Geldbuße sowohl gegen Verantwortlichen als auch Auftragsverarbeiter

CNIL Geldbuße

Die Comission Nationale de l’informatique et des libertés, die französische Datenschutzbehörde (‘CNIL’), hat Ende Januar 2021 wegen Verstößen gegen Art. 32 DS-GVO ein Bußgeld sowohl gegen den Verantwortlichen als auch den eingebundenen Auftragsverarbeiter verhängt.

Zwischen Juni 2018 und Januar 2020 erhielt die CNIL mehrere Dutzend Meldungen über Verstöße gegen personenbezogene Daten im Zusammenhang mit einer Website, auf der mehrere Millionen Kunden regelmäßig einkaufen. Die CNIL beschloss, den für die Datenverarbeitung Verantwortlichen und seinen Auftragsverarbeiter, der mit der Verwaltung dieser Website betraut war , zu überprüfen.

Im Zuge ihrer Untersuchungen stellte die CNIL fest, dass die betreffende Website zahlreichen Angriffswellen des Typs „Credential Stuffing“ ausgesetzt war. Bei dieser Art von Angriff verwenden Angreifer Listen mit „unverschlüsselten“ Kennungen und Passwörtern, die im Internet veröffentlicht wurden und damit ebenfalls in der Regel einer Datenverletzung entstammen. Unter der Annahme, dass Benutzer häufig dasselbe Kennwort und denselben Benutzernamen (die E-Mail-Adresse) für verschiedene Dienste verwenden, versucht der Angreifer mithilfe von „Bots“, sich bei einer großen Anzahl von Websites anzumelden. Wenn die Authentifizierung erfolgreich ist, ermöglicht dies dem Angreifer, die mit den betreffenden Konten verbundenen Informationen zu sehen.

Die CNIL hat festgestellt, dass die Angreifer auf diese Weise in der Lage waren, folgende Informationen auszulesen: Name, Vorname, E-Mail-Adresse und Geburtsdatum der Kunden, aber auch deren Kundenkartennummer und -guthaben sowie Informationen im Zusammenhang mit ihren Bestellungen. Damit verstießen die beiden Unternehmen nach Auffassung der Behörde gegen Pflicht zur Wahrung der Sicherheit der persönlichen Daten der Kunden gemäß Artikel 32 der DS-GVO. Der Vorwurf der CNIL betraf auch den Umstand, dass die Unternehmen nur langsam Maßnahmen ergriffen, um diese wiederholten Angriffe wirksam zu bekämpfen.

Infolge dieser mangelnden Sorgfalt wurden die Daten von ca. 40.000 Website-Kunden zwischen März 2018 und Februar 2019 unberechtigten Dritten zugänglich gemacht.

Infolgedessen verhängte die CNIL zwei getrennte Geldbußen – 150 000 EUR gegen den für die Verarbeitung Verantwortlichen und 75 000 EUR gegen den Auftragsverarbeiter. Dabei wurde laut CNIL berücksichtigt, dass der für die Verarbeitung Verantwortliche über die Durchführung von Maßnahmen entscheiden und seinem Auftragsverarbeiter dokumentierte Anweisungen erteilen muss. Der Auftragsverarbeiter muss jedoch auch nach den geeignetsten technischen und organisatorischen Lösungen suchen, um die Sicherheit der personenbezogenen Daten zu gewährleisten, und diese dem Verantwortlichen vorschlagen.

Die Comission Nationale de l’informatique et des libertés (‘CNIL’)

(Foto: David Hirjak – stock.adobe.com)


Letztes Update:31.01.21

  • Gemeinsame Verantwortlichkeit: Die neue Auftragsverarbeitung?

    Gemeinsame Verantwortlichkeit: Die neue Auftragsverarbeitung?

    Seminar

    794.60 € Mehr erfahren
  • Strategischer Umgang mit Bußgeldbescheiden und Verbandssanktionengesetz

    Strategischer Umgang mit Bußgeldbescheiden und Verbandssanktionengesetz

    Seminar

    2021-10-06, 08:00 | Stuttgart

    940.10 € Mehr erfahren
  • Datenschutzverletzungen richtig behandeln

    Datenschutzverletzungen richtig behandeln

    Seminar

    678.60 € Mehr erfahren
  • Datenschutz International – wirksame Umsetzung bei grenzüberschreitenden Datentransfers

    Wirksamer Datenschutz muss auch den internationalen Datentransfer berücksichtigen. Deutsche Unternehmen sind häufig stark exportorientiert und global tätig. In der Konsequenz werden auch große Mengen an Daten ausgetauscht. Bei grenzüberschreitenden Datentransfers innerhalb und außerhalb des Unternehmens oder des Konzerns sind eine Vielzahl gesetzlicher Anforderungen zu erfüllen. Dies stellt für viele Unternehmen eine große Herausforderung dar. Die

    Mehr erfahren
  • GDD sammelt Datenpannen

    Der Europäische Datenschutzausschuss hat eine Konsultation zu Beispielsfällen einer Datenschutzverletzung initiiert (Guidelines 01/2021 on Examples regarding Data Breach Notification). Die GDD möchte durch eine Umfrage weitere Fallkonstellationen aus der Praxis sammeln und an den Europäischen Datenschutzausschuss über eine Stellungnahme von CEDPO zurückspielen. Immerhin besteht bei den datenverarbeitenden Stellen die große Herausforderung, eine Meldepflicht zu identifizieren. Dies zeigt

    Mehr erfahren
  • Korrekt Löschen nach DS-GVO

    Die Datenschutz-Grundverordnung (DS-GVO) als gesetzliche Regelung zur Verarbeitung personenbezogener Daten hat den Datenschutz nachhaltig verändert und geprägt. Sie verpflichtet jedes Unternehmen – unabhängig von seiner Größe – zur Implementierung eines Datenschutzmanagementsystems (DSMS). Jeder Verantwortliche hat deswegen eine Datenschutzorganisation vorzuweisen, die in der Lage ist, die Einhaltung datenschutzrechtlicher Pflichten zu gewährleisten. Eine der maßgeblichen Anforderungen ist

    Mehr erfahren