{"id":35086,"date":"2024-12-06T15:19:16","date_gmt":"2024-12-06T15:19:16","guid":{"rendered":"https:\/\/2b-advice.com\/?p=35086"},"modified":"2024-12-09T12:45:40","modified_gmt":"2024-12-09T12:45:40","slug":"das-sind-die-fuenf-hoechsten-dsgvo-bussgelder-im-november-2024","status":"publish","type":"post","link":"https:\/\/2b-advice.com\/de\/2024\/12\/06\/das-sind-die-fuenf-hoechsten-dsgvo-bussgelder-im-november-2024\/","title":{"rendered":"Das sind die f\u00fcnf h\u00f6chsten DSGVO-Bu\u00dfgelder im November 2024"},"content":{"rendered":"\t\t
\n\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Im November 2024 wurden drei Millionen-Bu\u00dfgelder gegen Unternehmen aus Spanien, Italien und Finnland verh\u00e4ngt. In gleich zwei F\u00e4llen bem\u00e4ngelten die Datenschutzbeh\u00f6rden, dass der Grundsatz \u201ePrivacy by Design\u201c in den Datenverarbeitungsprozessen nur sehr unzureichend umgesetzt wurde. Und wie so oft bieten die Bu\u00dfgeldbescheide interessante Erkenntnisse f\u00fcr Unternehmen.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

The Phone House Spain: 6,5 Millionen Euro (Spanien)<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Am 14. April 2021 meldete The Phone House Spain, S.L. (TPHS) der spanischen Datenschutzbeh\u00f6rde Agencia Espa\u00f1ola de Protecci\u00f3n de Datos (AEPD) eine schwere Datenschutzverletzung. Betroffen waren rund 13 Millionen Datens\u00e4tze. Der Angriff erfolgte \u00fcber eine Ransomware (Babuk Locker), die sensible personenbezogene Daten verschl\u00fcsselte. Anschlie\u00dfend wurden die Daten im Dark Web ver\u00f6ffentlicht.<\/p>

Die AEPD sah eine Verletzung von Art. 5 Abs. 1 lit. f DSGVO (Integrit\u00e4t und Vertraulichkeit) und Art. 32 DSGVO (technische und organisatorische Ma\u00dfnahmen). Konkret warf die AEPD dem Mobilfunkunternehmen mangelhafte Sicherheitsma\u00dfnahmen wie unzureichende Passwortregeln, schwache Netzwerksicherheitsma\u00dfnahmen und fehlende regelm\u00e4\u00dfige \u00dcberpr\u00fcfungen vor.<\/p>

The Phone House hingegen sah sich als Opfer eines ausgekl\u00fcgelten Cyber-Angriffs. Das Unternehmen erkl\u00e4rte, dass selbst die fortschrittlichsten Sicherheitsma\u00dfnahmen m\u00f6glicherweise keinen vollst\u00e4ndigen Schutz geboten h\u00e4tten. Zudem habe die anschlie\u00dfende Ver\u00f6ffentlichung der Daten im Dark Web au\u00dferhalb ihres Einflussbereichs gelegen.<\/p>

Dennoch verh\u00e4ngte die AEPD ein Bu\u00dfgeld in H\u00f6he von 6,5 Millionen Euro. Im Bu\u00dfgeldbescheid begr\u00fcndet sie dies mit der unzureichenden Umsetzung pr\u00e4ventiver Sicherheitsma\u00dfnahmen und der hohen Anzahl der betroffenen Personen. Die AEPD betont die Pflicht der Unternehmen, proaktiv geeignete Sicherheitsma\u00dfnahmen entsprechend den Risiken zu implementieren. Eine Berufung gegen das Urteil wurde von der AEPD abgelehnt.<\/p>

Quelle: Bu\u00dfgeldbescheid der Agencia Espa\u00f1ola de Protecci\u00f3n de Datos gegen The Phone House<\/a>

Quelle: Ablehnungsbescheid der Agencia Espa\u00f1ola de Protecci\u00f3n de Datos gegen den Einspruch von The Phone House<\/a><\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Foodinho: 5 Millionen Euro (Italien)<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Ausl\u00f6ser des Verfahrens war der tragische Unfall eines Fahrers, der bei einer Auslieferung f\u00fcr den Lieferdienst Foodinho ums Leben kam. Nach der Deaktivierung seines Kontos durch ein automatisiertes System der Plattform Glovo erhielt der Verstorbene eine unangemessene Nachricht, die ihn wegen angeblicher Vertragsverletzungen von der Plattform ausschloss. Die Nachricht erregte nicht nur \u00f6ffentliches Aufsehen, sondern f\u00fchrte auch zu umfangreichen datenschutzrechtlichen Untersuchungen.<\/p>

Die italienische Datenschutzbeh\u00f6rde Garante per la protezione dei dati personali (GPDP) stellte bei ihren Untersuchungen massive M\u00e4ngel bei der Datenverarbeitung fest, die nicht nur diesen Einzelfall, sondern die gesamte Datenverarbeitungsinfrastruktur von Foodinho betrafen. Besonderes Augenmerk wurde dabei auf die automatisierte Datenverarbeitung und die Transparenz der Nutzungsbedingungen gelegt. So wurden personenbezogene Daten von rund 35.000 registrierten Fahrern unrechtm\u00e4\u00dfig verarbeitet. Insbesondere setzte Foodinho biometrische Authentifizierungsmethoden ein, ohne deren Rechtsgrundlage ausreichend zu kl\u00e4ren und zu dokumentieren.<\/p>

Insbesondere setzte Foodinho biometrische Authentifizierungsmethoden ein, ohne deren Rechtsgrundlage ausreichend zu kl\u00e4ren und zu dokumentieren. Auch der \u201eExcellence Score\u201c, ein Bewertungssystem f\u00fcr Fahrer, basierte auf einer automatisierten Datenverarbeitung, die weder ausreichend dokumentiert noch den Nutzern verst\u00e4ndlich erkl\u00e4rt wurde.<\/p>

Die Datenschutzbeh\u00f6rde verh\u00e4ngte ein Bu\u00dfgeld in H\u00f6he von f\u00fcnf Millionen Euro und forderte weitere Korrekturma\u00dfnahmen. Sie betonte die Notwendigkeit, den Datenschutz<\/a> von Anfang an in die Prozesse zu integrieren (“Privacy by Design”).<\/p>

Quelle: Bu\u00dfgeldbescheid der Garante per la protezione dei dati personali gegen Foodinho<\/a><\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Posti Jakelu Oy: 2,4 Millionen Euro (Finnland)<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Die Untersuchung begann mit Beschwerden von Nutzern, dass pers\u00f6nliche Dokumente – einschlie\u00dflich Rechnungen und sensibler medizinischer Unterlagen – ohne ihre ausdr\u00fcckliche Zustimmung an den digitalen Briefkasten von OmaPosti weitergeleitet wurden. Einige Nutzer gaben an, den Dienst nicht aktiv zu nutzen oder die digitale Postkommunikation aus pers\u00f6nlichen Gr\u00fcnden abzulehnen. Die finnische Datenschutzbeh\u00f6rde Tietosuojavaltuutetun toimisto leitete daraufhin eine umfassende \u00dcberpr\u00fcfung der Datenverarbeitungspraktiken der Postplattform Posti Jakelu Oy ein.<\/p>

Die finnische Datenschutzbeh\u00f6rde stellte erhebliche M\u00e4ngel bei der Datenverarbeitung fest, die gegen mehrere Bestimmungen der Datenschutz-Grundverordnung versto\u00dfen:<\/p>

  1. Automatische Aktivierung von Postf\u00e4chern: Posti Jakelu Oy richtete digitale Postf\u00e4cher f\u00fcr Nutzer ein, ohne deren ausdr\u00fcckliche Einwilligung einzuholen. Dies verstie\u00df gegen Artikel 6 DSGVO, der eine klare Rechtsgrundlage f\u00fcr die Verarbeitung personenbezogener Daten vorschreibt.<\/li>
  2. Mangelnde Transparenz: Die Nutzer wurden nicht ausreichend dar\u00fcber informiert, dass ihre personenbezogenen Daten automatisch in das digitale Postfach \u00fcbertragen werden. Dies verstie\u00df gegen Art. 12 bis 14 DSGVO, die Transparenz und eine klare Information der Betroffenen fordern.<\/li>
  3. Fehlende Wahlm\u00f6glichkeit: Die Nutzerinnen und Nutzer hatten keine M\u00f6glichkeit, den Dienst abzulehnen oder die \u00dcbermittlung ihrer Daten zu verhindern. Dies stellt einen Versto\u00df gegen die Grundprinzipien der Datenverarbeitung nach Art. 5 DSGVO dar.

    <\/li><\/ol>

    Insbesondere die automatische Aktivierung der digitalen Postf\u00e4cher ohne aktive Zustimmung der Nutzer wurde als schwerwiegender Versto\u00df eingestuft. Die Beh\u00f6rde stellte klar, dass die Einrichtung eines digitalen Postfachs f\u00fcr die Erbringung anderer Dienste nicht zwingend erforderlich sei und daher keine g\u00fcltige Rechtsgrundlage gem\u00e4\u00df Artikel 6 DSGVO vorliege.<\/p>

    Neben der Verh\u00e4ngung einer Geldbu\u00dfe in H\u00f6he von 2,4 Millionen Euro wies die finnische Datenschutzbeh\u00f6rde Posti Jakelu Oy an, seine Datenverarbeitungspraktiken zu \u00fcberarbeiten, um die Einhaltung der Datenschutz-Grundverordnung sicherzustellen. Zu den wichtigsten Anforderungen geh\u00f6rten<\/p>