Datenschutz-Mängel in Deutschland Die größten Datenpannen 2023

Anbieter zum Thema

Fsas Technologies GmbH

FAST LTA GmbH

FTAPI Software GmbH

Ein Blick auf die Datenschutz­verletzungen in 2023 zeigt in Deutschland noch deutlichen Handlungsbedarf, auch wenn Datenpannen in anderen EU-Ländern weitaus mehr Schlagzeilen machten. Wir geben einen Überblick über akute Datenschutz-Probleme, die deutsche Aufsichtsbehörden beanstandet haben. Die Höhe der Bußgelder ist dabei nur ein Indiz für die weiterhin bestehenden Herausforderungen im Datenschutz und bei der Umsetzung der DSGVO (Datenschutz-Grundverordnung).

Wenn man sich als Unternehmen Beispiele für Datenschutzverletzungen ansieht, kommen meist zuerst die Bußgelder und deren Höhe in den Blick. Das ist einerseits verständlich, denn die Bußgelder nach DSGVO können wirklich „schmerzhaft“ sein, und sie sollen es auch. Immerhin fordert die DSGVO, dass die Sanktionen wirksam, verhältnismäßig und abschreckend sein müssen.

Beispiele für hohe Bußgelder findet man in vielen EU-Ländern: Gegen Meta Platforms Ireland Limited (Meta IE) wurde eine Geldstrafe in Höhe von 1,2 Milliarden Euro verhängt. Die französische Aufsicht verhängte gegen CRITEO eine Geldstrafe von 40 Millionen Euro wegen unzulässiger personalisierter Werbung. Die portugiesische Aufsichtsbehörde verhängte gegen das portugiesische Statistikamt (INE) eine Geldstrafe von 4,3 Millionen Euro. Clubhouse wurde von der italienischen Aufsichtsbehörde mit einer Geldstrafe von zwei Millionen Euro belegt.

Doch die Aufsichtsbehörden für den Datenschutz haben nicht den Wunsch, möglichst oft zu Bußgeldern und anderen Sanktionsmöglichkeiten zu greifen. „Guter Datenschutz reagiert nicht in erster Linie mit harten Sanktionen auf spektakuläre Datenschutzverletzungen, sondern versucht, zu deren Vermeidung anzuleiten. Ein zentrales Instrument ist dabei die Vermittlung von Wissen“, erklärt der Bayerische Landesbeauftragte für den Datenschutz.

Die Aufsichtsbehörden wollen mit den Unternehmen kooperieren. „Wenn wir datenschutzrechtliche Herausforderungen gemeinsam in den Blick nehmen und Lösungen entwickeln, profitieren alle davon“, so der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz.

Wenn nun also Beispiele für Datenschutz-Mängel und Bußgelder in Deutschland betrachtet werden, sollte man als Unternehmen immer überlegen, ob dies im eigenen Betrieb hätte auch passieren können und dann, wie sich dies im Unternehmen vermeiden lässt.

Cyberattacken sind zentrale Datenschutz-Probleme, aber nicht die einzigen

Wie in den Jahren zuvor waren die häufigsten Datenpannen der Fehlversand und der Verlust von postalischen Unterlagen, der offene E-Mail-Verteiler, das Abhandenkommen von Datenträgern durch Einbruch oder Diebstahl und das Abgreifen personenbezogener Daten durch Cyberkriminalität, wie zum Beispiel die Datenschutzaufsicht in Sachsen darlegt.

Man muss aber auch nicht lange suchen, um Sanktionen wegen einer unzulässigen Videoüberwachung in den Berichten der Aufsichtsbehörden zu finden. Die Sächsische Datenschutz- und Transparenz­beauftragte (SDTB) Dr. Juliane Hundert hat sich unter anderem mit der Videoüberwachung in Spielhallen, im Kleingartenverein und auf Privatwegen auseinander gesetzt.

„Wer unzulässig eine Kamera betreibt, für den kann das zu einer kostspieligen Angelegenheit werden. Zum einen sprechen Zivilgerichte Betroffenen auch Schadenersatzansprüche zu. Zum anderen droht ein Bußgeld meiner Behörde“, so Dr. Juliane Hundert. Unerlaubte Videoüberwachung bildete demnach erneut den größten Anteil der Ordnungs­widrigkeiten­verfahren im nichtöffentlichen Bereich. Etwa zwei Drittel der Anzeigen bezogen sich auf die Anfertigung von Videoaufnahmen.

Beispiele für Datenschutz-Vorfälle

Lernen aus Datenpannen

Beispiel: Hacking der Videoüberwachung

Cyberattacken und Videoüberwachung sind aber nicht immer getrennte Datenschutz-Problemfelder. Die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg hatte einen gravierenden Fall zu bearbeiten, bei dem Live-Bilder der Videoüberwachung eines Kreditinstituts im Internet auftauchten. Die eingesetzte Kamera richtete sich auf das Foyer einer Filiale mitsamt Eingangsbereich, Kontoauszugsdrucker und Geldautomaten sowie auch auf den Gehweg und die Parkplätze vor der Filiale.

Unbekannte Dritte kompromittierten die Videokamera und stellten die Echtzeitbilder für jedermann abrufbar ins Netz. In begrenztem Umfang war es sogar möglich, die Kamera zu steuern. Das Kreditinstitut hatte es versäumt, geeignete technisch-organisatorische Maßnahmen umzusetzen, um dies zu verhindern. Außerdem fehlte ein Auftragsverarbeitungsvertrag mit den Dienstleistungsunternehmen. Schließlich hätte die Kamera weder den Gehweg noch die Parkplätze erfassen dürfen. Für diese Verstöße setzte die Aufsichtsbehörde insgesamt eine Geldbuße im oberen fünfstelligen Bereich fest.

Beispiel: Hacking im Gesundheitswesen und bei IT-Dienstleistern

Ein weiteres Beispiel aus Brandenburg, ein Hackerangriff auf die Webseite eines Verbandes der Gesundheitsbranche. Der Verband bietet unter anderem Fahrdienste für Krankenbeförderung an. Die hier notwendigen Datensätze der Kundinnen und Kunden gaben Beschäftigte im passwortgeschützten, internen Bereich der Webseite ein. Die Webseite des Verbandes war aber aufgrund einer technischen Schwachstelle über mehrere Tage angreifbar.

Dies führte dazu, dass sie auch tatsächlich kompromittiert und die Inhalte der Datenbank ausgelesen wurden, immerhin 89.000 Datensätze, die teilweise Rückschlüsse auf den Gesundheitszustand der betroffenen Personen zuließen. Dem Vorfall lagen mehrere datenschutzrechtliche Verstöße zugrunde, die Geldbuße war im fünfstelligen Bereich.

Dabei liegen die IT-Sicherheitsmängel oftmals nicht nur bei der internen IT. Eine erhebliche Anzahl der gemeldeten Datenschutzverletzungen ist das Ergebnis von Hacking-Angriffen auf externe Dienstleistungsunternehmen, so zum Beispiel die Einschätzung der Datenschutzaufsicht von Brandenburg.

Vor dem Hintergrund zunehmend komplexer Datenverarbeitungsprozesse und gleichzeitig reduzierter Ressourcen nimmt die Tendenz zu, Datenverarbeitungen an externe Unternehmen auszulagern – von einzelnen Verarbeitungsschritten bis hin zu einem kompletten Outsourcing der gesamten IT-Landschaft in die Cloud. Viele Verantwortliche meinen, sie könnten sich auf diese Weise auch ihrer datenschutzrechtlichen Pflichten entledigen. Diese Schlussfolgerung ist jedoch unzutreffend: Aus datenschutzrechtlicher Sicht bleibt ein Dienstleistungsunternehmen weisungsgebunden.

Insbesondere ist der Verantwortliche verpflichtet, die Auftragsausführung zu kontrollieren. Dagmar Hartge, die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg, machte entsprechend deutlich: „Behörden, Unternehmen und Vereine sind aufgefordert, dauerhaft eigene personelle, finanzielle und zeitliche Ressourcen auf den Gebieten des Datenschutzes und der Informationssicherheit bereitzuhalten“.

IT-Sicherheit für Datenschutz essenziell

Die Datenschutzaufsichtsbehörden weisen auf die zunehmende Intensität der Cyber-Angriffe hin, die teilweise tief in die IT-Systeme eindringen und Organisationen über einen langen Zeitraum schaden können. „IT-Sicherheit bleibt ein hoch relevantes Thema. Auch Einrichtungen, die nicht zur kritischen Infrastruktur gehören, müssen auf hohe Sicherheitsstandards Wert legen, um ihre Systeme und personenbezogenen Daten zu schützen,“ so Thomas Fuchs, der Hamburgische Beauftragten für Datenschutz und Informationsfreiheit.

Datenschutz braucht die IT-Sicherheit, und wir Menschen als Betroffene brauchen den Datenschutz. Deshalb sollte die Vielzahl der Datenpannen immer auch ein Ansporn für die IT-Sicherheit sein, den Datenschutz und damit eines der Menschenrechte zu unterstützen.

(ID:49865744)