Schonfrist abgelaufen: Rekord-Bußgeld – DSGVO: 14,5 Mio. Euro trifft die Immobilienbranche

Es ist die mit Abstand höchste Strafe, die in Deutschland bislang wegen Datenschutzvergehen verhängt wurde, die befürchteten Millionenbußgelder sind nun auch in Deutschland angekommen. Die Berliner Beauftragte für Datenschutz und Informationsfreiheit verhängte am 30.10.2019 gegen die Deutsche Wohnen SE einen Bußgeldbescheid in Höhe von rund 14,5 Mio. Euro wegen Verstößen gegen die Datenschutz-Grundverordnung (DSGVO). Bei Vor-Ort-Prüfungen im Juni 2017 und im März 2019 habe die Aufsichtsbehörde festgestellt, dass das Unternehmen für die Speicherung personenbezogener Daten von Mieterinnen und Mietern ein Archivsystem verwendete. Dieses soll nach Meinung der Berliner Aufsichtsbehörde keine Möglichkeit vorgesehen haben, nicht mehr erforderliche Daten zu entfernen. 

Die Verhängung eines Bußgeldes erfolgte wegen eines Verstoßes gegen Art. 25 Abs. 1 DSGVO sowie gegen Art. 5 DSGVO. 

Im Kern geht es um den Konflikt zwischen Datenschutz und den gesetzlichen Aufbewahrungsfristen:

• Darf man Kunden-, Arbeitnehmerdaten etc. archivieren und in digitalen Akten jahrelang aufbewahren, um zum Beispiel steuerrechtliche Aufbewahrungspflichten zu erfüllen?
• Ist dies durch Art. 6 Abs. 1 Satz 1 lit. c DSGVO (Datenverarbeitung zur Erfüllung gesetzlicher Pflichten) gedeckt?

Die Behörde geht offensichtlich von einem Vorrang des Datenschutzes aus. Wenn die Entscheidung auch im Gerichtsverfahren bestätigt werden sollte, werden viele Unternehmen neue Softwarelösungen benötigen.

Neben der Sanktionierung dieses strukturellen Verstoßes verhängte die Berliner Datenschutzbeauftragte gegen das Unternehmen noch weitere Bußgelder zwischen 6.000 – 17.000 Euro wegen der unzulässigen Speicherung personenbezogener Daten von Mieterinnen und Mietern in 15 konkreten Einzelfällen.

Die Bußgeldentscheidung ist bisher nicht rechtskräftig. Die Deutsche Wohnen SE kann gegen den Bußgeldbescheid Einspruch einlegen und kündigte dies bereits an.

Hinweis: Auch Unternehmen im Gesundheitswesen sollten dieses Bußgeldverfahren zum Anlass nehmen, den eigenen Umgang mit Daten erneut zu überprüfen. Hierbei ist es nicht ausreichend, nur einen Prozess zu implementieren, der die Löschung von nicht mehr erforderlichen Daten vorsieht, sondern die Löschung muss auch tatsächlich durchgeführt werden. Es ist zu erwarten, dass weitere Bußgelder der Datenschutzaufsichtsbehörden der anderen Bundesländer in Kürze folgen werden. Die „Schonfrist“ der Behörden ist eindeutig abgelaufen.