Bußgelder im ersten Jahr der DSGVO

Im ersten Jahr der DSGVO haben die deutschen Datenschutzbehörden rund 100 Bußgelder mit einer Gesamthöhe von unter 500.000 € verhängt. Die Obergrenzen von 20.000.000 € oder 4 % des globalen Jahresumsatzes sind also noch in sehr weiter Ferne.

Die höchste Strafe verhängte in Deutschland bisher der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg. Eine Strafe von 80.000 € musste ein Unternehmen dafür zahlen, dass Gesundheitsdaten versehentlich im Internet landeten. Nähere Informationen wurden hier nicht bekannt.

Über das zweithöchste Bußgeld mit 50.000 € ist etwas mehr bekannt. Verhängt wurde es vom Berliner Datenschutzbeauftragten gegen die Onlinebank N26. Diese soll eine „schwarze Liste“ geführt haben, auf der ehemalige Kundinnen und Kunden standen, denen man kein neues Konto zur Verfügung stellen wollte. Diese Liste diente eigentlich der Einhaltung von Geldwäschevorschriften. Damit stufte N26 alle ehemaligen Kunden als potenziell verdächtig ein.

Dieser Fall zeigt noch einmal, wie wichtig es ist, sich über die einzelnen Ermächtigungsgrundlagen zur Speicherung von Daten bewusst zu sein und mit einem Löschkonzept auch die tatsächliche Löschung sicherzustellen.

Vergleichbar könnte im Unternehmen etwa die Situation sein, dass Sie gewisse Daten nach steuerrechtlichen Vorschriften bis zu zehn Jahre aufbewahren dürfen. Dies bedeutet dann etwa, dass Sie die Rechnung, auf der sich auch der Name und die Anschrift des Kunden befinden, für zehn Jahre aufbewahren dürfen. Dies bedeutet aber nicht, dass Sie den Namen und die Adresse des Kunden auch für diese zehn Jahre zu Werbezwecken benutzen und in Ihrer Kundendatenbank speichern dürfen. Dafür benötigen Sie eine eigene Rechtsgrundlage und eine eigene Löschfrist.