Schlagwort: Abmahnung

WARNUNG VOR FALSCHEN DSGVO-ABMAHNUNGEN

Von einigen Mandanten erhielt ich den Hinweis, dass aktuell angebliche Informations-pflichtverletzungen nach Artikel 13 DSGVO abgemahnt werden. Die Abmahnungen kommen von verschiedenen Kanzleien, u.a. von Schöneberg & Partner, Eckert & Kollegen oder der Kanzlei Strube. Die im Anhang der Abmahnung befindliche Zip-Datei enthält jedoch Schadsoftware. Ich empfehle daher grundsätzlich keine Dateianhänge von E-Mails zu öffnen, deren Absender Sie nicht kennen.
Weitergehende Informationen gibt es hier.

BEACHTLICHE ZAHLEN AN BESCHWERDEN ZU DATENSCHUTZVERSTÖßEN

Die ehemalige Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) hat im Rahmen eines öffentlichen Fachgesprächs Zahlen zu den in 2018 angefallenen Beschwerden genannt. Demnach gab es bundesweit allein im nicht-öffentlichen Bereich bis Anfang September 2018 insgesamt 11.000 Beschwerden, davon 6.100 Datenschutzverstöße.

Inzwischen wurde Ulrich Kelber, ein Informatiker, als neuer Bundesdatenschützer gewählt. Dieser warnte angesichts des Datenangriffes auf prominente Politiker vor dem Geschäftsmodell von Facebook und dem Umgang des Konzerns mit den Daten. Es würde eine unglaubliche Datenmenge produziert, die Rückschlüsse auf die Nutzer zulässt. Auch sei völlig unklar, wie mit diesen Informationen umgegangen werde.

AUFTRAGSVERARBEITUNGSVERTRAG FÜR STEUERBERATER

Die Aufsichtsbehörde in Baden-Württemberg vertritt nunmehr die Auffassung, dass die Übernahme der laufenden Lohnbuchhaltung durch einen Steuerberater nur im Wege der Auftragsverarbeitung gemäß Art. 28 DSGVO möglich sei. In diesen Fällen sei also zukünftig ein Auftragsverarbeitungsvertrag zu schließen.
Nach überwiegender Ansicht der übrigen Aufsichtsbehörden sind Steuerberater jedoch grundsätzlich nicht als Auftragsverarbeiter anzusehen. Für Betroffene in den anderen Bundesländern empfehle ich daher zunächst abzuwarten, ob sich weitere Aufsichtsbehörden dieser Auffassung anschließen.

NEUES BUßGELD AUS BADEN-WÜRTTEMBERG

Inzwischen wurde bekannt, dass es ein zweites Bußgeld aus Baden-Württemberg gegeben hat. Wegen der versehentlichen Veröffentlichung von Gesundheitsdaten wurden diesmal 80.000,00 Euro fällig. Weitere Informationen wurden dazu bisher nicht veröffentlicht.

AUFSICHTSBEHÖRDE VERHÄNGT BUßGELD

Nach Meldung einer Datenpanne wurde nun heute das erste Bußgeld in Höhe von 20.000,00 € gegen einen baden-württembergischen Social-Media-Anbieter verhängt. Das Unternehmen hatte die Passwörter ihrer Nutzer im Klartext, mithin unverschlüsselt und unverfremdet (ungehasht), gespeichert, was erst nach einem Hackerangriff im Juli 2018 herauskam. Die Behörde sah hierin einen wissentlichen Verstoß gegen die Pflicht zur Gewährleistung der Datensicherheit bei der Verarbeitung personenbezogener Daten gemäß Art. 32 Abs. 1 lit a DS-GVO. Aufgrund der wohl guten Zusammenarbeit des Unternehmens mit der Behörde fällt die Höhe des Bußgeldes glimpflich aus, wenn man bedenkt, dass es immerhin um Daten von ca. 330.000 Nutzern ging.

Die vollständige Presseerklärung des LfDI Baden-Württemberg gibt es hier. Interessant finde ich besonders den Schlusssatz: „Als Bußgeldbehörde kommt es dem LfDI nicht darauf an, in einen Wettbewerb um möglichst hohe Bußgelder einzutreten. Am Ende zählt die Verbesserung von Datenschutz und Datensicherheit für die betroffenen Nutzer.“

PRÜFUNGEN DURCH DAS BAYRISCHE LANDESAMT FÜR DATENSCHUTZAUFSICHT

Das BayLDA führt gerade auch anlasslose Datenschutzprüfungen durch. Diese erfolgen in der Regel als sogenannte fokussierte Prüfungen bei einzelnen Unternehmen vor Ort, als Prüfungen im Wege eines schriftlichen Verfahrens oder als Onlineprüfung automatisiert über das Internet. Eine Übersicht, welche Kontrollen gerade stattfinden und welche noch ausstehen, kann hier abgerufen werden.

Ich empfehle mal einen Blick in den Prüfkatalog Rechenschaftspflicht und in den Fragebogen zu Prüfung DS-GVO-Umsetzung bei kleinen und mittleren Unternehmen zu werfen und mit dem eigenen Stand der Umsetzung abzugleichen. Gefragt wird beispielsweise gezielt nach einem Löschkonzept (z.B. nach DIN 66398), nach einem IT-Sicherheitskonzept, nach der Verpflichtung auf Vertraulichkeit und Sensibilisierung der Beschäftigten und nach der Kopie von Schulungsunterlagen.

FEHLENDE DATENSCHUTZERKLÄRUNG NICHT ABMAHNBAR

Zuletzt möchte ich noch auf zwei Urteile zur Abmahnbarkeit von Datenschutzerklärungen auf Webseiten aufmerksam machen. Das Landgericht Bochum hat mit Urteil vom 7.8.2018 (Aktenzeichen: 12 O 85/18) entschieden, dass ein Verstoß gegen die DSGVO nicht zugleich eine Wettbewerbsverletzung nach § 3 a UWG darstellen muss. In einem anderen Fall hat das Landgericht Würzburg mit Beschluss vom 13.9.2018 (Aktenzeichen 11O1741/18) dagegen eine Wettbewerbsverletzung angenommen. Weiter Infos hierzu gibt es unter: http://rechtsanwalt-harzewski.de/fehlende-datenschutzerklaerung-nicht-abmahnbar/.