Berlin verhängt höchstes deutsches DSGVO-Bußgeld

Baden-Württemberg ist nach Anzahl und Höhe der Bußgelder zwar auch weiterhin insgesamt „Spitze“, soweit der Landesdatenschutzbeauftragte mit seinen Maßnahmen der DSGVO zur Durchsetzung verhelfen will.

Rekordhalter in der Einzelwertung ist allerdings seit kurzem Berlin, dessen Datenschutzbeauftragte vor wenigen Wochen für die – unbeschadet entsprechender Beschwerden – verweigerte Löschung alter Kundenkonten und die Versendung von Werbung via E-Mail ein Bußgeld in Höhe von knapp 200.000,- EUR verhängt hat. Hinzu kam, dass fünf Personen keine Auskunft über die Verarbeitung bei den betreffenden Unternehmen gespeicherten Daten erteilt worden war.

Das Unternehmen hatte sich zunächst mit organisatorischen Fehlern beim Einwilligungs- und Widerspruchsmanagement verteidigt. Da allerdings trotz vielfacher Hinweise über einen längeren Zeitraum keine Maßnahmen, die die Beanstandungen effizient ausgeräumt hätten, umgesetzt worden waren, sah die Datenschutzbehörde nur noch das Mittel des Bußgeldes, um die pflichtgemäße Erfüllung der Rechte der Betroffenen sicherzustellen.

Aus der Berlin-Entscheidung wird deutlich, dass – neben dem ohnehin zwingend gebotenen Datenschutz-/ Datensicherheitskonzept – zum Pflichtenkreis der inneren Organisations- und Meldestrukturen auch ein Datenmanagementsystem gehört, das insbesondere auch das Einwilligungs-/ Widerrufs- und das Auskunfts-/ Löschungsmanagement beinhaltet und das nicht zuletzt auch für das verantwortliche Unternehmen selbst von essentiellem Interesse ist, um einer – gegebenenfalls auch persönlichen (Management, CIO) – haftungsrechtlichen Inanspruchnahme zu entgehen.

Die Berliner Datenschutzbeauftragte äußerte sich hoffnungsvoll, dass durch derlei aufsichtsrechtliche Maßnahmen die Bereitschaft zur Aufarbeitung organisatorischer Mängel beim Datenschutzmanagement gesteigert werden könne. Jedes Unternehmen, das personenbezogene Daten verarbeitet, muss technisch und organisatorisch in der Lage sein, entsprechende Erklärungen und Ersuchen der Betroffenen unverzüglich zu bearbeiten und erforderlichenfalls eben auch in datenschutzkonformer Weise zu erfüllen.