Knuddels muss für Datenschutzverstoß zahlen

Der Chatanbieter Knuddels hatte ein großes Datenleck: Wie Golem berichtet, wurden die Zugangsdaten der Nutzer im Klartext, also unverschlüsselt gespeichert. Durch das Datenleck wurden die Accountdaten von fast 1,9 Millionen Nutzern veröffentlicht. Zu den gespeicherten Daten gehörten neben dem Chatnamen, der E-Mailadresse und dem Passwort teilweise auch die Klarnamen und Wohnorte, sofern diese von den Nutzern angegeben wurden. Das wurde bereits im September bekannt.

Dieses Datenleck stellt einen klaren Verstoß gegen die Datenschutzgrundverordnung dar. Zu den in der DSGVO genannten Grundsätzen der Datenverarbeitung gehört auch die sichere Speicherung: Personenbezogene Daten müssen so verarbeitet werden, dass der Schutz vor unbefugter oder unrechtmäßiger Verarbeitung gewährleistet ist.

Knuddels erhält erstes DSGVO-Bußgeld

Der baden-württembergische Datenschutzbeauftragte Stefan Brink gab am Donnerstag bekannt, dass die Datenschutzbehörde daher ein Bußgeld gegen Knuddels verhängt hat. Das Bußgeld beträgt 20.000 Euro, so Golem weiter. Das ist vergleichsweise wenig: Die DSGVO sieht bei Verstößen gegen die Grundsätze der Datenverarbeitung Bußgelder von bis zu zwanzig Millionen Euro oder bis zu vier Prozent des Jahresumsatzes vor. Zu Gute kam dem Unternehmen hier die Bereitschaft an der Mitwirkung: So trat es gegenüber Stefan Brink stets transparent auf und zeigte die Bereitschaft, Vorgaben und Empfehlungen umzusetzen. Da Knuddels bereitwillig seine IT-Sicherheit verbesserte, fiel das Bußgeld vergleichsweise gering aus, denn: Bußgelder müssen nicht nur abschreckend, sondern auch verhältnismäßig sein. Wirkt ein Unternehmen aktiv mit, um Datenschutzgefährdungen zu beseitigen, muss das bei der Ermittlung der Bußgeldhöhe berücksichtigt werden. „Wer aus Schaden lernt und transparent an der Verbesserung des Datenschutzes mitwirkt, kann auch als Unternehmen aus einem Hackerangriff gestärkt hervorgehen“, wird Brink von Golem zitiert. Außerdem ginge es auch nicht darum, möglichst hohe Bußgelder zu verhängen. Am Ende sei das höhere Ziel, den Datenschutz und die Datensicherheit für die betroffenen Nutzer zu verbessern, so Brink weiter.