Löschpflicht nicht beachtet: 900.000,- EUR Bußgeld

Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) hat gegen ein Hamburger Unternehmen aus der Forderungsmanagement-Branche ein Bußgeld von 900.000 Euro verhängt. Das Unternehmen hatte personenbezogene Daten trotz abgelaufener Löschfristen bis zu fünf Jahre lang ohne Rechtsgrundlage gespeichert und damit gegen die Datenschutz-Grundverordnung (DSGVO) verstoßen. Der Bußgeldbescheid ist rechtskräftig, und das Unternehmen hat den Verstoß eingeräumt sowie das Bußgeld akzeptiert.

Hintergrund der Entscheidung

Im Rahmen einer Schwerpunktprüfung untersuchte der HmbBfDI marktführende Unternehmen des Forderungsmanagements. Dabei wurde der Umgang mit sensiblen Schuldnerdaten analysiert, die regelmäßig an Stellen wie Auskunfteien und Adressermittlungsdienste weitergegeben werden. Die Prüfung erfolgte über Fragebögen, die Einsicht in die Datenverarbeitung gaben, sowie durch Vor-Ort-Kontrollen. Die betroffenen Unternehmen mussten zudem Dokumentationen wie Verzeichnisse der Verarbeitungstätigkeiten und Sicherheitsmaßnahmen vorlegen.

Festgestellte Verstöße

• Ein Unternehmen speicherte trotz abgelaufener gesetzlicher Löschfristen eine sechsstellige Anzahl von Datensätzen mit personenbezogenen Informationen.
• Die betroffenen Datensätze wurden bis zu fünf Jahre nach Ablauf der zulässigen Aufbewahrungsdauer nicht gelöscht, was einen Verstoß gegen Art. 5 Abs. 1 lit. a und Art. 6 Abs. 1 DS-GVO darstellt.
• Obwohl die Daten in diesem Zeitraum nicht an Dritte weitergegeben wurden, war die unrechtmäßige Speicherung ein schwerwiegender Eingriff in die Datenschutzrechte.

Bußgeldbemessung und Konsequenzen

Das Bußgeld berücksichtigt die Zusammenarbeit des Unternehmens mit der Datenschutzbehörde und dessen professionelle Aufarbeitung der Verstöße. Trotz dieser Kooperation wurde die hohe Summe verhängt, um die Bedeutung des Datenschutzes und die Pflicht zur Einhaltung der Löschfristen zu unterstreichen.

Stellungnahme der Behörde

Thomas Fuchs, vom HmbBfDI, betonte die Wichtigkeit von Löschkonzepten:

„Wenn die Kundenbeziehung endet, sind die erhobenen Daten sofort beziehungsweise nach festgelegten Fristen zu löschen. Unternehmen müssen schon vor der Datenerhebung klare Regeln für die Speicherung und Löschung festlegen.“

Weitere Verfahren

Neben dem rechtskräftigen Bußgeldverfahren wird gegen ein weiteres Unternehmen ermittelt, bei dem ähnliche Verstöße festgestellt wurden.

Die Entscheidung verdeutlicht, dass Unternehmen in datengetriebenen Branchen ein strenges Löschkonzept umsetzen müssen, um die Rechte der Betroffenen zu wahren und hohe Bußgelder zu vermeiden.

(Foto: Bussarin – stock.adobe.com)