DSB in Teilzeit konnte seine Aufgaben nicht erfüllen

Über 170.000 Euro Bußgeld wegen Beschwerde über Gebühr von 1,50 Euro

Ein beachtlich hohes Bußgeld verhängte die belgische Datenschutzbehörde, kurz APD, in einem zunächst eher unspektakulär scheinenden Fall. Ein Kunde kaufte bei dem beklagten Verantwortlichen ein, bekam die Rechnung und wunderte sich über eine Gebühr in Höhe von 1,50 Euro. Dieser Betrag wurde als Energiebeitrag deklariert. Der Kunde, also die betroffene Person, bat darum, diesen Betrag zurückzuerstatten. Zugleich verlangte die betroffene Person, dass ihre personenbezogenen Daten gelöscht werden. Die Erstattung des sogenannten Energiebeitrags wurde abgelehnt. Außerdem wurde mitgeteilt, dass der Antrag auf Löschung eingegangen sei und dass die Daten umgehend gelöscht würden.

Daten nicht gelöscht

Allerdings wurden die Daten nicht gelöscht. Zudem wurde weiter Werbung an den Betroffenen gesandt. Dieser bat die zuständige Datenschutzbehörde um Schlichtung. Nachdem der Verantwortliche auf das Anschreiben der Behörde nicht reagierte, legte der Betroffene Beschwerde ein.

Personeller Engpass

Der Verantwortliche begründete den Datenschutzverstoß damit, dass zum einen der ehemalige Datenschutzbeauftragte des Unternehmens Fehler gemacht hätte. Zum anderen hätte dieser Datenschutzbeauftragte auch versäumt, der Behörde im Rahmen des Schlichtungsverfahrens zu antworten. Außerdem seien weder der jetzige Datenschutzbeauftragte noch die Unternehmensleitung über die Problematik informiert worden. Der Verantwortliche erklärte jedoch, dass er Maßnahmen ergriffen hätte, um künftig adäquat reagieren zu können. Vor allem sei die personelle Ausstattung verbessert worden: Ein neuer Vollzeit-Datenschutzbeauftragter wurde eingestellt, dem zwei weitere Personen zuarbeiten.

Personenbezogene Daten nicht gelöscht

Die belgische Datenschutzbehörde verhängte ein Bußgeld von 172.431 Euro gegen das Unternehmen. Es hatte – neben anderem – personenbezogene Daten nicht gelöscht und diese weiter für Direktwerbung genutzt. Zudem beschäftigte das Unternehmen zwar einen Datenschutzbeauftragten – allerdings nur in Teilzeit. Diesem fehlte es an den nötigen Ressourcen, insbesondere an der notwendigen Zeit, sodass er aufgrund seiner Überlastung seine Aufgaben im Bereich Datenschutz nicht erfüllen konnte. Grundsätzlich müssen Verantwortliche adäquate organisatorische und technische Maßnahmen treffen, damit sie den Nachweis darüber erbringen können, dass die Verarbeitung personenbezogener Daten entsprechend den Vorgaben der Datenschutzgrundverordnung durchgeführt wird. In diesem besonderen Fall konnte der Verantwortliche nicht prüfen und nicht nachweisen, dass die Daten des Betroffenen wirklich gelöscht wurden. Das ließ das Gericht daran zweifeln, dass die ergriffenen organisatorischen und technischen Maßnahmen wirkungsvoll waren.

Datenschutzbeauftragter überlastet

Als weiterer Verstoß gegen die Datenschutzgrundverordnung wurde eingestuft, dass der lediglich in Teilzeit arbeitende Datenschutzbeauftragte aufgrund seiner Überlastung nicht in der Lage war, die eingehenden Anträge so zu bearbeiten, wie es die Datenschutzregeln vorgeben. Die belgische Datenschutzbehörde sah hierin eine Bestätigung des Versäumnisses des Verantwortlichen, Maßnahmen zu ergreifen, mit denen die Einhaltung der Datenschutzgrundverordnung sichergestellt werden konnte.

Pflichten des Verantwortlichen in Bezug auf den Datenschutzbeauftragten

Außerdem unterstrich die Datenschutzbehörde die in Art. 38 Abs. 2 der Datenschutzgrundverordnung definierten Anforderungen in Bezug auf den Aufgabenbereich von internen Datenschutzbeauftragten. Hier ist insbesondere auch der Verantwortliche gefordert, die Mittel bereitzustellen, die der Datenschutzbeauftragte für die Bearbeitung seiner Aufgaben benötigt, wobei der Verantwortliche einige Faktoren zu berücksichtigen hat. So muss der Datenschutzbeauftragte in alle Angelegenheiten involviert werden, die den Datenschutz betreffen. Selbstverständlich muss der Datenschützer genug Zeit haben, um seinen Aufgaben gerecht werden zu können. Dafür hat der Verantwortliche zu sorgen. Zudem hat er alle Mitarbeitenden über die Bestellung des Datenschutzbeauftragten zu informieren. Das ist wichtig, damit die Rolle des Datenschutzbeauftragten allen bekannt. Auch für die stete Schulung des Datenschutzbeauftragten muss der Verantwortliche Sorge tragen.

Sie möchten Ihren Datenschutzbeauftragten optimal unterstützen?

Zu diesem Thema beraten wir Sie gern umfassend. Rufen Sie uns gern unter Telefon 09122 6937302 an. Oder senden Sie uns Ihre Nachricht. Wir melden uns so schnell wie möglich bei Ihnen, um gemeinsam mit Ihnen optimale Arbeitsbedingungen für Ihren internen oder auch externen Datenschützer zu schaffen.

Ihr Team von Datenschutz Prinz

Quelle: noyb


KI-Verordnung und Herausforderungen: Ein Überblick
EU-Japan-Abkommen zum Datenverkehr: Ein Meilenstei...

Um hier diese Inhalte zu sehen, stimmen Sie bitte zu, dass diese in die Webseite von https://www.datenschutz-prinz.de/ geladen werden.