angriff auf ein Krankenhaus-Laborsystem. Betroffen waren die Daten von rund 84.000 Patienten.
* In Kroatien wurde eine Immobilienagentur mit 100.000 Euro belegt, weil sie Kundendaten fast 12.000 Betroffener zu lange aufbewahrte und Kopien von Ausweisen sowie Bankkarten ohne Rechtsgrundlage speicherte. Der Geschäftsführer hatte die Existenz der Bankkartenkopien zunächst bestritten.
Was das für Ihr Unternehmen bedeutet
Drei Ursachen ziehen sich durch alle Fälle: fehlende oder fehlerhafte Rechtsgrundlagen für die Verarbeitung, unzureichende technische Sicherheitsmaßnahmen und fehlende Löschkonzepte beziehungsweise überschrittene Aufbewahrungsfristen. Das sind keine Ausnahmefälle, sondern typische Schwachstellen, die sich mit überschaubarem Aufwand beheben lassen.
Die Bußgeldhöhe hängt nicht allein von der Unternehmensgröße ab. Auch eine kleine Immobilienagentur zahlte 100.000 Euro, weil sie sensible Daten wie Ausweiskopien ohne Rechtsgrundlage speicherte. Besonders kritisch bewerten Aufsichtsbehörden es, wenn die Geschäftsführung Verstöße leugnet oder ignoriert, wie im kroatischen Fall.
Beispiel aus der Praxis: Ein Unternehmen speichert Kundendaten in einem System ohne Verschlüsselung und ohne abgestufte Zugriffsrechte. Kommt es zu einem unbefugten Zugriff, lässt sich nicht mehr nachweisen, dass angemessene Schutzmaßnahmen bestanden. Genau solche Lücken bei Verschlüsselung, Zugriffskontrolle und Risikobewertung machten im Fall des spanischen Telekommunikationsunternehmens den größten Teil des Bußgelds aus.
Unsere Empfehlung
1. Gestalten Sie Einwilligungen granular. Kunden müssen einzelnen Zwecken zustimmen oder widersprechen können, ein Alles oder Nichts reicht nicht aus.
2. Prüfen Sie bei jeder Verarbeitung, ob eine tragfähige Rechtsgrundlage vorliegt, insbesondere bei Vertriebs- und Marketingaktivitäten über Dienstleister.
3. Sichern Sie Ihre Systeme technisch ab: Verschlüsselung, Zugriffskontrollen, Risikobewertungen sowie getestete Backups und Wiederherstellungsprozesse gegen Ransomware.
4. Führen Sie ein Löschkonzept ein und halten Sie Ihr Verarbeitungsverzeichnis nach Artikel 30 DSGVO aktuell.
5. Binden Sie die Geschäftsführung aktiv ein. Systematische Verstöße beginnen häufig an der Spitze und werden dort am ehesten übersehen.
Fazit
Die aktuellen Bußgelder folgen einem erkennbaren Muster. Wer Einwilligungen und Rechtsgrundlagen sauber prüft, seine IT gegen Angriffe absichert und Daten fristgerecht löscht, senkt sein Risiko erheblich. Der Aufwand dafür ist überschaubar, verglichen mit den Bußgeldern und dem Reputationsschaden im Ernstfall.