DSGVO-Bußgeld in Höhe von über 200.000 Euro wegen 6 Millionen Datenschutzverstößen

Wirtschaftsauskunftein verdienen ihr Geld mit der Sammlung und Weitergabe wirtschaftsrelevanter Daten über Privatpersonen und Unternehmen. Diese Daten stammen nicht selten aus öffentlich zugänglichen Quellen und werden von den Auskunftein so aufbereitet, dass ihre Geschäftspartner etwas damit anfangen können.

In Polen ist die Bisnode AB laut der Seite Datenschutz Notizen nun ins Visier der Datenschutzbehörde geraten, und diese hat auch promt das erste DSGVO-Bußgeld in Polen verhängt.

Daten von 6 Millionen Betroffenen

Bei der Bisnode AB handelt es sich um eine Wirtschaftsauskunftei, die ihre Datensätze aus öffentlich zugänglichen Quellen bezieht. Laut der Datenschutzbehörde soll das Unternehmen seine Pflichten aus der Datenschutzgrundverordnung in Rund 6 Millionen Fällen verletzt haben. Konkret geht es dabei um 3,6 Millionen Datensätze geschäftstätiger natürlicher Personen, sowie 2,33 Millionen solcher, die ihre Wirtschaftstätigkeit aufgegeben haben.

Die Datenschutzbehörde UODO wirft dem Unternehmen nun die Verletzung von Informationspflichten vor: Laut Art. 14 DSGVO hätte das Unternehmen die betroffenen Personen über die Verwendung der Daten informieren müssen. Und zwar in allen 6 Millionen Fällen. Dieser Pflicht ist das Unternehmen in der Realität aber nur bei den Datensätzen nachgekommen, die auch eine E-Mail-Adresse des Betroffenen enthalten. Alle anderen hätte das Unternehmen laut Meinung der Datenschutzbehörde eben telefonisch oder postalisch informieren müssen.

Die Datenschutzbehörde fordert daher ein Bußgeld in Höhe von 219.500 Euro. Das entspricht fast einer Millionen Zloty. „Der Verantwortliche war sich seiner Informationspflicht bewusst. Daher die Entscheidung, gegen dieses Unternehmen eine Geldstrafe in dieser Höhe zu verhängen“, heißt es dazu von der Präsidentin der Datenschutzbehörde gegenüber Projekt 29.

Unverhältnismäßiger Aufwand

Wie aus der Seite Datenschutzbeauftrager-Info hervorgeht, beruft sich das Unternehmen auf eine Ausnahme von der Informationspflicht in der DSGVO. Nach der DSGVO gilt diese Pflicht nicht, wenn „die Erteilung dieser Informationen sich als unmöglich erweist oder einen unverhältnismäßigen Aufwand erfordern würde” (Art. 14 Abs. 5 b). In einer Stellungnahme des Unternehmens heißt es dazu:

„Wir stellen die Auslegung der DPA in Frage, was als verhältnismäßige Anstrengung angesehen wird. In den Fällen, in denen wir E-Mail-Adressen hatten (679 000 Adressen), haben wir dort Informationen nach Artikel 14 per E-Mail versandt, aber zusätzlich zu verlangen, dass 5,7 Millionen Datensätze von Einzelunternehmern und Mitgliedern von Gesellschaftsorganen von Unternehmen usw. per Post oder Telefon informiert werden, kann nicht als verhältnismäßiger Aufwand angesehen werden.“