4,3 Millionen EURO Bußgeld: Überschießende Datenübermittlung an externen Auditor
Bei Prüfungen durch externe Auditoren müssen Unternehmen häufig große Mengen interner Daten, einschließlich personenbezogener Daten von Beschäftigten oder Kunden, weitergeben. In einem Fall in Niedersachsen hatte ein Unternehmen zwar datenschutzrechtliche Maßnahmen umgesetzt, dennoch stellte die niedersächsische Datenschutzaufsicht einige Mängel fest und verhängte ein Bußgeld sowie Verwarnungen (vgl. Tätigkeitsbericht 2023, Abschnitt G.3.5).
Das Unternehmen hatte gegen bestimmte gesetzliche Bestimmungen verstoßen und im Rahmen gerichtlicher Verfahren zugestimmt, seine Compliance-Strukturen von unabhängigen externen Stellen überprüfen zu lassen. Für diese „Compliance-Audits“ mussten umfangreiche Unternehmensinformationen offengelegt werden, die auch personenbezogene Daten enthielten. Vor der Offenlegung implementierte das Unternehmen einen Prozess zur datenschutzrechtlichen Prüfung, Freigabe und Schwärzung nicht erforderlicher personenbezogener Daten. Die Weitergabe der Daten wurde auf berechtigte Interessen, Rechtsverteidigung sowie Zwecke des Beschäftigungsverhältnisses gestützt.
Der LfD Niedersachsen sah die Offenlegung personenbezogener Daten als Zweckänderung gemäß DS-GVO an, über die das Unternehmen seine Mitarbeitenden detailliert hätte informieren müssen. Die allgemeine Information im Intranet wurde als unzureichend bewertet, da sie keine individualisierte Mitteilung an die betroffenen Beschäftigten darstellte. Auch stellte die Aufsicht fest, dass weitergehende personenbezogene Daten offengelegt wurden als zuvor kommuniziert.
Das Unternehmen wurde aufgrund unzureichender Informationserteilung zu einer Geldbuße von 4,3 Millionen Euro verurteilt, gegen die es Einspruch eingelegt hat. Zudem wurden mehrere Verwarnungen ausgesprochen: wegen unzureichender Unterrichtung der Beschäftigten, Offenlegung bestimmter personenbezogener Daten ohne ausreichende Rechtsgrundlage, unzureichender Ende-zu-Ende-Verschlüsselung bei der Datenübermittlung und fehlendem Verarbeitungsverzeichnis.
Gegen diese Abhilfemaßnahmen hat das Unternehmen Klage beim Verwaltungsgericht erhoben, die noch nicht entschieden ist.
Die bemängelten Aspekte des LfD Niedersachsen in der Zusammenfassung:
- Mangelnde Transparenz / keine Unterrichtung der Beschäftigten über die zweckändernde Nutzung der Beschäftigtendaten im Rahmen eines Audits / Intranet-Info nicht ausreichend.
- Überschießende Übermittlung von Beschäftigtendaten gemessen an der erfolgten Unterrichtung der Beschäftigten.
- Verwarnung wegen der Offenlegung bestimmter personenbezogener Beschäftigtendaten an einen der Auditoren aus, bei denen das Unternehmen aus Sicht des LfD Niedersachsen keine überwiegenden berechtigten Interessen des Unternehmens als Rechtsgrundlage nach DS-GVO nachweisen konnte.
- Verwarnung wegen eines Verstoßes gegen Artikel 32 DS-GVO , weil in einem separaten Teilprozess personenbezogene Beschäftigtendaten ab Schutzstufe D im Sinne des LfD-Schutzstufenkonzepts per E-Mail ohne eine aus Sicht des LfD erforderliche hinreichende Ende-zu-Ende-Verschlüsselung an den außerhalb des Europäischen Wirtschaftsraums befindlichen Auditor übermittelt wurden.
- Die vom Unternehmen eingesetzte Pseudonymisierung und Transportverschlüsselung erachtete der LfD insoweit nicht als ausreichenden Schutz der personenbezogenen Daten.
- Verwarnung, weil das Unternehmen bezüglich eines der Audits zunächst kein gesondertes Verarbeitungsverzeichnis errichtet hatte.
(Foto: STOATPHOTO – stock.adobe.com)
Das könnte Sie auch interessieren
-
Umgang mit E-Mail-Postfächern bei Abwesenheit und Ausscheiden von Beschäftigten
Der Umgang mit personalisierten E-Mail-Konten ausgeschiedener oder länger abwesender Mitarbeitender zählt zu den häufig nachgefragten Beratungsthemen im Beschäftigtendatenschutz. Im Zentrum steht die Frage, ob und unter welchen Voraussetzungen Arbeitgeber:innen auf betroffene Postfächer zugreifen dürfen. Prävention durch klare Prozesse Verantwortliche sollten datenschutzrechtlichen Konflikten bereits durch organisatorische Weichenstellungen vorbeugen. Zu prüfen ist zunächst, ob personalisierte Postfächer überhaupt
Mehr erfahren -
Auskunftsrecht nach Art. 15 DS-GVO gegenüber Rechtsanwält:innen
Beschwerden über unbeantwortete oder unvollständig beantwortete Auskunftsersuchen gegenüber Kanzleien und Einzelanwält:innen gehören zu den regelmäßig auftretenden Fallkonstellationen der Aufsichtspraxis. Im Fokus steht zumeist die Frage der Reichweite des Auskunftsrechts betroffener Personen gegenüber Berufsgeheimnisträger:innen. Grundsatz: DS-GVO gilt auch für Rechtsanwält:innen Rechtsanwält:innen unterliegen als Verantwortliche im Sinne der DS-GVO grundsätzlich uneingeschränkt deren Vorgaben und müssen geeignete Maßnahmen
Mehr erfahren -
Kein Auskunftsverweigerungsrecht juristischer Personen gegenüber Aufsichtsbehörden
Das VG Berlin (VG Berlin, Urteil vom 9. Oktober 2025, VG 1 K 607/22) hat in einem noch nicht rechtskräftigen Urteil die aufsichtsbehördlichen Auskunftsbefugnisse nach Art. 58 Abs. 1 lit. a DS-GVO bestätigt und konkretisiert. Ausgangsfall: Adressvermietung ohne Rechtsgrundlage Hintergrund war die Verwarnung eines Buchverlags, der Kundendaten ohne Einwilligung und ohne sonstige gesetzliche Grundlage zu
Mehr erfahren
