4,3 Millionen EURO Bußgeld: Überschießende Datenübermittlung an externen Auditor

Bei Prüfungen durch externe Auditoren müssen Unternehmen häufig große Mengen interner Daten, einschließlich personenbezogener Daten von Beschäftigten oder Kunden, weitergeben. In einem Fall in Niedersachsen hatte ein Unternehmen zwar datenschutzrechtliche Maßnahmen umgesetzt, dennoch stellte die niedersächsische Datenschutzaufsicht einige Mängel fest und verhängte ein Bußgeld sowie Verwarnungen (vgl. Tätigkeitsbericht 2023, Abschnitt G.3.5).

Das Unternehmen hatte gegen bestimmte gesetzliche Bestimmungen verstoßen und im Rahmen gerichtlicher Verfahren zugestimmt, seine Compliance-Strukturen von unabhängigen externen Stellen überprüfen zu lassen. Für diese „Compliance-Audits“ mussten umfangreiche Unternehmensinformationen offengelegt werden, die auch personenbezogene Daten enthielten. Vor der Offenlegung implementierte das Unternehmen einen Prozess zur datenschutzrechtlichen Prüfung, Freigabe und Schwärzung nicht erforderlicher personenbezogener Daten. Die Weitergabe der Daten wurde auf berechtigte Interessen, Rechtsverteidigung sowie Zwecke des Beschäftigungsverhältnisses gestützt.

Der LfD Niedersachsen sah die Offenlegung personenbezogener Daten als Zweckänderung gemäß DS-GVO an, über die das Unternehmen seine Mitarbeitenden detailliert hätte informieren müssen. Die allgemeine Information im Intranet wurde als unzureichend bewertet, da sie keine individualisierte Mitteilung an die betroffenen Beschäftigten darstellte. Auch stellte die Aufsicht fest, dass weitergehende personenbezogene Daten offengelegt wurden als zuvor kommuniziert.

Das Unternehmen wurde aufgrund unzureichender Informationserteilung zu einer Geldbuße von 4,3 Millionen Euro verurteilt, gegen die es Einspruch eingelegt hat. Zudem wurden mehrere Verwarnungen ausgesprochen: wegen unzureichender Unterrichtung der Beschäftigten, Offenlegung bestimmter personenbezogener Daten ohne ausreichende Rechtsgrundlage, unzureichender Ende-zu-Ende-Verschlüsselung bei der Datenübermittlung und fehlendem Verarbeitungsverzeichnis.
Gegen diese Abhilfemaßnahmen hat das Unternehmen Klage beim Verwaltungsgericht erhoben, die noch nicht entschieden ist.

Die bemängelten Aspekte des LfD Niedersachsen in der Zusammenfassung:

1. Mangelnde Transparenz / keine Unterrichtung der Beschäftigten über die zweckändernde Nutzung der Beschäftigtendaten im Rahmen eines Audits / Intranet-Info nicht ausreichend.
2. Überschießende Übermittlung von Beschäftigtendaten gemessen an der erfolgten Unterrichtung der Beschäftigten.
3. Verwarnung wegen der Offenlegung bestimmter personenbezogener Beschäftigtendaten an einen der Auditoren aus, bei denen das Unternehmen aus Sicht des LfD Niedersachsen keine überwiegenden berechtigten Interessen des Unternehmens als Rechtsgrundlage nach DS-GVO nachweisen konnte.
4. Verwarnung wegen eines Verstoßes gegen Artikel 32 DS-GVO , weil in einem separaten Teilprozess personenbezogene Beschäftigtendaten ab Schutzstufe D im Sinne des LfD-Schutzstufenkonzepts per E-Mail ohne eine aus Sicht des LfD erforderliche hinreichende Ende-zu-Ende-Verschlüsselung an den außerhalb des Europäischen Wirtschaftsraums befindlichen Auditor übermittelt wurden.
5. Die vom Unternehmen eingesetzte Pseudonymisierung und Transportverschlüsselung erachtete der LfD insoweit nicht als ausreichenden Schutz der personenbezogenen Daten.
6. Verwarnung, weil das Unternehmen bezüglich eines der Audits zunächst kein gesondertes Verarbeitungsverzeichnis errichtet hatte.
   

(Foto: STOATPHOTO – stock.adobe.com)