Zäsur
Nun ist es auch in Deuschland passiert: Die Berliner Beauftragte für Datenschutz hat als erste Aufsichtsbehörde ein Bußgeld in Millionenhöhe verhängt.
Die Strafe in Höhe von 14,5 Millionen Euro wurde gegen die Deutsche Wohnen SE verhängt, die in Berlin mehr als 100.000 Wohnungen besitzt und verwaltet.
Bei der Immobiliengesellschaft fallen branchentypisch allerhand Daten von Mieten an, darunter Gehaltsbescheinigungen, Selbstauskunftsformulare, Auszüge aus Arbeits- und Ausbildungsverträgen, Steuer-, Sozial- und Krankenversicherungsdaten sowie Kontoauszüge.
Software ohne Löschmöglichkeiten
Die Deutsche Wohnen verwendet dabei ein System, bei dem keine Möglichkeit zur Löschung von Daten vorgesehen ist.
Personenbezogene Daten von Mietern wurden zudem gespeichert, ohne auf Zulässigkeit oder Erforderlichkeit zu überprüfen. In begutachteten Einzelfällen konnten daher teilweise Jahre alte private Angaben Betroffener eingesehen werden, ohne dass diese noch dem Zweck ihrer ursprünglichen Erhebung dienten.
Vereinfacht gesagt: Das Bußgeld wurde verhängt, weil nicht gelöscht wurde - entgegen dem Grundsatz der Speicherbegrenzung (DSGVO Art. 5 Abs. 1 lit. e)!
Vorgeschichte
Dabei hatte die Behörde die Missstände schon bei einer ersten Vor-Ort-Kontrolle 2017 bemängelt und trotz dringender Empfehlung zur Abhilfe wurde das auch bis zu einer zweiten Kontrolle im März 2019 nicht behoben.
DIe Höhe des Bußgeldes wurde abgemildert, da das Unternehmen schon erste Maßnahmen zur Behebung des rechtswidrigen Zustandes ergriffen hatte, zudem mit der Behörde kooperierte und keine missbräuchlichen Zugriffe auf die presonenbezogenen Daten nachgewiesen werden konnte.
Maja Smoltczyk (Berliner Datenschutzbeauftragte) erklärte, "Datenfriedhöfe, wie wir sie bei der Deutsche Wohnen SE vorgefunden haben, begegnen uns in der Aufsichtspraxis leider häufig. Die Brisanz solcher Missstände wird uns leider immer erst dann deutlich vor Augen geführt, wenn es, etwa durch Cyberangriffe, zu missbräuchlichen Zugriffen auf die massenhaft gehorteten Daten gekommen ist. Aber auch ohne solch schwerwiegende Folgen haben wir es hierbei mit einem eklatanten Verstoß gegen die Grundsätze des Datenschutzes zu tun".
Alarmsignal
Auch wenn die Deutsche Wohnen Einspruch gegen das Bußgeld einlegt, dürfen die Umstände bei vielen Firmen die Arlamglocken läuten lassen. Denn, wie schon oben im Zitat angemerkt, fehlen häufig Konzepte, um Daten nach dem Wegfall des Zweckes aus den Systemen zu löschen.
Um hier Bußgeldern vorzubeugen, sollten Unternehmer ihre eingesetzte Software und Workflows überprüfen.