Aktuelles
35,3 Mio.-Bußgeld für Verstoß gegen Mitarbeiterdatenschutz
Erschienen am 2. Oktober 2020
Das bislang höchste Bußgeld für einen Datenschutz-Verstoß hat jetzt der Hamburgische Datenschutzbeauftragte Johannes Caspar gegen das börsennotierte, schwedische Textilhandelsunternehmen Hennes & Mauritz (179.000 Mitarbeiter, 22 Mrd. Euro Umsatz, 4.300 Geschäfte in 64 Ländern) verhängt: 35.258.707,95 Euro. Grund ist die langjährige Überwachung von Mitarbeitern des für Onlinebestellungen zuständigen H&M-Servicecenters in Nürnberg.
„Ohne vergleichbares Beispiel“
Caspar erklärte, man habe einen „derartig gravierenden“ Verstoß lange nicht mehr gesehen; der Umfang der Ausforschungen sei „in den letzten Jahren ohne vergleichbares Beispiel“. Mindestens seit 2014 seien die Beschäftigten in Nürnberg ausgefragt und ihre Angaben in Profilen gespeichert worden. Nach Abwesenheiten wegen Urlaub oder Krankheit seien die Angestellten nach konkreten Urlaubserlebnissen beziehungsweise Krankheitssymptomen und Diagnosen befragt worden.
„Zusätzlich eigneten sich einige Vorgesetzte über Einzel- und Flurgespräche ein breites Wissen über das Privatleben ihrer Mitarbeitenden an“, heißt es in der Pressemitteilung der Hamburgischen Datenschutzbehörde. Das Wissen reiche „von eher harmlosen Details bis zu familiären Problemen sowie religiösen Bekenntnissen“.
Umfangreiche Profile angelegt
Die Dateien seien „mitunter für bis zu 50 weitere Führungskräfte im ganzen Haus lesbar“ gewesen und genutzt worden, um Profile „für Maßnahmen und Entscheidungen im Arbeitsverhältnis zu erhalten.“ Bekannt wurde das, weil die Daten infolge eines Konfigurationsfehlers im Oktober 2019 für einige Stunden unternehmensweit zugänglich waren und jemand die Presse darüber informierte. H&M wurde bereits vom Verein Digitalcourage der Negativpreis „Big Brother Award“ verliehen.
Entschuldigung und Schadenersatz
Caspar berichtete, H&M habe mittlerweile ein „umfassendes Konzept vorgelegt, wie von nun am Standort Nürnberg Datenschutz umgesetzt werden soll“. Außerdem habe sich die Unternehmensleitung „ausdrücklich bei den Betroffenen entschuldigt“ und sich bereit erklärt, den „Beschäftigten einen unbürokratischen Schadensersatz in beachtlicher Höhe auszuzahlen“. Der ist in der Datenschutz-Grundverordnung (DSGVO) allerdings ohnehin vorgesehen. Caspar lobte „ein bislang beispielloses Bekenntnis zur Unternehmensverantwortung nach einem Datenschutzverstoß.“ H&M hat jetzt zwei Wochen Zeit, Einspruch gegen den Bußgeldbescheid einzulegen.
Imageschaden oft noch größer
Die bisher höchsten Bußgelder bei Verstößen gegen die DSGVO wurden in Höhe von 14,5 Mio. Euro gegen die Deutsche Wohnen SE und in Höhe von 9,5 Mio. Euro gegen 1&1 verhängt. Europaweit wurde gegen Google das höchste Bußgeld verhängt: 50 Mio. Euro. Die Höhe des Bußgelds ist aber nur eine Seite. Die entstehenden Imageschäden und deren Folgen wie bspw. der Vertrauensverlust und der sinkende Markenwert können sich noch höher addieren. Die Datenschutz-Compliance durch ein geprüftes leistungsfähiges Datenschutz-Managementsystem ist dagegen selbst für internationale Konzerne regelrecht günstig.
Update vom 16.10.2020: Der NDR berichtete, dass H&M keinen Einspruch gegen den Bußgeldbescheid eingelegt hat. Somit ist dieser nun rechtskräftig.
Wenn Sie mehr zu diesem Thema wissen wollen, wenden Sie sich bitte direkt an die Autorin oder den Autor. Wir freuen uns auf Ihren Anruf!
© 2020ff. by ds² Unternehmensberatung GmbH & Co. KG.
Aktuelles zu Datenschutz und Digitalisierung
„Corona-Daten spätestens jetzt löschen“ – Aufsichtsbehörde kündigt Kontrollen an
Die LfD Niedersachsen fordert in der Pressemeldung vom 19.04.2022 Unternehmen dazu auf zu prüfen, ob und welche personenbezogenen Daten sie im Zusammenhang mit Maßnahmen zur Pandemiebekämpfung erhoben und gespeichert haben. Wenn diese Maßnahmen und damit der Zweck der Datenverarbeitung aufgrund der Änderung des IfSG weggefallen seien, müssen die Daten dringend gelöscht werden. Sie kündigte zudem an: „Ich behalte mir vor, hierzu in diesem Jahr unangekündigte Kontrollen in Unternehmen und anderen Einrichtungen durchzuführen.“
DSK veröffentlicht Orientierungshilfe zur E-Mail-Verschlüsselung
Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (kurz: DSK) hat eine aktualisierte Orientierungshilfe zur E-Mail-Verschlüsselung veröffentlicht.
Update: Impfstatus – wer darf ihn erfragen?
Dieser Beitrag ist ein Update zu unserem Beitrag "Impfstatus - Wer darf ihn erfragen?". Diesbezüglich gibt es nun Änderungen im Infektionsschutzgesetz.
Aufsichtsbehörden äußern sich zur Nutzung von Faxgeräten
Die DSGVO setzt voraus, dass personenbezogene Daten mittels sicherer und damit geeigneter Verfahren, wie z.B. die Post oder Ende-zu-Ende verschlüsselter E-Mails, versandt werden. Aber wie sieht es mit der Sicherheit von Faxgeräten aus? Hessischer Beauftragte für Datenschutz und Informationsfreiheit sieht Faxversand als unsicheres Kommunikationsmittel
Großbritannien – Bald doch kein sicheres Drittland mehr?
Sollen personenbezogene Daten in Länder außerhalb der EU oder des EWR übermittelt werden (beispielsweise aufgrund des Einsatzes von Auftragsverarbeitern oder Unterauftragsverarbeitern), sind bekanntlich strengere Datenschutzregelungen zu beachten. Durch den Brexit galt Großbritannien kurzfristig als unsicheres Drittland. Im Juni 2021 wurde dann jedoch der Erlass des Angemessenheitsbeschlusses durch die Europäische Kommission für das Vereinigte Königreich verkündet.
2 Millionen Euro Bußgeld – unrechtmäßiges Einwilligungsverfahren
Anfang August 2021 wurde bekannt, dass die österreichische Aufsichtsbehörde ein Bußgeld in Höhe von 2 Millionen Euro gegen die jö Bonus Club GmbH erlassen hat. Bei der jö Bonus Club GmbH handelt es sich um ein österreichisches Kundenbindungsprogramm. Hier können sich Kunden registrieren und bei mitmachenden Märkten Prämien sammeln oder Aktionscoupons erstehen.
Cookie-Banner – immer wieder für eine „Aufregung“ gut
Auch wenn die Themenvielfalt im Datenschutz weitgefächert ist, stoßen wir immer wieder auf ein bestimmtes Thema: Cookie- bzw. Consent-Banner. Mit Hilfe eines Cookie-Banners soll die Einwilligung der Webseitenbesucher zur Nutzung unterschiedlicher Cookies, z.B. Tracking für Werbezwecke, eingeholt werden. Problematisch ist die rechtskonforme Gestaltung dieser Einwilligungen. Teilweise fehlen z.B. transparente Informationen zu den eingesetzten Cookies, teilweise besteht nur die Möglichkeit der Annahme durch klicken auf einen einzelnen „okay“ Button und teilweise wird der Nutzer durch bestimmte farbliche Gestaltungen genötigt in die Cookie Nutzung einzuwilligen.
Empfehlungen zu USB-Stick & Co aus der Feder der irischen Aufsichtsbehörde
Die Irische Aufsichtsbehörde (Data Protection Commission (DPC)) erinnert in einer Orientierungshilfe („General Portable Storage Device Recommendations“) daran, dass der Datenschutz bei portablen Speichermedien, wie z.B. USB-Stick, Laptop, Smartphone u.ä. nicht endet. Vielmehr müssen die Daten auf diesen Geräten sicher verwahrt und vor Missbrauch geschützt werden.
Impfstatus – wer darf ihn erfragen?
Das Thema „Impfen“ hat durch den Pandemieverlauf eine ganz neue Popularität und Stellenwert erlangt. In diesem Beitrag beantworten wir die Frage, ob der Arbeitgeber den Impfstatus seiner Mitarbeiter abfragen darf.
Datenschutzhinweise richtig erteilen
Entgegen dem Vorgehen vieler Unternehmen müssen die Datenschutzhinweise nicht aktiv bestätigt werden. Wir erläutern Ihnen in diesem Beitrag, wie Datenschutzhinweise richtig erteilt werden.
Angemessenheitsbeschluss Großbritannien
Seit dem 01.07.2021 besteht für Großbritannien ein anerkannter Angemessenheitsbeschluss. Dieser stellt eine geeignete Garantie gem. Art. 45 DSGVO dar und ermöglicht den sicheren Datentransfer in ein anderes Land außerhalb der EU/EWR.
Bußgeld wegen mangelhafter Einbindung des Datenschutzbeauftragten
Ein Unternehmen aus Luxemburg hat nun ein Bußgeld in Höhe von 15.000 € erhalten, weil der DSB nicht in alle Fragen des Schutzes personenbezogener Daten eingebunden wurde. In dem Beitrag erläutern wir die Hintergründe.