4,3 Millionen EURO Bußgeld: Überschießende Datenübermittlung an externen Auditor

Datenschutzkonformes Audit

Bei Prüfungen durch externe Auditoren müssen Unternehmen häufig große Mengen interner Daten, einschließlich personenbezogener Daten von Beschäftigten oder Kunden, weitergeben. In einem Fall in Niedersachsen hatte ein Unternehmen zwar datenschutzrechtliche Maßnahmen umgesetzt, dennoch stellte die niedersächsische Datenschutzaufsicht einige Mängel fest und verhängte ein Bußgeld sowie Verwarnungen (vgl. Tätigkeitsbericht 2023, Abschnitt G.3.5).

Das Unternehmen hatte gegen bestimmte gesetzliche Bestimmungen verstoßen und im Rahmen gerichtlicher Verfahren zugestimmt, seine Compliance-Strukturen von unabhängigen externen Stellen überprüfen zu lassen. Für diese „Compliance-Audits“ mussten umfangreiche Unternehmensinformationen offengelegt werden, die auch personenbezogene Daten enthielten. Vor der Offenlegung implementierte das Unternehmen einen Prozess zur datenschutzrechtlichen Prüfung, Freigabe und Schwärzung nicht erforderlicher personenbezogener Daten. Die Weitergabe der Daten wurde auf berechtigte Interessen, Rechtsverteidigung sowie Zwecke des Beschäftigungsverhältnisses gestützt.

Der LfD Niedersachsen sah die Offenlegung personenbezogener Daten als Zweckänderung gemäß DS-GVO an, über die das Unternehmen seine Mitarbeitenden detailliert hätte informieren müssen. Die allgemeine Information im Intranet wurde als unzureichend bewertet, da sie keine individualisierte Mitteilung an die betroffenen Beschäftigten darstellte. Auch stellte die Aufsicht fest, dass weitergehende personenbezogene Daten offengelegt wurden als zuvor kommuniziert.

Das Unternehmen wurde aufgrund unzureichender Informationserteilung zu einer Geldbuße von 4,3 Millionen Euro verurteilt, gegen die es Einspruch eingelegt hat. Zudem wurden mehrere Verwarnungen ausgesprochen: wegen unzureichender Unterrichtung der Beschäftigten, Offenlegung bestimmter personenbezogener Daten ohne ausreichende Rechtsgrundlage, unzureichender Ende-zu-Ende-Verschlüsselung bei der Datenübermittlung und fehlendem Verarbeitungsverzeichnis.
Gegen diese Abhilfemaßnahmen hat das Unternehmen Klage beim Verwaltungsgericht erhoben, die noch nicht entschieden ist.

Die bemängelten Aspekte des LfD Niedersachsen in der Zusammenfassung:

  1. Mangelnde Transparenz / keine Unterrichtung der Beschäftigten über die zweckändernde Nutzung der Beschäftigtendaten im Rahmen eines Audits / Intranet-Info nicht ausreichend.
  2. Überschießende Übermittlung von Beschäftigtendaten gemessen an der erfolgten Unterrichtung der Beschäftigten.
  3. Verwarnung wegen der Offenlegung bestimmter personenbezogener Beschäftigtendaten an einen der Auditoren aus, bei denen das Unternehmen aus Sicht des LfD Niedersachsen keine überwiegenden berechtigten Interessen des Unternehmens als Rechtsgrundlage nach DS-GVO nachweisen konnte.
  4. Verwarnung wegen eines Verstoßes gegen Artikel 32 DS-GVO , weil in einem separaten Teilprozess personenbezogene Beschäftigtendaten ab Schutzstufe D im Sinne des LfD-Schutzstufenkonzepts per E-Mail ohne eine aus Sicht des LfD erforderliche hinreichende Ende-zu-Ende-Verschlüsselung an den außerhalb des Europäischen Wirtschaftsraums befindlichen Auditor übermittelt wurden.
  5. Die vom Unternehmen eingesetzte Pseudonymisierung und Transportverschlüsselung erachtete der LfD insoweit nicht als ausreichenden Schutz der personenbezogenen Daten.
  6. Verwarnung, weil das Unternehmen bezüglich eines der Audits zunächst kein gesondertes Verarbeitungsverzeichnis errichtet hatte.

(Foto: STOATPHOTO – stock.adobe.com)

Letztes Update:07.07.24

  • EU Datenstrategie

    Der DSB im Dickicht der Europäischen Datenstrategie

    Die EU-Datenstrategie ist eine umfassende Initiative der Europäischen Union, die darauf abzielt, den digitalen Binnenmarkt zu stärken und Europa weltweit wettbewerbsfähiger zu machen, indem die Nutzung von Daten gefördert und reguliert wird. Diese Strategie ist ein zentraler Bestandteil der digitalen Transformation Europas und umfasst verschiedene Maßnahmen und Gesetzgebungen, die den rechtlichen Rahmen für den Umgang

    Mehr erfahren
  • Folge 57: KI-Kompetenz Pflichten und Chancen für Unternehmen

    Am 12. Juli 2024 wird die KI-Verordnung im Amtsblatt der EU veröffentlicht und tritt am 1. August 2024 in Kraft. Was ist ein KI-System und was bedeutet es, dass es autonom agiert? Warum kann KI nicht denken und trotzdem sinnvoll in menschlicher Sprache antworten und Fragen stellen? Welche Nutzung von KI-Systemen ist gefahrlos möglich? Wo

    Mehr erfahren
  • Audit Messenger

    Standardisierte Prüfung von Messengern

    Der Europäische Datenschutzausschus (EDSA) hatte bereits auf den Vorschlag des BfDI die Umsetzung des Auskunfsrechts durch die für die Verarbeitung Verantwortlichen gemäß Art. 15 DS-GVO als Thema für seine dritte koordinierte Durchsetzungsmaßnahme in 2024 beschlossen. Die koordinierten Maßnahmen erfolgen auf Basis des Beschlusses des EDSA aus Oktober 2020, einen koordinierten Durchsetzungsrahmen (Coordinated Enforcement Framework –

    Mehr erfahren