Löschpflicht nicht beachtet: 900.000,- EUR Bußgeld
Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) hat gegen ein Hamburger Unternehmen aus der Forderungsmanagement-Branche ein Bußgeld von 900.000 Euro verhängt. Das Unternehmen hatte personenbezogene Daten trotz abgelaufener Löschfristen bis zu fünf Jahre lang ohne Rechtsgrundlage gespeichert und damit gegen die Datenschutz-Grundverordnung (DSGVO) verstoßen. Der Bußgeldbescheid ist rechtskräftig, und das Unternehmen hat den Verstoß eingeräumt sowie das Bußgeld akzeptiert.
Hintergrund der Entscheidung
Im Rahmen einer Schwerpunktprüfung untersuchte der HmbBfDI marktführende Unternehmen des Forderungsmanagements. Dabei wurde der Umgang mit sensiblen Schuldnerdaten analysiert, die regelmäßig an Stellen wie Auskunfteien und Adressermittlungsdienste weitergegeben werden. Die Prüfung erfolgte über Fragebögen, die Einsicht in die Datenverarbeitung gaben, sowie durch Vor-Ort-Kontrollen. Die betroffenen Unternehmen mussten zudem Dokumentationen wie Verzeichnisse der Verarbeitungstätigkeiten und Sicherheitsmaßnahmen vorlegen.
Festgestellte Verstöße
- Ein Unternehmen speicherte trotz abgelaufener gesetzlicher Löschfristen eine sechsstellige Anzahl von Datensätzen mit personenbezogenen Informationen.
- Die betroffenen Datensätze wurden bis zu fünf Jahre nach Ablauf der zulässigen Aufbewahrungsdauer nicht gelöscht, was einen Verstoß gegen Art. 5 Abs. 1 lit. a und Art. 6 Abs. 1 DS-GVO darstellt.
- Obwohl die Daten in diesem Zeitraum nicht an Dritte weitergegeben wurden, war die unrechtmäßige Speicherung ein schwerwiegender Eingriff in die Datenschutzrechte.
Bußgeldbemessung und Konsequenzen
Das Bußgeld berücksichtigt die Zusammenarbeit des Unternehmens mit der Datenschutzbehörde und dessen professionelle Aufarbeitung der Verstöße. Trotz dieser Kooperation wurde die hohe Summe verhängt, um die Bedeutung des Datenschutzes und die Pflicht zur Einhaltung der Löschfristen zu unterstreichen.
Stellungnahme der Behörde
Thomas Fuchs, vom HmbBfDI, betonte die Wichtigkeit von Löschkonzepten:
„Wenn die Kundenbeziehung endet, sind die erhobenen Daten sofort beziehungsweise nach festgelegten Fristen zu löschen. Unternehmen müssen schon vor der Datenerhebung klare Regeln für die Speicherung und Löschung festlegen.“
Weitere Verfahren
Neben dem rechtskräftigen Bußgeldverfahren wird gegen ein weiteres Unternehmen ermittelt, bei dem ähnliche Verstöße festgestellt wurden.
Die Entscheidung verdeutlicht, dass Unternehmen in datengetriebenen Branchen ein strenges Löschkonzept umsetzen müssen, um die Rechte der Betroffenen zu wahren und hohe Bußgelder zu vermeiden.
(Foto: Bussarin – stock.adobe.com)
Das könnte Sie auch interessieren
-
Umgang mit E-Mail-Postfächern bei Abwesenheit und Ausscheiden von Beschäftigten
Der Umgang mit personalisierten E-Mail-Konten ausgeschiedener oder länger abwesender Mitarbeitender zählt zu den häufig nachgefragten Beratungsthemen im Beschäftigtendatenschutz. Im Zentrum steht die Frage, ob und unter welchen Voraussetzungen Arbeitgeber:innen auf betroffene Postfächer zugreifen dürfen. Prävention durch klare Prozesse Verantwortliche sollten datenschutzrechtlichen Konflikten bereits durch organisatorische Weichenstellungen vorbeugen. Zu prüfen ist zunächst, ob personalisierte Postfächer überhaupt
Mehr erfahren -
Auskunftsrecht nach Art. 15 DS-GVO gegenüber Rechtsanwält:innen
Beschwerden über unbeantwortete oder unvollständig beantwortete Auskunftsersuchen gegenüber Kanzleien und Einzelanwält:innen gehören zu den regelmäßig auftretenden Fallkonstellationen der Aufsichtspraxis. Im Fokus steht zumeist die Frage der Reichweite des Auskunftsrechts betroffener Personen gegenüber Berufsgeheimnisträger:innen. Grundsatz: DS-GVO gilt auch für Rechtsanwält:innen Rechtsanwält:innen unterliegen als Verantwortliche im Sinne der DS-GVO grundsätzlich uneingeschränkt deren Vorgaben und müssen geeignete Maßnahmen
Mehr erfahren -
Kein Auskunftsverweigerungsrecht juristischer Personen gegenüber Aufsichtsbehörden
Das VG Berlin (VG Berlin, Urteil vom 9. Oktober 2025, VG 1 K 607/22) hat in einem noch nicht rechtskräftigen Urteil die aufsichtsbehördlichen Auskunftsbefugnisse nach Art. 58 Abs. 1 lit. a DS-GVO bestätigt und konkretisiert. Ausgangsfall: Adressvermietung ohne Rechtsgrundlage Hintergrund war die Verwarnung eines Buchverlags, der Kundendaten ohne Einwilligung und ohne sonstige gesetzliche Grundlage zu
Mehr erfahren
