Berliner Datenschutzbeauftragte verhängt Rekordbußgeld aufgrund (datenschutzrechtlich) unzureichendem Archivsystem

veröffentlicht am 13. November 2019; Autoren: Gabor Hadnagy, Jürgen Schwestka

Quelle: Pressemitteilung, 05.11.2019

Das am 30. Oktober 2019 verhängte Bußgeld in Höhe von 14,5 Millionen Euro an die Deutsche Wohnen SE stellt bisher das höchste in Deutschland verhängte Bußgeld aufgrund von Datenschutzverstößen dar. 

Ausgesprochen wurde das Bußgeld weil das Archivsystem der Deutsche Wohnen SE  erhebliche Mängel aufwies. In Anlehnung an die Pressemitteilung der Berliner Beauftragten für Datenschutz und Informationsfreiheit, Maja Smoltczyk, heißt es: „Bei Vor-Ort-Prüfungen im Juni 2017 und im März 2019 hat die Aufsichtsbehörde festgestellt, dass das Unternehmen für die Speicherung personenbezogener Daten von Mieterinnen und Mietern ein Archivsystem verwendete, das keine Möglichkeit vorsah, nicht mehr erforderliche Daten zu entfernen.“ Darüber hinaus wurde bemängelt, dass eine Speicherung von personenbezogene Daten ohne Überprüfung der Zulässigkeit oder Erforderlichkeit stattfindet.

Rödl & Partner hat seit Einführung der DSGVO bereits eine Vielzahl von Audits rund um das Thema Datenschutz und IT-Sicherheit durchgeführt. Entsprechend den Prüfergebnissen mussten wir oftmals feststellen, dass Unternehmen zu einer sorglosen Datensammlung neigen und zudem kein Löschkonzept vorweisen können obgleich die hier geltenden datenschutzrechtlichen Anforderungen bereits vor Einführung der DSGVO galten.   

Dies ist natürlich auch im Bereich der elektronischen Archivierung ein wichtiges Thema.  Vor Einführung der DSGVO standen primär die handelsrechtlichen Anforderungen im Vordergrund und es ging vor allem darum, sicherzustellen, dass die Dokumente NICHT vor Ablauf der gesetzlichen Aufbewahrungsfrist gelöscht oder geändert werden können. Die Archivierungssysteme sahen daher oftmals gar keine Möglichkeit vor Belege löschen zu können. Unter Berücksichtigung datenschutzrechtlicher Anforderungen ist es wichtig bei der Einführung von elektronischen Archivierungsverfahren auch direkt ein Löschkonzept zu erstellen. Hierzu zählt zum Einen die Aufteilung von unterschiedlichen Belegarten (z.B. Rechnungen, Bewerbungsunterlagen) in unterschiedliche Speicherbereiche aufgrund unterschiedlicher Zugriffsrechte als Aufbewahrungsfristen. Es muss auch immer beurteilt werden, ob es für die Belegart eine gesetzliche Aufbewahrungsfrist gibt, die ggf. die persönlichen Löschwünsche eines Betroffenen überwiegen. Wir empfehlen bei der Begleitung von Einführungsprojekten daher immer eine genaue Definition der Belegarten mit darauf enthaltenen personenbezogenen Daten und Rücksprache mit den Datenschutz-Experten.

Dem Bußgeld unterliegt ein Berechnungsmodell, welches im Oktober veröffentlicht wurde und Sanktionen in Millionenhöhe wahrscheinlicher werden lässt (wir berichteten im Kompass Gesundheit und Soziales, Ausgabe 10/2019 - Datenschutzaufsichtsbehörden legen gemeinsames Konzept zur Bußgeldzumessung vor). Dieses Modell versteht sich als ein gestuftes Berechnungsverfahren, welches in den ersten Berechnungsschritten den Bußgeldrahmen auf Grundlage der wirtschaftlichen Finanzkraft des Unternehmens ermittelt. Der letzte Berechnungsschritt dient der Anpassung des Bußgeldrahmens und berücksichtigt verschiedene Umstände wie beispielsweise eine drohende Zahlungsunfähigkeit, Ausmaß des Schadens, Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes. Im Falle der Deutschen Wohnen wurde unter Berücksichtigung des letzten Berechnungsschrittes das Bußgeld von ursprünglich 28 Millionen Euro auf 14,5 Millionen Euro reduziert.

Die Deutsche Wohnen teilt die rechtliche Bewertung der Berliner Datenschutzbeauftragten nicht und hat angekündigt den Bußgeldbescheid gerichtlich überprüfen lassen.