Die fünf höchsten DSGVO-Bußgelder im Oktober 2024
Die Datenschutzbehörden in der EU verhängen regelmäßig Bußgelder für Verstöße gegen die DSGVO. Diese Strafen bieten Unternehmen wertvolle Hinweise auf die aktuellen Schwerpunkte der behördlichen Prüfungen sowie auf die Vorgehensweisen der Aufsichtsbehörden. Nachfolgend sind die fünf größten Bußgelder im Oktober 2024 zusammengefasst.
1. Unzulässige Datenverarbeitung für Werbezwecke
Im Oktober wurde LinkedIn, das bekannte berufliche Netzwerk, von der irischen Datenschutzbehörde DPC zu einem Bußgeld von 310 Millionen Euro verurteilt. Auslöser war eine Beschwerde der französischen Bürgerrechtsorganisation La Quadrature du Net, die bereits 2018 eingereicht wurde. LinkedIn hatte Nutzerdaten in großem Umfang ausgewertet, um gezielte Werbung auszuspielen, ohne eine Zustimmung der betroffenen Nutzer einzuholen oder auf eine andere rechtliche Grundlage zurückzugreifen. Auch informierte das Unternehmen die Nutzer nicht über diese Verarbeitung und zog teilweise Daten von Drittanbietern heran. Die DPC kündigte an, die vollständige Entscheidung und weitere Informationen zu gegebener Zeit zu veröffentlichen.
- Behörde: Data Protection Commission (DPC)
- Branche: Soziales Netzwerk/Dienstleistungen
- Verstoß: Art. 5 Abs. 1 lit. a, Art. 6, Art. 13 Abs. 1 lit. c, Art. 14 Abs. 1 lit. c DSGVO
- Bußgeld: 310 Mio. Euro
Diese Strafe verdeutlicht die Risiken bei der Nutzung personenbezogener Daten für Werbezwecke, insbesondere wenn Nutzer nicht informiert und keine Einwilligungen eingeholt werden. Die DPC sendet damit ein klares Signal an die Branche, insbesondere an große Plattformbetreiber.
2. Unbefugter Datenzugriff bei einer spanischen Bank
Die spanische Datenschutzbehörde AEPD verhängte eine Geldstrafe von 180.000 Euro gegen die IBERCAJA BANCO, nachdem festgestellt wurde, dass Mitarbeiter ohne Berechtigung auf Daten eines Hypothekenkunden zugegriffen hatten. Insgesamt konnten 47 unberechtigte Zugriffe nachgewiesen werden, die nicht durch eine rechtliche Grundlage gedeckt waren. Ursprünglich war ein Bußgeld von 300.000 Euro vorgesehen, doch die Behörde reduzierte es auf Grund der kooperativen Haltung der Bank.
- Behörde: Agencia Española Protección de Datos (AEPD)
- Branche: Bankwesen
- Verstoß: Art. 6 Abs. 1 DSGVO
- Bußgeld: 180.000 Euro
Dieses Urteil verdeutlicht, wie wichtig es ist, die Zugriffsmöglichkeiten von Mitarbeitenden streng zu kontrollieren und klare Berechtigungskonzepte zu implementieren.
3. Unrechtmäßige Speicherung und Verarbeitung sensibler Daten durch Hellseher-Dienste
Die französische Datenschutzbehörde CNIL belegte zwei Anbieter im Bereich der esoterischen Dienstleistungen mit Bußgeldern von insgesamt 400.000 Euro (250.000 Euro und 150.000 Euro). Die Anbieter hatten im Rahmen von Telefonaten Gesundheitsdaten, Informationen zu Weltanschauungen und persönliche Details der Kunden verarbeitet und über einen Zeitraum von sechs Jahren gespeichert. Zusätzlich tauschten sie diese Daten unberechtigterweise untereinander aus und nutzten sie für Werbemaßnahmen.
- Behörde: Commission Nationale de l’Informatique et des Libertés (CNIL)
- Branche: Dienstleistungen
- Verstoß: Art. 5 Abs. 1 lit. c, Art. 5 Abs. 1 lit. e, Art. 9 DSGVO
- Bußgeld: 400.000 Euro (250.000 Euro und 150.000 Euro)
Dieser Fall zeigt erneut, wie streng die Verarbeitung sensibler Daten überwacht wird und wie essenziell die Einhaltung der datenschutzrechtlichen Grundsätze ist.
4. Datenpanne bei der Polizei Nordirlands
Die Polizei Nordirlands geriet ins Visier der britischen Datenschutzbehörde ICO, nachdem eine Datenpanne die Informationen von rund 10.000 Beamten und Mitarbeitenden offengelegt hatte. Ein Fehler bei der Beantwortung einer Anfrage in einem öffentlichen Portal führte dazu, dass eine Excel-Datei veröffentlicht wurde, die sensible Informationen wie Name, Dienstgrad und Dienststelle der Polizeikräfte enthielt. Die ICO verhängte dafür ein Bußgeld von umgerechnet 890.123 Euro (750.000 GBP) und stellte fest, dass die Polizeibehörde keine ausreichenden technischen und organisatorischen Schutzmaßnahmen implementiert hatte.
- Behörde: Information Commissioner’s Office (ICO)
- Branche: Polizei
- Verstoß: Art. 5 Abs. 1 lit. f, Art. 32 Abs. 1, Art. 32 Abs. 2 UK GDPR
- Bußgeld: 890.123 Euro (750.000 GBP)
Dieser Fall verdeutlicht, dass technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten unverzichtbar sind, gerade in sensiblen Bereichen wie der Polizei.
5. Unzulässige Videoüberwachung durch Privatperson in Spanien
Die spanische Datenschutzbehörde musste sich erneut mit einer Beschwerde gegen eine Privatperson auseinandersetzen, die unzulässige Videoüberwachung betrieb. Eine Kamera auf einem Vereinsgelände überwachte nicht nur das Gelände und den Parkplatz, sondern auch eine Damentoilette – ohne Einwilligung der betroffenen Personen. Die AEPD verhängte eine Strafe von 2.000 Euro, da auch Aufnahmen von minderjährigen Personen angefertigt worden waren.
- Behörde: Agencia Española Protección de Datos
- Branche: Privatperson
- Verstoß: Art. 6 Abs. 1 DSGVO
- Bußgeld: 2.000 Euro
Diese Entscheidung unterstreicht, dass auch Privatpersonen die Regelungen zur Videoüberwachung und den Schutz der Privatsphäre ernst nehmen müssen.
Bildrechte: kostenloses Bild von Pixabay: Euro Scheine Geld - Kostenloses Foto auf Pixabay
Inhaltslizenz: Zusammenfassung der Inhaltslizenz